Brute-Force-Angriff: So schützen Sie Ihre Passwörter effektiv

Erfahren Sie, was ein Brute-Force-Angriff ist, wie er funktioniert und mit welchen Maßnahmen Sie Ihre Passwörter und Konten wirksam schützen können.

Lesezeit:

8 min

Share

Passwörter schützen den Zugang zu E-Mail-Konten, Cloud-Diensten, Unternehmensnetzwerken und zahlreichen weiteren digitalen Systemen. Um Passwörter zu kompromittieren, kommen unterschiedliche Angriffsmethoden zum Einsatz. Eine der bekanntesten ist der Brute-Force-Angriff. Dabei werden mögliche Passwörter systematisch getestet, bis die richtige Kombination gefunden wurde.

In der Praxis unterscheiden sich Brute-Force-Angriffe jedoch deutlich voneinander. In diesem Blogpost zeigen wir, was ein Brute-Force-Angriff ist, welche Varianten es gibt, warum einige Angriffsmethoden deutlich erfolgreicher sind als andere und mit welchen Maßnahmen sich Benutzer und Betreiber wirksam schützen können.

Was ist ein Brute-Force-Angriff?

Der Begriff Brute Force (englisch für „rohe Gewalt“) bezeichnet in der Informatik ein allgemeines Verfahren zur Lösung eines Problems. Dabei wird der gesamte mögliche Lösungsraum systematisch durchsucht, bis die richtige Lösung gefunden wurde. Anstatt Wahrscheinlichkeiten oder Vorwissen zu nutzen, werden alle infrage kommenden Möglichkeiten nacheinander ausprobiert.

Ein Brute-Force-Angriff auf Passwörter ist eine konkrete Anwendung dieses Prinzips. Ziel ist es, das korrekte Passwort zu finden, indem verschiedene Passwortkandidaten automatisiert getestet werden. Ob ein solcher Angriff erfolgreich ist, hängt unter anderem von der Passwortlänge, der Unvorhersehbarkeit des Passworts sowie den eingesetzten Schutzmechanismen ab.

Ein einfaches Beispiel ist ein vierstelliges Zahlenschloss. Da jede Stelle zehn mögliche Ziffern besitzt, existieren insgesamt 10.000 Kombinationen von 0000 bis 9999. Ein Angreifer könnte diese Kombinationen nacheinander ausprobieren, bis das Schloss geöffnet wird. Im ungünstigsten Fall müssten alle 10.000 Kombinationen getestet werden, häufig wird die richtige Kombination jedoch bereits deutlich früher gefunden.

Nach demselben Prinzip funktionieren Brute-Force-Angriffe auf Passwörter. Der Unterschied besteht darin, dass die Versuche nicht von Hand durchgeführt werden, sondern automatisiert durch Software erfolgen.

Wie funktioniert ein Brute-Force-Angriff?

Wie ein Brute-Force-Angriff abläuft, hängt entscheidend davon ab, wo Passwörter geprüft werden. Grundsätzlich wird zwischen Online-Brute-Force-Angriffen und Offline-Passwort-Cracking unterschieden.

Online-Brute-Force

Bei einem Online-Brute-Force-Angriff sendet der Angreifer wiederholt Anmeldeversuche an einen Login-Dienst, beispielsweise eine Webanwendung, ein VPN oder einen SSH-Server. Für jeden Versuch wird ein anderes Passwort getestet, bis eine erfolgreiche Anmeldung erfolgt oder der Angriff abgebrochen wird.

Da jeder Anmeldeversuch vom Zielsystem verarbeitet werden muss, können Betreiber solche Angriffe häufig erkennen und einschränken. Schutzmechanismen wie Rate Limiting, progressive Verzögerungen, temporäre Kontosperren oder Multi-Faktor-Authentifizierung erschweren automatisierte Login-Versuche erheblich.

