Brute-Force-Angriffe sind Angriffe auf Logins, bei denen jemand wiederholt Passwörter ausprobiert, bis eines funktioniert. Der Angreifer kann zufällige Kombinationen, gängige Passwörter, geleakte Passwörter oder kleine Variationen von leicht zu erratenden Angaben wie Namen, Geburtstage oder einfache Tastaturmuster ausprobieren.
Diese Angriffe können E-Mail-, Bank-, Social-Media-, Cloud-Speicher-, Arbeitskonten und fast jeden anderen passwortgeschützten Dienst zum Ziel haben. Sie stehen in engem Zusammenhang mit Credential Stuffing, sind jedoch nicht dasselbe. Brute-Force-Angriffe basieren auf dem Erraten oder Ausprobieren möglicher Passwörter. Beim Credential Stuffing werden Benutzernamen und Passwörter verwendet, die bereits bei einem anderen Datenleck offengelegt wurden.
Einfache Brute-Force-Angriffe
Der Angreifer probiert hierbei viele mögliche Passwortkombinationen für ein Konto aus. Starke Passwörter erschweren dies erheblich, doch kurze oder offensichtliche Passwörter können einfach und schnell erraten werden.
Dictionary Attacks
Anstatt zufällige Zeichen auszuprobieren, verwendet der Angreifer Listen mit gängigen Passwörtern, Namen, Phrasen und vorhersehbaren Variationen. Diese Angriffe sind besonders effektiv gegen einfache Passwörter.
Credential Stuffing
Angreifer verwenden Benutzernamen und Passwörter, die bei früheren Datenlecks offengelegt oder durch Phishing-Angriffe gestohlen wurden, und testen diese dann auf anderen Webseiten. Das funktioniert am einfachsten, wenn Nutzer Passwörter für verschiedene Konten wiederverwenden.
Password Spraying
Angreifer probieren ein gängiges Passwort für viele Konten aus. Dies kann ihnen helfen, Sperren zu vermeiden, die durch zu viele fehlgeschlagene Versuche bei einem einzelnen Konto ausgelöst werden.
Die meisten Brute-Force-Angriffe folgen einem einfachen Muster: eine Anmeldeseite finden, mögliche Passwörter testen und auf eine erfolgreiche Anmeldung warten. Durch eine Automatisierung geht dies viel schneller, als wenn eine Person die Vermutungen von Hand eingibt.
01
Ziel auswählen
Der Angreifer wählt ein Konto, eine Anmeldeseite, ein Unternehmensportal oder eine Liste von Benutzernamen aus. Öffentlich zugängliche E-Mail-Adressen und offengelegte Benutzernamen von Mitarbeitern können dies erleichtern.
02
Erstellen der Passwortliste
Angreifer sammeln mögliche Passwörter aus gängigen Wortlisten, durchgesickerten Daten, persönlichen Daten und vorhersehbaren Mustern wie Jahreszeiten, Jahreszahlen, Namen oder einfachen Zahlendrehern.
03
Durchführen der Versuche
Automatisierte Tools testen die Passwortvermutungen mit hoher Geschwindigkeit. Manche Angriffe erfolgen schnell, während andere absichtlich verlangsamt werden, um Sperren oder Sicherheitswarnungen zu vermeiden.
04
Zugang prüfen
Wenn ein Passwort funktioniert, prüft der Angreifer möglicherweise, ob die Multi-Faktor-Authentifizierung (MFA) aktiviert ist, die Kontodaten speichern oder nach verbundenen Konten und sensiblen Daten suchen.
05
Verwenden des Kontos
Der Angreifer kann Passwörter zurücksetzen, Dateien stehlen, betrügerische E-Mails versenden, auf verknüpfte Dienste zugreifen oder das Konto verwenden, um andere Konten, Personen oder Systeme zu erreichen.
Was sind Beispiele für Brute-Force-Angriffe aus der Praxis?
Brute-Force-Angriffe betreffen nicht nur große Unternehmen oder hochtechnische Systeme. Viele Angriffe in der Praxis beginnen mit schwachen Passwörtern, wiederverwendeten Anmeldedaten oder offengelegten Login-Daten, die es Angreifern ermöglichen, den Zugriff auf alltägliche Konten und Unternehmensdienste zu testen.
Angriffe auf Roku-Konten, 2024
Roku gab zwei Credential-Stuffing-Angriffe bekannt, von denen mehr als 590.000 Kundenkonten betroffen waren. Die Angreifer verwendeten Benutzernamen und Passwörter, die bei früheren Sicherheitsverletzungen offengelegt worden waren, um Anmeldungen bei Roku-Konten mit wiederverwendeten Anmeldedaten zu testen. Manche Konten wurden für unbefugte Käufe genutzt, bevor die Aktivitäten entdeckt wurden und die Benutzer aufgefordert wurden, ihre Passwörter zurückzusetzen.
