Cyberpediavon Brain
DEENFR

Credential Stuffing

Bei einem Datenleck gestohlene Passwörter werden von Bots bei anderen Diensten ausprobiert. So funktioniert der Angriff, so schützen Sie sich.

In 30 Sekunden

Wo es vorkommt
Bei jedem Dienst mit Anmeldeformular, auch bei E-Mail-Postfächern, Online-Anwendungen des Unternehmens und Single-Sign-on-Portalen12.
Was der Angreifer will
Unter gestohlenen Zugangsdaten-Paaren diejenigen finden, die ein echtes Konto öffnen, und dabei auf die Wiederverwendung von Passwörtern setzen12.
Der Reflex
Für jeden Dienst ein eigenes Passwort, aufbewahrt in einem Passwortmanager, dazu die Zwei-Faktor-Authentifizierung, wo es sie gibt56.
Wenn es schon passiert ist
Das betroffene Passwort sofort ändern5.

Worum es geht

Credential Stuffing, auf Französisch „réinjection d'identifiants“, bedeutet: Benutzername-Passwort-Paare, die bei einem Datenleck gestohlen wurden, werden automatisiert bei anderen Websites ausprobiert. OWASP beschreibt es als das automatisierte Einspeisen solcher Paare in Anmeldeformulare, um sich betrügerisch Zugang zu Konten zu verschaffen1.

Beschäftigte müssen dafür keinen Fehler machen: Ihr Konto wurde nicht direkt angegriffen. Es genügt, dass ein Passwort, das bei einer unwichtigen Website verwendet wurde, auch an anderer Stelle gilt, etwa beim dienstlichen E-Mail-Postfach.

Direkte Fragen

Worin unterscheidet sich das von Brute Force?

Brute Force probiert mehrere Passwörter bei einem oder mehreren Konten aus: Der Angreifer rät. Credential Stuffing verwendet bereits bekannte Paare aus einem Datenleck bei anderen Websites1. OWASP ordnet es als Teilmenge von Brute Force ein, und MITRE führt es als Subtechnik T1110.004 der Technik „Brute Force“12.

Warum funktioniert das?

Weil viele Menschen dasselbe Passwort und denselben Benutzernamen oder dieselbe E-Mail-Adresse mehrfach verwenden. Sind diese Daten einmal offengelegt, kann es genügen, sie bei Dutzenden oder Hunderten anderer Websites einzugeben, um dort Konten zu kompromittieren1. MITRE ergänzt, dass die Wiederverwendung private und dienstliche Konten gleichermaßen betrifft2.

Mein Passwort ist lang und komplex: Bin ich sicher?

Nein, wenn es an mehreren Stellen verwendet wird. Laut CISA gefährdet die Wiederverwendung eines Passworts, selbst eines starken, die Konten genauso wie ein schwaches Passwort7. Länge schützt vor dem Erraten, nicht vor der Wiederverwendung eines bereits gestohlenen Passworts.

Ist ein wiederverwendetes Passwort der einzige Zugang?

Nein. OWASP weist darauf hin, dass Daten aus Lecks auch dazu dienen, Passwörter zurückzusetzen, vor allem bei Unternehmenskonten: Sicherheitsfragen, Wiederherstellungsadressen oder andere persönliche Informationen aus dem Leck ermöglichen dann eine Übernahme auch ohne Wiederverwendung1.

Kann ein übernommenes Konto noch anderweitig dienen?

Ja. Mit einem gültigen Konto lässt sich ohne Schadsoftware in das Netzwerk eindringen, wodurch die Anwesenheit des Angreifers schwerer zu erkennen ist4.

1In der Haut des Angreifers1 min

Der Angreifer beschafft sich zunächst Zugangsdaten: aus dem Leck einer Website, durch Phishing oder über eine Website, auf der Passwörter veröffentlicht werden1. Er muss nichts gegen eine bestimmte Person haben. CISA merkt an, dass ein Angriff oft nicht auf ein bestimmtes Konto zielt, sondern auf den Zugang, den es für einen umfassenderen Angriff bietet7.

Danach übergibt er diese Paare an automatische Werkzeuge, die sie bei vielen Websites ausprobieren: soziale Netzwerke, Online-Shops, Webanwendungen1. Eine erfolgreiche Anmeldung zeigt ihm, dass er gültige Zugangsdaten besitzt1.

Dann geht es darum, daraus Nutzen zu ziehen. OWASP nennt vier mögliche Folgen: Konten um ihren gespeicherten Wert erleichtern oder Einkäufe tätigen, sensible Informationen lesen (Kartennummern, private Nachrichten, Dokumente), Phishing-Nachrichten oder Spam vom Konto aus versenden, die gültigen Zugangsdaten an andere Angreifer weiterverkaufen1.

