Die wichtigsten Punkte auf einen Blick
- Systematisches Raten unterscheidet diese Angriffe von einem einzelnen Fehlversuch.
- Passwortspraying und Credential Stuffing funktionieren anders als klassisches Durchprobieren.
- Mehrfaktor-Authentifizierung und Passkeys gehören zu den wirksamsten Schutzmaßnahmen.
- Rate-Limiting, Verzögerungen und Protokollierung bremsen automatisierte Anmeldeversuche.
- Router und Smart-Home-Geräte dürfen nicht mit Standardzugängen oder offener Fernverwaltung betrieben werden.
Was bei einem Brute-Force-Angriff tatsächlich passiert
Bei dieser Angriffsmethode versucht ein Angreifer, ein Passwort oder einen Zugangscode durch viele aufeinanderfolgende Eingaben zu erraten. Das kann ein automatisiertes Programm an einem Login sein oder ein Verfahren, das bereits gestohlene Passwortdaten offline untersucht. Entscheidend ist das Prinzip des Trial-and-Error, also des systematischen Probierens.
Ein Online-Angriff trifft direkt auf einen Dienst, etwa ein Kundenkonto, eine VPN-Anmeldung oder die Administrationsoberfläche eines Routers. Jeder Versuch muss vom Server verarbeitet werden. Dadurch entstehen Spuren, gleichzeitig kann der Anbieter Anfragen verlangsamen, blockieren oder eine zusätzliche Prüfung verlangen.
Anders sieht es aus, wenn ein Angreifer an einen Passwort-Hash gelangt. Ein Hash ist eine verschlüsselte, nicht direkt zurückrechenbare Darstellung des Passworts. Die Vermutungen werden dann lokal berechnet und mit dem Hash verglichen. Keine aktive Login-Sperre bremst diesen Vorgang, weshalb sichere Speicherung und lange, zufällige Passwörter besonders wichtig sind.
Die Methode ist nicht automatisch erfolgreich. Sie scheitert an langen, einzigartigen Zugangsdaten, an gut konfigurierten Anmeldesystemen und an einem zusätzlichen Faktor wie einer Sicherheits-App oder einem Passkey. Ich halte deshalb die Aussage für falsch, jedes Passwort lasse sich mit genügend Zeit zwangsläufig knacken. Die benötigte Zeit hängt stark von Länge, Zufälligkeit, Hash-Verfahren und Schutzmechanismen ab.
Diese Varianten werden häufig miteinander verwechselt
Im Alltag werden viele automatisierte Passwortangriffe pauschal als Brute Force bezeichnet. Für die Abwehr lohnt sich jedoch eine genauere Unterscheidung, denn ein System kann gegen eine Variante gut geschützt sein und gegen eine andere trotzdem angreifbar bleiben.
| Variante | Vorgehen | Typisches Risiko |
|---|---|---|
| Passwort-Raten | Viele mögliche Passwörter werden gegen ein einzelnes Konto getestet. | Besonders problematisch bei kurzen oder persönlichen Passwörtern. |
| Wörterbuch- oder Hybridangriff | Häufige Wörter, Namen und typische Ergänzungen wie Zahlen oder Jahreszahlen werden kombiniert. | Vorhersehbare Muster wie „Sommer2026“ sind schnell erschöpft. |
| Password Spraying | Ein schwaches Passwort wird gegen viele verschiedene Konten getestet. | Umgeht teilweise Sperren, die nur einzelne Konten beobachten. |
| Credential Stuffing | Gestohlene Kombinationen aus E-Mail-Adresse und Passwort werden bei anderen Diensten ausprobiert. | Passwortwiederverwendung wird zum Einfallstor. |
| Offline-Cracking | Erbeutete Hashes werden ohne Verbindung zum ursprünglichen Dienst geprüft. | Fehlende Rate-Limits und schwache Hash-Verfahren verschärfen die Lage. |
Credential Stuffing ist daher nicht dasselbe wie reines Raten. Der Angreifer probiert hier oft keine zufälligen Kombinationen aus, sondern nutzt bereits bekannte Daten aus Leaks. Gerade deshalb kann ein Konto trotz eines langen Passworts gefährdet sein, wenn dieses Passwort bei mehreren Diensten wiederverwendet wurde.