23andMe Credential Stuffing, 2023
Die Angreifer verwendeten Credential-Stuffing-Techniken, um mit Informationen aus früheren Sicherheitsverletzungen auf Tausende von 23andMe-Konten zuzugreifen. Einmal im System, griffen sie auf sensible Profilinformationen zu, die über die „DNA Relatives“-Funktion des Unternehmens verknüpft waren. Dieser Vorfall zeigte, wie wiederverwendete Passwörter personenbezogene Daten offenlegen können, selbst wenn das ursprüngliche Datenleck an anderer Stelle stattfand.
Microsoft Password Spraying, 2024
Die Midnight-Blizzard-Hackergruppe verwendete Password Spraying, um Microsoft-Unternehmenskonten als Ziel zu nutzen und schwache oder wiederverwendete Anmeldedaten über mehrere Dienste hinweg zu testen. Diese Kampagne verdeutlichte, wie Angreifer Automatisierung und vorhersehbare Passwörter verwenden, um sich Zugang zu verschaffen, ohne sofortige Sperrungen auszulösen.
Was sind die Risiken und Auswirkungen von Brute-Force-Angriffen?
Das größte Risiko ist der unbefugte Zugriff auf Ihre Konten. Sobald ein Angreifer eingedrungen ist, können sich die Auswirkungen schnell ausbreiten, wenn das Konto mit E-Mail, Zahlungen, Arbeitsdateien oder anderen Diensten verbunden ist.
Kontoübernahme
Ein Angreifer kann Ihr Passwort ändern, neue Wiederherstellungsdaten hinzufügen, Sie aussperren oder das Konto verwenden, um auf weitere sensible Dienste zuzugreifen.
Offenlegung privater Daten
Nachrichten, Dokumente, Fotos, Rechnungen, gespeicherte Adressen und Zahlungsdaten können sichtbar werden, je nachdem, welches Konto kompromittiert wurde.
Finanzbetrug
Ein kompromittiertes Konto kann verwendet werden, um Einkäufe zu tätigen, Zahlungen umzuleiten, den Bankzugang zurückzusetzen oder überzeugende Betrugsversuche an Ihre Kontakte zu senden.
Weitere Kontoangriffe
Wenn Sie Passwörter wiederverwenden, kann ein einziger erfolgreicher Login zu Angriffen auf Ihre E-Mail, Ihren Cloud-Speicher, Ihre Shopping-Konten und Ihre Arbeits-Tools führen.
Wer ist am stärksten in Gefahr durch Brute-Force-Angriffe?
Jeder kann zum Ziel werden, doch manche Anmeldegewohnheiten und Kontoeinstellungen erleichtern Brute-Force-Angriffe.
Personen, die Passwörter wiederverwenden
Personen, die Passwörter für E-Mail-, Banking-, Shopping- und Social-Media-Konten wiederverwenden, sind stärker in Gefahr, wenn ein Passwort offengelegt oder erfolgreich erraten wird.
Benutzer mit schwachen Passwörtern
Kurze Passwörter, Namen von Haustieren, Geburtstage, Sportmannschaften, Tastaturmuster und vorhersehbare Zahlenkombinationen machen es Angreifern leichter, Passwörter zu erraten.
Kleine Unternehmen
Kleine Unternehmen, die gemeinsame Konten, wiederverwendete Passwörter oder schwache temporäre Anmeldungen verwenden, sind ohne strenge Anmeldeüberwachung oder MFA möglicherweise leichter als Ziel zu betrachten.
Telearbeiter
Personen, die sich von verschiedenen Standorten aus bei Arbeitstools, E-Mail-Konten und Cloud-Anwendungen anmelden, sind möglicherweise einem höheren Risiko ausgesetzt, wenn die MFA nicht aktiviert ist.
Wie kann ich mich vor Brute-Force-Angriffen schützen?
Der beste Schutz besteht darin, Passwörter schwerer erratbar zu machen und die Auswirkungen zu verringern, falls ein Passwort offengelegt wird. Diese Gewohnheiten sind einfach, können Ihr Risiko jedoch erheblich verringern.
Verwenden Sie einzigartige Passwörter
Erstellen Sie für jedes wichtige Konto ein anderes, sicheres Passwort. Ein Passwortmanager kann Ihnen helfen, lange Passwörter sicher zu speichern, ohne dass Sie sich alle merken müssen.
Aktivieren Sie die MFA
Die Multi-Faktor-Authentifizierung fügt nach der Passworteingabe einen weiteren Anmeldeschritt hinzu. Sie kann viele Kontoübernahmen verhindern, selbst wenn ein Passwort erraten oder gestohlen wurde.
Vermeiden Sie offensichtliche Muster
Verwenden Sie keine Namen, Geburtstage, Jahreszeiten, Sportmannschaften oder kleine Abwandlungen alter Passwörter. Angreifer testen diese oft als Erstes.