Ein Beispiel für ein Werkzeug, das automatisierte Anmeldeversuche gegen verschiedene Netzwerkdienste unterstützt, ist Medusa. Solche Werkzeuge werden verwendet, um Login-Versuche gegen Protokolle wie SSH, FTP oder SMB zu automatisieren und die Wirksamkeit von Zugangsdaten zu testen.

Offline-Passwort-Cracking

Deutlich gefährlicher ist häufig das Offline-Passwort-Cracking. Voraussetzung dafür ist, dass ein Angreifer bereits Zugriff auf eine Datenbank mit gespeicherten Passwort-Hashes erhalten hat, beispielsweise nach einem Datenleak.

In diesem Fall müssen keine Anfragen mehr an das eigentliche System gesendet werden. Stattdessen erzeugt der Angreifer lokal Passwortkandidaten, berechnet deren Hash mit demselben Verfahren und vergleicht das Ergebnis mit dem kompromittierten Passwort-Hash. Stimmen beide Hashes überein, wurde das ursprüngliche Passwort gefunden.

Da dieser Vorgang vollständig auf der eigenen Hardware des Angreifers stattfindet, greifen Schutzmaßnahmen wie Rate Limiting oder Kontosperren nicht. Die tatsächliche Geschwindigkeit eines solchen Angriffs hängt unter anderem vom verwendeten Passwort-Hashing-Verfahren, dessen Parametrisierung sowie der verfügbaren Hardware ab.

Ein bekanntes Werkzeug für dieses Angriffsszenario ist John the Ripper. Das Programm unterstützt zahlreiche Passwort-Hashing-Verfahren und wird verwendet, um Passwort-Hashes offline zu analysieren und deren Widerstandsfähigkeit gegenüber unterschiedlichen Angriffsmethoden zu überprüfen.

Welche Arten von Brute-Force-Angriffen gibt es?

Nicht jeder Angriff auf Passwörter folgt demselben Muster. In der Praxis versuchen Angreifer selten, alle möglichen Zeichenkombinationen vollständig durchzuprobieren. Stattdessen nutzen sie häufig das Wissen darüber, wie Menschen Passwörter erstellen. Dadurch lassen sich Erfolgsaussichten und Geschwindigkeit eines Angriffs deutlich erhöhen.

Klassischer Brute-Force-Angriff

Beim klassischen Brute-Force-Angriff werden mögliche Passwortkombinationen systematisch ausprobiert, bis das richtige Passwort gefunden wurde. Dabei existiert zunächst keine Annahme darüber, wie das Passwort aufgebaut ist. Stattdessen wird der mögliche Zeichenraum Schritt für Schritt durchsucht.

Je länger ein Passwort ist und je größer der verwendete Zeichenvorrat ausfällt, desto größer wird der Suchraum und damit auch der Aufwand für einen erfolgreichen Angriff. Aus diesem Grund gelten lange, zufällig erzeugte Passwörter als deutlich widerstandsfähiger gegen klassische Brute-Force-Angriffe als kurze oder leicht vorhersehbare Passwörter.

Wörterbuchangriff

Ein Wörterbuchangriff verfolgt einen anderen Ansatz. Anstatt sämtliche möglichen Zeichenkombinationen zu testen, verwendet der Angreifer eine Liste mit häufig genutzten Passwörtern und Begriffen. Solche Wörterbücher enthalten beispielsweise Wörter aus verschiedenen Sprachen, Namen, Tastaturmuster, Zahlenfolgen oder Passwörter, die aus früheren Datenleaks bekannt geworden sind.

Diese Angriffsmethode ist in der Praxis häufig deutlich erfolgreicher als ein klassischer Brute-Force-Angriff. Der Grund dafür ist, dass viele Menschen keine zufälligen Passwörter wählen, sondern leicht merkbare Begriffe oder bekannte Muster verwenden. Passwörter wie „Sommer“, „Passwort“ oder der Name eines Haustiers lassen sich deshalb oft mit vergleichsweise wenigen Versuchen finden.

