Was sind Credential Stuffing und Password Spraying?
Credential Stuffing testet bekannte, kompromittierte Benutzername-Passwort-Paare an Zielkonten; Password Spraying verteilt ein oder wenige verbreitete Passwörter über viele Konten.
Credential Stuffing nutzt dabei häufig aus früheren Datenkompromittierungen stammende Zugangsdaten und die Wiederverwendung derselben Kombination. Password Spraying setzt keine Passwortwiederverwendung voraus. Beide Begriffe bezeichnen Versuchsmuster: Aus ihrer Beobachtung folgt noch nicht, dass eine Anmeldung oder Kontoübernahme erfolgreich war.
Wie unterscheiden sich die Angriffsmuster technisch?
Technische Einordnung: Entscheidend ist, was über die Anmeldeversuche hinweg variiert. Beim Credential Stuffing wechseln bekannte Paare aus Benutzername und Passwort. Beim Password Spraying werden ein oder wenige Kandidatenpasswörter über viele Identitäten verteilt, sodass häufig nur wenige Fehlversuche je Einzelkonto entstehen. MITRE ATT&CK führt beide als unterschiedliche Untertechniken von Brute Force unter Credential Access: Password Spraying als T1110.003 und Credential Stuffing als T1110.004. Automatisierung allein genügt nicht für diese Zuordnung; auch Mischformen sind möglich.
Für welche Systeme sind die Muster relevant?
Relevant sind die Muster für Betreiber passwortbasierter Anmeldeschnittstellen, die für Angreifer erreichbar sind. Die konkrete Gefährdung hängt unter anderem von kompromittierten oder wiederverwendeten Zugangsdaten, schwachen Passwörtern und zusätzlichen Kontrollen ab. Ohne passwortbasierte Anmeldung sind die beschriebenen Techniken nicht unmittelbar einschlägig. Eine von MITRE genannte Plattform zeigt lediglich ein mögliches Einsatzfeld und belegt nicht, dass jedes dort betriebene System tatsächlich exponiert oder betroffen ist.
Woran lassen sich die Versuche erkennen?
Credential Stuffing zeigt sich durch Anmeldeversuche mit wechselnden bekannten Zugangsdatenpaaren. Für Password Spraying sprechen wenige Kandidatenpasswörter, die über viele Identitäten verteilt werden. Spraying kann zeitlich gedrosselt erfolgen, um konto- oder zeitbezogene Sperr- und Erkennungsschwellen zu unterschreiten. Mehrere Fehlanmeldungen allein reichen jedoch weder für eine sichere Klassifikation noch als Beleg eines erfolgreichen Zugriffs.
Wie sind die Muster von anderen Vorfällen abzugrenzen?
Credential Stuffing und Password Spraying gehören in der MITRE-Systematik zu Brute Force, sind aber weder miteinander noch mit dem Oberbegriff oder einfachem Password Guessing gleichzusetzen. Credential Stuffing rotiert bekannte Paare; Spraying verteilt wenige Passwörter über viele Konten. Phishing und eine forensisch bestätigte Kontoübernahme sind eigenständige Sachverhalte. Gemeinsame Schutzmaßnahmen ändern diese begriffliche Trennung nicht.
Gibt es allgemeine Fristen oder Schwellenwerte?
Nein. Für diese allgemeinen technischen Begriffe bestehen keine einheitliche Frist, kein normativer Startpunkt und kein allgemein geltender Zahlenwert. Sperr-, Drossel- und Alarmwerte sind system- und risikobezogen festzulegen. Rate-Limiting-Anforderungen aus NIST SP 800-63B-4 gelten nur in dessen eigenem Anwendungsbereich und ergeben keinen universellen Schwellenwert für beide Angriffsmuster. Zu strenge Kontosperren können zudem massenhafte Sperren und damit ein Verfügbarkeitsproblem verursachen.
Welche Schutzstrategie ist angemessen?
Praxisempfehlung: Für passwortbasierte, insbesondere extern erreichbare Anmeldedienste empfiehlt sich eine risikogerechte mehrschichtige Abwehr. Dazu gehören MFA, die Protokollierung und korrelierte Überwachung von Anmeldeversuchen sowie angemessene Drossel-, Sperr- und bedingte Zugriffskontrollen. Die Wirksamkeit und mögliche Auswirkungen auf die Verfügbarkeit müssen überwacht werden. Keine Einzelmaßnahme garantiert, dass alle Versuche verhindert werden.
Häufige Fehlannahmen
- „Beide Begriffe meinen dasselbe.“ Nein. Credential Stuffing verwendet bekannte Zugangsdatenpaare; Password Spraying verteilt wenige Passwörter über viele Konten.
- „Password Spraying setzt wiederverwendete Passwörter voraus.“ Nein. Wiederverwendung ist für Credential Stuffing häufig relevant, aber keine Voraussetzung für Password Spraying.
- „Viele Fehlanmeldungen beweisen einen solchen Angriff.“ Nein. Für die Klassifikation muss das Verteilungsmuster der verwendeten Paare beziehungsweise Passwörter erkennbar sein.
- „Ein erkannter Versuch bedeutet eine erfolgreiche Kontoübernahme.“ Nein. Versuch, erfolgreiche Anmeldung und bestätigte Kontoübernahme sind getrennt festzustellen.
- „Je strenger die Kontosperre, desto besser.“ Nicht zwingend. Zu strenge Sperren können massenhafte Kontosperren und Verfügbarkeitsprobleme auslösen.
- „MFA löst das Problem allein.“ Nein. MFA erschwert Kontoübernahmen mit kompromittierten Passwörtern, ersetzt aber weder Überwachung noch weitere Zugangskontrollen.
Was die Geschäftsleitung tun sollte
Die folgenden Schritte sind technische Empfehlungen zur Risikobehandlung und keine aus den Begriffen folgende allgemeine Rechtspflicht:
- Für passwortbasierte, insbesondere extern erreichbare Anmeldedienste risikogerechte MFA veranlassen.
- Anmeldeversuche ausreichend protokollieren und kontenübergreifend korreliert überwachen lassen.
- Drosselung, Kontosperren und bedingte Zugriffskontrollen anhand des jeweiligen System- und Risikokontexts konfigurieren.
- Die Wirksamkeit der Kontrollen regelmäßig anhand geeigneter Betriebs- und Erkennungsdaten prüfen lassen.
- Auswirkungen von Sperrregeln auf die Verfügbarkeit überwachen und massenhafte unbeabsichtigte Sperren vermeiden.
Für die Geschäftsleitung
Reichweite: Die Angriffsmuster betreffen passwortbasierte, für Angreifer erreichbare Anmeldeschnittstellen; ihre tatsächliche Relevanz hängt vom konkreten Dienst und seinen Kontrollen ab. Entscheidung: Zu veranlassen ist eine risikogerechte Kombination aus MFA, Überwachung sowie angemessenen Drossel-, Sperr- und Zugriffskontrollen, nicht die isolierte Einführung einer Einzelmaßnahme. Nachweis: Geeignete Betriebs- und Erkennungsdaten sollten die Prüfung der Wirksamkeit und möglicher Verfügbarkeitsfolgen ermöglichen.