Warum solche Angriffe manchmal überraschend gut funktionieren
Menschen wählen vorhersehbare Muster
Viele Zugangsdaten bestehen aus einem Namen, einem Haustier, einem Ort oder einem Jahreswechsel. Angreifer testen solche Muster nicht blind, sondern nutzen Listen mit häufigen Passwörtern und bekannten Varianten. Ein Wechsel von „Winter2025“ zu „Winter2026“ wirkt auf den ersten Blick vernünftig, ist aber leicht vorhersehbar.
Ein Passwortmanager löst dieses Problem elegant. Für jeden Dienst entsteht ein eigenes, zufälliges Passwort, während Sie sich nur ein starkes Hauptpasswort merken müssen. Meine klare Empfehlung lautet, keine selbst ausgedachten Varianten für mehrere Konten zu verwenden.
Fehlende Begrenzungen machen Online-Angriffe billig
Ein Login-System sollte nicht unbegrenzt viele Versuche pro Sekunde akzeptieren. Hilfreich sind zeitabhängige Verzögerungen, Rate-Limiting und eine risikobasierte zusätzliche Prüfung. Eine sofortige dauerhafte Kontosperre ist allerdings nicht immer sinnvoll, weil Angreifer damit absichtlich fremde Konten blockieren könnten.
Auch eine reine IP-Sperre reicht nicht aus. Automatisierte Angriffe können über viele Netze verteilt werden. Besser ist eine Kombination aus Konto, IP-Adresse, Gerät, Zeitpunkt und Fehlermuster. OWASP empfiehlt außerdem, erfolgreiche und fehlgeschlagene Anmeldungen zu protokollieren und verdächtige Häufungen zu überwachen.
Lesen Sie auch: Darknet und Hacking - Risiken verstehen und sicher handeln
Unsichere Passwortspeicherung vergrößert den Schaden
Passwörter gehören niemals im Klartext in eine Datenbank. Für die Speicherung sollten moderne, langsame Verfahren wie Argon2id, bcrypt oder PBKDF2 mit einem individuellen Salt eingesetzt werden. Ein Salt ist ein zusätzlicher Zufallswert, der verhindert, dass identische Passwörter anhand vorberechneter Tabellen sofort erkannt werden.
Das BSI weist ebenfalls darauf hin, dass starke Passwörter und zusätzliche Authentisierung den Aufwand für Angreifer deutlich erhöhen. Für Betreiber ist dabei wichtig, nicht nur die Mindestlänge zu erzwingen, sondern auch bekannte und bereits geleakte Passwörter abzulehnen.
So schützen Sie Konten, Router und Smart-Home-Zugänge
Für Privathaushalte ist die wichtigste Maßnahme nicht ein exotisches Sicherheitsprogramm, sondern eine kleine, konsequente Grundausstattung. Ich würde die folgenden Schritte in dieser Reihenfolge umsetzen, weil sie mit wenig Aufwand den größten Effekt erzielen.
- Einzigartige Passwörter verwenden. Jeder Dienst, besonders E-Mail, Online-Banking, Router und Smart-Home-Zentrale, braucht ein eigenes Zugangspasswort.
- Mehrfaktor-Authentifizierung aktivieren. Eine Authentifizierungs-App, ein Sicherheitsschlüssel oder ein Passkey ist deutlich robuster als ein Passwort allein.
- Fernzugriff prüfen. Die Router-Administration sollte nicht unnötig aus dem Internet erreichbar sein. Wenn Fernzugriff gebraucht wird, sollte er nur über eine sichere, aktuelle Lösung erfolgen.
- Standarddaten ändern. Benutzername und Passwort des Routers, der Kameras und der Smart-Home-Zentrale dürfen nicht auf Werkseinstellungen bleiben.
- Firmware aktualisieren. Sicherheitsupdates schließen Schwachstellen, die ein Angreifer sonst unabhängig vom Passwort ausnutzen könnte.
- Anmeldewarnungen einschalten. Benachrichtigungen über neue Geräte, fremde Standorte oder Passwortänderungen helfen bei der schnellen Reaktion.
