Wenn bei vielen Konten einzelne fehlgeschlagene Anmeldungen auftauchen, wirkt das zunächst harmlos. Dahinter kann jedoch ein gezielter Angriff stehen, bei dem Kriminelle wenige häufig verwendete Passwörter gegen zahlreiche Konten testen. Ich zeige, wie password spraying funktioniert, woran Unternehmen und Privatanwender die Methode erkennen und welche Schutzmaßnahmen tatsächlich helfen.
Die wichtigsten Fakten zum Angriff auf viele Konten
- Prinzip: Ein einzelnes oder wenige häufige Passwörter werden gegen viele Benutzerkonten getestet.
- Ziel: Angreifer wollen Kontosperren umgehen und mindestens ein gültiges Konto finden.
- Typische Ziele: Cloud-Dienste, E-Mail, VPN, Fernzugänge, Active Directory und öffentlich erreichbare Login-Portale.
- Stärkster Schutz: Phishing-resistente MFA, einzigartige lange Passwörter und eine gute Überwachung der Anmeldungen.
- Wichtig bei der Analyse: Viele fehlgeschlagene Logins auf unterschiedlichen Konten sind verdächtiger als viele Versuche bei nur einem Benutzer.
Was beim Passwort-Spraying tatsächlich passiert
Bei einem klassischen Brute-Force-Angriff konzentriert sich der Angreifer auf ein Konto und probiert viele Passwörter aus. Beim Passwort-Spraying läuft es umgekehrt. Ein Passwort wird gegen viele Konten geprüft, bevor ein weiteres Passwort an die Reihe kommt.
Das hat einen einfachen Grund. Viele Systeme sperren ein Konto nach mehreren Fehlversuchen oder lösen eine Warnung aus. Verteilt der Angreifer seine Versuche auf zahlreiche Benutzer, bleibt jedes einzelne Konto unter Umständen unter dem Schwellenwert. MITRE ATT&CK führt die Methode als T1110.003 innerhalb der Kategorie Brute Force.
Ein vereinfachtes Angriffsmuster
- Der Angreifer sammelt bekannte oder vermutete Benutzernamen, oft aus öffentlichen Profilen, alten Datenleaks oder Firmenwebseiten.
- Er testet ein häufig verwendetes Passwort bei vielen Konten.
- Nach einer Pause folgt ein weiteres Passwort oder eine neue Quelladresse.
- Bei einem erfolgreichen Login versucht er, den Zugang für E-Mail, Dateien, interne Anwendungen oder weitere Konten zu nutzen.
In der Praxis kann der Vorgang sehr langsam ablaufen. Wenige Versuche über Stunden oder Tage sind deshalb nicht automatisch harmlos. Verteilte Infrastruktur und wechselnde IP-Adressen erschweren zusätzlich die Erkennung.
Welche Angriffe ähnlich aussehen und wo der Unterschied liegt
Die Begriffe werden oft vermischt, obwohl die Abwehr je nach Methode anders aussehen kann. Für eine erste Einordnung reicht eine einfache Gegenüberstellung.
| Angriffsmethode | Vorgehen | Typisches Risiko |
|---|---|---|
| Passwort-Spraying | Wenige häufige Passwörter gegen viele Konten | Kontosperren werden eher umgangen |
| Klassisches Brute Force | Viele Passwörter gegen ein einzelnes Konto | Schnelle Sperre oder deutliche Warnmeldung |
| Credential Stuffing | Gestohlene Benutzername-Passwort-Paare aus anderen Diensten | Passwort-Wiederverwendung wird ausgenutzt |
| Phishing | Das Opfer gibt seine Zugangsdaten auf einer gefälschten Seite ein | Auch starke Passwörter können direkt preisgegeben werden |
Der entscheidende Unterschied zum Credential Stuffing ist, dass beim Spraying zunächst kein bestimmtes gestohlenes Passwortpaar nötig ist. Stattdessen setzen Angreifer auf menschliche Gewohnheiten, etwa kurze Passwörter, Firmennamen, Jahreszahlen oder saisonale Varianten.
Ein gutes Passwort schützt deshalb nur das einzelne Konto. Wird dasselbe Kennwort bei mehreren Diensten verwendet, kann ein Datenleck bei einem Online-Shop später auch den Zugang zu E-Mail, Cloud-Speicher oder Smart-Home-Konten gefährden.