MITRE hebt hervor, dass dieses Verfahren je nach Richtlinie der betroffenen Organisation viele fehlgeschlagene Anmeldungen und Kontosperrungen auslösen kann2. Verteidiger wiederum können riskante Anmeldeanfragen blockieren, etwa solche, die über Anonymisierungsdienste oder Proxys laufen2.

2Was Sie auf dem Bildschirm sehen1 min

Das Opfer sieht den Angriff selbst selten. Es sieht seine Folgen, und die sind verschieden, je nachdem, was der Angreifer mit dem Konto vorhat.

  • Eine Nachricht des Dienstes über eine Anmeldung von einem unbekannten Gerät. Die CNIL beschreibt diesen Fall: Die Website warnt per SMS oder E-Mail, und die Person kann den Zugriff erlauben oder ablehnen6.
  • Ein gesperrtes Konto nach zahlreichen fehlgeschlagenen Anmeldungen. MITRE nennt solche Sperrungen als mögliche Folge2.
  • Einkäufe, Nachrichten oder Dokumente, die der Kontoinhaber weder getätigt noch versendet hat, denn das sind die von OWASP beschriebenen Verwendungen1.
  • Eine E-Mail zum Zurücksetzen des Passworts, die man nicht angefordert hat. Cybermalveillance.gouv.fr erklärt, warum das Postfach ins Visier gerät: Es erhält die Links zum Zurücksetzen der anderen Konten, und wer es knackt, kann über die Funktion „Passwort vergessen“ etwa ein Bankkonto übernehmen5.

Keine dieser Situationen beweist für sich allein ein Credential Stuffing. Alle sind ein Grund, das Passwort zu ändern und die IT-Abteilung zu informieren, wenn es sich um ein dienstliches Konto handelt.

3Unter der HaubeIT-Teams1 min

OWASP veranschaulicht den Mechanismus an einem Schema: Die Datenbank einer Website, acme.com, wird kompromittiert. Der Angreifer probiert diese Zugangsdaten bei drei anderen Websites aus. Er stellt fest, dass ein Benutzer, „spongebob“, sein Passwort bei zwei Websites wiederverwendet und eine Benutzerin, „sally“, ihres bei einer Website: Drei Konten werden geöffnet1.

Die Ziele beschränken sich nicht auf Verbraucher-Websites. MITRE nennt Administrationsdienste an gängigen Ports (SSH, RDP, SMB, LDAP, Datenbanken), aber auch Single Sign-on, Cloud-Anwendungen auf Basis föderierter Protokolle und erreichbare Mailsysteme wie Office 3652. Zur Erkennung beschreibt MITRE typische Signale: viele Fehlversuche mit unterschiedlichen Paaren von derselben IP-Adresse in kurzer Zeit oder Fehlversuche bei Cloud-Anwendungen mit Paaren aus voneinander unabhängigen Domänen2.

Ein weiterer technischer Punkt: Kennt ein Angreifer das richtige Passwort, stößt aber auf eine ortsbasierte Zugangsregel, kann er die Infrastruktur wechseln, um dem Standort des Opfers zu entsprechen, und die Regel so umgehen3.

Die Gegenmaßnahmen auf Seiten der Organisation laut MITRE: Konten nach einer bestimmten Zahl von Fehlversuchen sperren (eine zu strenge Regel kann legitime Konten blockieren), Multifaktor-Authentifizierung vorschreiben, bekannte Konten aus Lecks proaktiv zurücksetzen2. OWASP nennt die Multifaktor-Authentifizierung als wichtigste Gegenmaßnahme1.

4Was Sie tun1 min
  • Für jeden Dienst ein eigenes Passwort. So ist bei einem Diebstahl nur der betroffene Dienst angreifbar5. Die CNIL verlangt für jedes sensible Konto (Bank, E-Mail, soziales Netzwerk) ein eigenes, einmaliges Passwort, um Kettenreaktionen bei Hackerangriffen zu vermeiden6.
  • Ein Passwortmanager, der sich für Sie lange und durchweg verschiedene Passwörter merkt6. Cybermalveillance.gouv.fr nennt KeePassXC, von der ANSSI in Version 2.7.9 zertifiziert5. Das Master-Passwort des Managers muss selbst stark sein7.
  • Die Zwei-Faktor-Authentifizierung, wenn der Dienst sie anbietet: Zusätzlich zum Passwort sorgt eine Bestätigung per Code, App, Schlüssel oder Biometrie dafür, dass nur Sie ein neues Gerät freigeben5.
  • Eine sofortige Änderung bei geringstem Verdacht oder sobald bekannt wird, dass ein Unternehmen, bei dem man ein Konto hat, gehackt wurde, ohne abzuwarten, ob es stimmt5.
  • Ein besonders starkes Passwort für das E-Mail-Postfach, da es das Zurücksetzen vieler anderer Konten ermöglicht5.