Achten Sie auf Anmeldebenachrichtigungen
Achten Sie auf unerwartete Anmelde-E-Mails, Nachrichten zum Zurücksetzen von Passwörtern, MFA-Aufforderungen oder Standortwarnungen. Dies können frühe Anzeichen für unbefugte Zugriffsversuche sein.
Schützen Sie Ihren Mac
Halten Sie macOS und Browser auf dem neuesten Stand, vermeiden Sie verdächtige Downloads und verwenden Sie vertrauenswürdige Mac-Sicherheitstools, um Malware-Risiken zu verringern, die zum Diebstahl von Passwörtern führen können.
So srogt Intego ONE für mehr Kontosicherheit auf Ihrem Mac
Brute-Force-Angriffe finden auf der Ebene der Kontoanmeldung statt, sodass Antivirensoftware nicht jeden Versuch, ein Passwort für einen Online-Dienst zu erraten, direkt blockieren kann. Dennoch spielt Ihr Mac eine wichtige Rolle. Intego ONE für Mac hilft Ihnen dabei, das Gerät zu schützen, das Sie für Passwörter, E-Mails, Online-Banking, Dateien und alltägliche Anmeldungen verwenden.
Die Intego Firewall warnt Sie, wenn Apps versuchen, neue oder ungewöhnliche Verbindungen herzustellen, sodass Sie nicht erkannte Aktivitäten zulassen oder blockieren können.
Sicherere Online-Gewohnheiten
Ein geschützter Mac kann dazu beitragen, das Risiko von betrügerischen Downloads, gefälschten Installationsprogrammen und anderen Bedrohungen zu verringern, die zum Diebstahl von Passwörtern oder zur Kompromittierung von Konten führen können.
Umfassenderer Mac-Schutz
Intego ONE vereint Antivirus, Firewall, VPN und Bereinigungstools an einem Ort und hilft Ihnen so, die tägliche Mac-Sicherheit mit mehr Zuversicht und Transparenz zu verwalten.
Ein Brute-Force-Angriff ist ein Login-Angriff, bei dem jemand wiederholt Passwörter errät, bis eines funktioniert. Angreifer können automatisierte Tools, gängige Passwortlisten, geleakte Daten oder vorhersehbare Variationen verwenden.
Brute-Force-Angriffe beginnen in der Regel mit einem Zielkonto oder einer Anmeldeseite und verwenden dann automatisierte Versuche, um mögliche Passwörter zu testen. Manche Angriffe erfolgen schnell, während andere bewusst verlangsamt werden, um eine Sperrung zu vermeiden. Viele folgen einem ähnlichen schrittweisen Vorgang, von der Auswahl eines Ziels über das Testen von Passwörtern bis hin zur Überprüfung des Zugriffs.
Nein. Brute-Force-Angriffe beinhalten in der Regel das Erraten oder Testen möglicher Passwörter, während Credential Stuffing Benutzernamen und Passwörter verwendet, die bei früheren Sicherheitsverletzungen offengelegt wurden. Beide zielen auf Kontoanmeldungen ab, doch die Methoden unterscheiden sich. Credential-Stuffing- und Password-Spraying-Angriffe stehen jedoch in engem Zusammenhang mit Brute-Force-Angriffen, da auch sie auf einer großen Anzahl von Anmeldeversuchen beruhen.
Zu den Warnzeichen können unerwartete Anmeldebenachrichtigungen, wiederholte E-Mails zur Passwortzurücksetzung, ungewöhnliche MFA-Aufforderungen, Kontosperrungen oder Anmeldungen von unbekannten Standorten gehören. Diese Anzeichen bestätigen nicht immer einen Brute-Force-Angriff, sollten aber umgehend überprüft werden. Achten Sie auf Anmeldebenachrichtigungen und MFA-Warnungen – dies kann Ihnen helfen, verdächtige Aktivitäten früher zu erkennen.
Intego kann nicht jeden Versuch, ein Passwort für ein Online-Konto zu erraten, direkt verhindern, da diese Angriffe auf dem Anmeldedienst selbst stattfinden. Aber Intego kann dazu beitragen, den Mac zu schützen, den Sie für Passwörter, E-Mails, Online-Banking und Dateien verwenden. Funktionen wie Malware-Erkennung und Verbindungsüberwachung können Ihnen helfen, damit verbundene Sicherheitsrisiken auf Ihrem Gerät zu verringern.
Intego
Vertrauenswürdig. Bewährt. Leistungsstark.
Seit über 25 Jahren treibt Intego Innovationen voran und bietet fortschrittliche Cybersicherheitslösungen zum Schutz Ihrer wichtigsten Dinge – Ihrer Daten, Ihrer Privatsphäre und Ihrer Geräte.
Mit preisgekrönten Antiviren-, Firewall-, VPN- und Systemoptimierungstools kombiniert Intego einen leistungsstarken Schutz mit der Einfachheit und Zuverlässigkeit, die Mac- und PC-Nutzer erwarten.