Warum diese Methode so oft Erfolg verspricht
Passwort-Spraying funktioniert nicht wegen einer technischen Schwäche des Internets, sondern häufig wegen vorhersehbarer Zugangsdaten. Besonders gefährdet sind Konten ohne zusätzliche Anmeldungskontrolle, alte Benutzerkonten und Dienste, die von außen erreichbar sind.
Typische Angriffsflächen
- Microsoft 365 und andere Cloud-Dienste, weil sie direkt aus dem Internet erreichbar sind.
- VPN- und Remote-Desktop-Zugänge, die Zugriff auf interne Systeme ermöglichen können.
- E-Mail-Portale, über die sich nach einem erfolgreichen Login oft weitere Konten zurücksetzen lassen.
- Active Directory, also die zentrale Benutzerverwaltung vieler Windows-Netzwerke.
- Router, NAS-Systeme und Smart-Home-Zentralen mit unveränderten Standardzugängen.
Ein erfolgreicher Treffer bedeutet zunächst nur, dass die Zugangsdaten stimmen. Ob der Angreifer tatsächlich Daten lesen oder Systeme verändern kann, hängt von Berechtigungen, MFA und Netzwerksegmentierung ab. Ein normales Benutzerkonto ist weniger gefährlich als ein schlecht geschütztes Administratorkonto, kann aber trotzdem als Ausgangspunkt für weitere Angriffe dienen.
Auch eine Kontosperre ist kein perfekter Schutz. Zu strenge Regeln können viele legitime Benutzer aussperren und sich für eine Denial-of-Service-Attacke missbrauchen lassen. Besser ist eine Kombination aus risikobasierter Erkennung, MFA, Rate-Limiting und klaren Anmelderichtlinien.
Woran sich ein Spraying-Angriff erkennen lässt
Ein einzelner Fehlversuch sagt wenig aus. Aussagekräftig wird das Muster erst, wenn Anmeldedaten, Zeitpunkte, Zielkonten und Herkunft gemeinsam betrachtet werden. Genau hier scheitern einfache Überwachungsregeln besonders oft.
Signale in den Protokollen
- Fehlgeschlagene Anmeldungen bei vielen verschiedenen Konten innerhalb eines Zeitfensters.
- Wiederkehrende Quelladressen, autonome Systeme, Länder oder Hosting-Anbieter.
- Anmeldeversuche mit ungewöhnlichen Geräten, Programmen oder Benutzeragenten.
- Erfolgreicher Login direkt nach einer Serie verteilter Fehlversuche.
- Mehrere Konten mit ähnlichem Fehlerbild, obwohl die Benutzer zu unterschiedlichen Zeiten arbeiten.
Bei Cloud-Diensten sollte nicht nur die IP-Adresse betrachtet werden. Angreifer verteilen ihre Versuche oft über viele Adressen. Identische Muster über mehrere Konten, ungewöhnliche Standortwechsel und riskante Geräte können trotzdem zusammen ein klares Bild ergeben.
Microsoft weist bei seiner Erkennung darauf hin, dass ein entsprechendes Risikoereignis einen erfolgreich bestätigten Passworttreffer bedeuten kann. Das ist ein wichtiger Unterschied zu einer bloßen Warnung über fehlgeschlagene Login-Versuche. Ein Treffer sollte deshalb sofort wie eine mögliche Kontoübernahme behandelt werden.
Was bei einem Verdacht zu tun ist
- Das betroffene Konto und weitere verdächtige Konten vorübergehend absichern oder sperren.
- Passwort und aktive Sitzungen zurücksetzen, einschließlich App-Passwörtern und Tokens.
- MFA-Methoden, Weiterleitungsregeln und neue Geräte prüfen.
- Anmeldeprotokolle auf erfolgreiche Zugriffe und ungewöhnliche Aktionen untersuchen.
- Quelladressen, Zeiträume und betroffene Konten dokumentieren.
Ein reiner Passwortwechsel reicht nicht immer aus. Wenn bereits eine Sitzung oder ein Zugriffstoken gestohlen wurde, kann ein Angreifer trotz neuem Passwort aktiv bleiben. Sitzungen widerrufen und Wiederherstellungsoptionen prüfen gehört daher zu jeder sauberen Reaktion.
Welche Schutzmaßnahmen für Unternehmen und Zuhause sinnvoll sind
Ich würde die Verteidigung in einer festen Reihenfolge aufbauen. Zuerst müssen schwache und wiederverwendete Passwörter verschwinden, danach sollten riskante Anmeldungen technisch erschwert und zuverlässig sichtbar gemacht werden.