Bei WLAN-Netzen sollte mindestens WPA2 mit AES verwendet werden, besser WPA3, sofern alle Geräte damit zuverlässig arbeiten. Ein langer, zufällig erzeugter WLAN-Schlüssel ist wichtiger als ein kreativer Name. WPS sollte deaktiviert werden, wenn es nicht benötigt wird, und die Verwaltung des Routers gehört nicht auf ein leicht erreichbares Standardkonto.
| Maßnahme | Schützt besonders vor | Grenze |
|---|---|---|
| Passkey oder MFA | Passwort-Raten, Password Spraying, Credential Stuffing | Der zweite Faktor muss selbst geschützt werden. |
| Rate-Limiting und Verzögerungen | Automatisierten Online-Versuchen | Verteilte Angriffe können einzelne IP-Sperren umgehen. |
| Passwortmanager | Wiederverwendung und vorhersehbaren Passwörtern | Das Hauptpasswort darf nicht verloren gehen. |
| Argon2id oder bcrypt | Offline-Angriffen auf Passwort-Hashes | Ein schwaches Passwort bleibt auch damit schwach. |
| Protokollierung und Warnungen | Unbemerkten Angriffen | Logs müssen regelmäßig ausgewertet werden. |
Eine Analyse von Microsoft, auf die OWASP verweist, kommt zu dem Ergebnis, dass MFA bei einem sehr großen Anteil automatisierter Kontoübernahmen geholfen hätte, in der genannten Auswertung bei bis zu 99,9 Prozent. Das ist kein Freibrief, aber ein deutlicher Hinweis darauf, wo die Priorität liegen sollte.
Woran Sie einen Angriff erkennen und richtig reagieren
Ein einzelner fehlgeschlagener Login ist noch kein Beweis. Verdächtig werden Muster wie viele Anmeldefehler in kurzer Zeit, Zugriffe auf nicht existierende Benutzernamen, erfolgreiche Logins direkt nach einer langen Fehlerfolge oder Anmeldungen aus Ländern und Geräten, die Sie nicht verwenden.
Bei einem privaten Konto sollten Sie das Passwort sofort von einem vertrauenswürdigen Gerät aus ändern und es bei allen anderen Diensten ersetzen, falls es dort ebenfalls verwendet wurde. Danach beenden Sie aktive Sitzungen, prüfen hinterlegte E-Mail-Adressen und Wiederherstellungsoptionen und kontrollieren, ob neue Geräte oder Weiterleitungen eingerichtet wurden.Bei Router oder Smart-Home-Zentrale trennen Sie ein auffälliges Gerät zunächst vom Netzwerk, sichern die Protokolle und aktualisieren die Firmware. Setzen Sie das Gerät nur dann auf Werkseinstellungen zurück, wenn Sie sicher wissen, wie Sie es anschließend sauber neu konfigurieren. Ein vorschneller Reset kann wichtige Hinweise löschen.
Unbefugtes Überwinden einer Zugangssicherung kann in Deutschland strafbar sein. § 202a StGB sieht für das unbefugte Verschaffen des Zugangs zu besonders geschützten Daten eine Freiheitsstrafe bis zu drei Jahren oder eine Geldstrafe vor. Eigene Systeme dürfen Sie zu Testzwecken prüfen, bei fremden Konten, Servern oder WLAN-Netzen brauchen Sie eine klare Erlaubnis.
Die wirksamste Sicherheitsroutine für den Alltag
Wer nur drei Dinge erledigt, sollte für jedes wichtige Konto ein einzigartiges Passwort verwenden, MFA oder einen Passkey aktivieren und Router sowie Smart-Home-Geräte regelmäßig aktualisieren. Diese Kombination reduziert sowohl die Chance eines erfolgreichen Zugangs als auch die Zeit, die ein Angriff unbemerkt bleibt.Ich würde außerdem einmal im Monat die Sicherheitsmeldungen von E-Mail-Konto, Router und Smart-Home-Zentrale prüfen. Frühe Hinweise sind oft wertvoller als komplizierte Zusatzsoftware, weil sie eine schnelle Passwortänderung und das Beenden fremder Sitzungen ermöglichen.
Die Methode selbst ist simpel, aber ihre Wirkung hängt von menschlichen Gewohnheiten und technischen Lücken ab. Wer einzigartige Zugangsdaten, einen zweiten Faktor und gut konfigurierte Geräte kombiniert, macht automatisiertes Raten für Angreifer meist unattraktiv und schützt damit das vernetzte Zuhause deutlich besser.