Das britische NCSC erklärt zudem in einer Meldung vom 23. April 2026, Passkeys seien eine sicherere und einfachere Anmeldemethode und sollten für Privatpersonen die Standardoption sein8.

5Die Fallstricke1 min
  • Zu glauben, ein „unwichtiges“ Konto spiele keine Rolle. Ein auf einer Nebenwebsite gestohlenes Passwort wird anderswo ausprobiert1.
  • Sich ein einziges gutes Passwort zu merken und es unverändert abzuwandeln. Das ist Wiederverwendung7.
  • Passwörter auf einem Notizzettel, im E-Mail-Postfach, in einer ungeschützten Datei oder im Telefon aufzubewahren5.
  • Passwörter im Browser eines gemeinsam genutzten Computers zu speichern6.
6FallanalysenReale Fälle1 min

OWASP führt Datenlecks zusammen, die nach seiner Analyse auf Credential Stuffing zurückgehen. Hier vier davon, so wie OWASP sie wiedergibt1.

Sony, 2011

Ein Analyst stellt fest, dass von den Nutzern, die sowohl in den Daten von Sony als auch in denen des früher im selben Jahr erfolgten Gawker-Lecks vorkamen, zwei Drittel auf beiden Systemen dasselbe Passwort hatten1.

Yahoo, 2012

OWASP zitiert Troy Hunt, der die Lecks von Sony und Yahoo über eine Gemeinsamkeit verbindet: die Passwörter1.

Dropbox, 2012

Dropbox gab an, die in der Presse erwähnten Benutzernamen und Passwörter seien bei anderen Diensten gestohlen worden, nicht bei Dropbox. Angreifer hätten sie anschließend auf Websites im ganzen Internet ausprobiert, darunter Dropbox1.

JPMorgan Chase, 2014

Die Daten des Lecks enthielten Kombinationen aus Passwörtern und Adressen von Teilnehmern, die auf der Website Corporate Challenge registriert waren, einer Plattform für jährliche Wohltätigkeitsläufe, die ein externer Dienstleister betreibt und die Beschäftigten der Bank und anderer Unternehmen offensteht. OWASP stellt klar, dass dieses Leck aus einer anderen Quelle stammt: Angreifer nahmen eine Website für Läufe eines Dritten ins Visier, um daraus Zugangsdaten für Angriffe auf JPMC zu gewinnen1.

Merkblatt

Kennung
CP-036
Flügel
1. Angriffe und Techniken
Brain-Kompetenz
Passwörter beherrschen (master_passwords)
Brain-Reflex
cr-008
Schema
G3 · Anatomischer Schnitt
Sprachen
de, en, fr
Quellen
8 Quellen geprüft am 3. November 2026
Quellen8 Quellen
  1. OWASP, „Credential stuffing | OWASP Foundation“. https://community.owasp.org/attacks/Credential_stuffing (abgerufen am 3. November 2026)
  2. MITRE ATT&CK, „Brute Force: Credential Stuffing, Sub-technique T1110.004 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1110/004/ (abgerufen am 3. November 2026)
  3. MITRE ATT&CK, „Brute Force, Technique T1110 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1110/ (abgerufen am 3. November 2026)
  4. MITRE ATT&CK, „Valid Accounts, Technique T1078 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1078/ (abgerufen am 3. November 2026)
  5. Cybermalveillance.gouv.fr, „Pourquoi et comment bien gérer ses mots de passe ?“, 23. November 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe (abgerufen am 3. November 2026)
  6. CNIL, „Les conseils de la CNIL pour un bon mot de passe“, 26. Januar 2017. https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe (abgerufen am 3. November 2026)
  7. CISA, „Choosing and Protecting Passwords“, 21. Mai 2009. https://www.cisa.gov/news-events/news/choosing-and-protecting-passwords (abgerufen am 3. November 2026)
  8. NCSC (Royaume-Uni), „Password administration for system owners“, 19. November 2018. https://www.ncsc.gov.uk/collection/passwords (abgerufen am 3. November 2026)

Diesen Artikel zitieren

Brain, „Credential Stuffing“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/credential-stuffing-wiederverwendete-zugangsdaten/

BibTeX 
@misc{brain_cp036_de_2026,
  author = {Brain},
  title = {Credential Stuffing},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/de/articles/credential-stuffing-wiederverwendete-zugangsdaten/},
  note = {CC BY 4.0}
}
Lizenz CC BY 4.0