Die wirksamsten Maßnahmen
- Phishing-resistente MFA einsetzen, etwa Sicherheitsschlüssel oder Passkeys. SMS-Codes sind besser als gar kein zweiter Faktor, aber nicht die stärkste Variante.
- Für jedes Konto ein eigenständiges, langes Passwort verwenden und einen seriösen Passwortmanager nutzen.
- Standardpasswörter von Router, NAS, Kameras und Smart-Home-Geräten sofort ändern.
- Unbenutzte Konten deaktivieren und Administratorkonten nicht für den normalen Alltag verwenden.
- Öffentlich erreichbare Dienste reduzieren und VPN-Zugänge zusätzlich absichern.
- Anmeldeversuche zentral sammeln und auf mehrere Konten, IP-Netze und Zeitfenster auswerten.
- Riskante Logins durch Conditional Access, Geräteprüfung oder geografische Regeln blockieren, sofern der Arbeitsablauf das erlaubt.
Die CISA nennt für Organisationen eine Mindestlänge von 15 Zeichen als sinnvolle Orientierung. Noch wichtiger als komplizierte Sonderzeichenfolgen sind einzigartige Passwörter und eine zusätzliche Authentisierung. Das BSI empfiehlt ebenfalls lange, nicht mehrfach verwendete Passwörter und den Einsatz eines Passwortmanagers.
Für private Nutzer ist die wichtigste Maßnahme schnell umgesetzt. Ich würde mit dem E-Mail-Konto beginnen, weil es oft als Schlüssel für andere Dienste dient. Danach folgen Onlinebanking, Cloud-Speicher, Routerverwaltung und Smart-Home-Zentrale, jeweils mit einem eigenen Passwort und aktivierter 2FA.
Lesen Sie auch: Deep Web und Dark Web erklärt - Risiken erkennen und sicher handeln
Was häufig überschätzt wird
Regelmäßige Passwortwechsel ohne konkreten Anlass lösen das Grundproblem nicht. Wer lediglich aus „Sommer2025“ „Sommer2026“ macht, erhält kein wirklich neues Geheimnis. Besser ist ein zufällig erzeugtes Passwort, das nur einmal verwendet wird.
Auch eine reine IP-Sperre ist kein vollständiger Schutz. Sie kann bei offensichtlichen Angriffen helfen, verliert aber an Wirkung, wenn die Versuche über viele Netze verteilt sind. Entscheidend bleibt die Kombination aus Identität, Gerät, Verhalten und Anmeldehistorie.
Die richtige Einordnung für den eigenen Internetanschluss
Ein normaler DSL- oder Glasfaseranschluss ist nicht automatisch das Ziel eines solchen Angriffs. Gefährlich wird es vor allem dann, wenn Verwaltungsoberflächen, Fernzugänge oder Geräte direkt aus dem Internet erreichbar sind und noch mit Standarddaten arbeiten.
Im Heimnetz sollte die Routerverwaltung nur aus dem lokalen Netz zugänglich sein. Firmware-Updates, ein separates WLAN für Gastgeräte und die Trennung von Smart-Home-Komponenten und privaten Rechnern reduzieren den möglichen Schaden, wenn ein einzelnes Gerät kompromittiert wird.
Bei Unternehmen gehören zusätzlich regelmäßige Logprüfungen und ein Notfallplan dazu. Wer erst während eines laufenden Vorfalls klärt, wer Konten sperren, Logs sichern und Betroffene informieren darf, verliert unnötig Zeit.
Was vom Schutz am Ende wirklich zählt
Passwort-Spraying ist erfolgreich, wenn ein Angreifer auf menschliche Routine trifft. Einzigartige lange Passwörter, MFA und eine Erkennung über mehrere Konten hinweg nehmen der Methode den größten Teil ihrer Wirkung.
Für private Haushalte reichen oft wenige konsequente Schritte. Standardzugänge ändern, den Passwortmanager nutzen, das E-Mail-Konto mit einem zweiten Faktor sichern und Fernzugriffe am Router abschalten, sofern sie nicht gebraucht werden.
Unternehmen sollten zusätzlich die Anmeldeprotokolle zentral überwachen und nicht nur einzelne Fehlversuche zählen. Genau diese Kombination aus einfacher Kontohygiene und verhaltensbasierter Erkennung entscheidet meist darüber, ob aus einem verdächtigen Muster ein Sicherheitsvorfall wird.