Hybrid Brute-Force-Angriff

Ein Hybrid-Angriff kombiniert einen Wörterbuchangriff mit regelbasierten Erweiterungen. Ausgehend von einem Grundwort werden automatisch Varianten erzeugt, beispielsweise durch das Anhängen von Jahreszahlen, Zahlenfolgen oder Sonderzeichen sowie durch das Ersetzen einzelner Buchstaben.

Aus dem Passwort „Sommer“ entstehen beispielsweise Varianten wie „Sommer2025“, „Sommer!“, „S0mmer“ oder „Sommer123“. Da viele Benutzer ihre Passwörter nach ähnlichen Mustern bilden, sind solche regelbasierten Angriffe häufig wesentlich effizienter als das vollständige Durchsuchen aller möglichen Kombinationen.

Reverse Brute-Force-Angriff

Beim Reverse-Brute-Force-Angriff geht der Angreifer den umgekehrten Weg. Statt viele Passwörter für ein einzelnes Benutzerkonto auszuprobieren, wird ein bekanntes Passwort gegen zahlreiche Benutzerkonten getestet.

Ein solches Szenario kann beispielsweise nach einem Datenleak auftreten, wenn ein häufig verwendetes Passwort bekannt geworden ist oder in einer Organisation Standardpasswörter eingesetzt wurden. Ziel ist es, Benutzerkonten zu identifizieren, die dieses Passwort verwenden.

Wie lassen sich Brute-Force-Angriffe verhindern?

Wie bei allen Arten von Cyberangriffen ist es nicht möglich, einen vollständigen Schutz vor Brute-Force-Angriffen zu erreichen. Das Risiko lässt sich jedoch durch geeignete technische und organisatorische Maßnahmen erheblich verringern. Diese Schutzmaßnahmen unterscheiden sich je nachdem, ob sie von den Nutzern oder von den Dienstanbietern umgesetzt werden.

Schutzmaßnahmen für Benutzer

Für Benutzer empfehlen wir, zunächst einen Überblick über die eigene Leak-Betroffenheit zu erhalten. Wenn eigene Zugangsdaten geleakt wurden, benötigt ein Angreifer nämlich nicht mal einen Brute-Force-Angriff, um in ein Benutzerkonto einzudringen. Dazu empfehlen wir den Identeco Leak Inspector. Der Leak-Inspector gibt Endnutzern einen umfassenden Überblick über die eigene Leak-Situation: kostenlos und datenschutzkonform. Mehr zum Leak Inspector erfahren Sie hier.

Neben dieser Grundsicherheitsmaßnahme, gibt es aber noch einige andere einfache Tricks, um die eigene Passwortsicherheit zu erhöhen:

Schutzmaßnahmen für Plattform-Betreiber

Als Betreiber einer Plattform hat man ein besonderes Interesse, seine Kundenkonten vor ungewollten Account-Takeover-Attacken zu schützen. Aktiver Schutz der Kundenaccounts ist beispielsweise durch einen einfachen Abgleich von Nutzerdaten mit der Identeco-Leak Datenbank möglich. So kann Ihre Plattform auch ganz einfach vor Brute-Force-Angriffen geschützt werden. In diesem Blogartikel erfahren Sie noch mehr über Plattformschutz durch Identeco.

Neben dieser Grundsicherheitsmaßnahme, gibt es aber auch für Plattformbetreiber noch einige andere Maßnahmen, um die Plattformsicherheit zu erhöhen:

Fazit

Brute-Force-Angriffe gehören zu den ältesten und bekanntesten Angriffsmethoden auf Passwörter. In der Praxis bestehen sie jedoch längst nicht mehr nur aus dem vollständigen Ausprobieren aller möglichen Zeichenkombinationen. Wörterbuch- und Hybridangriffe sowie Password Spraying nutzen gezielt die Tatsache aus, dass Menschen häufig vorhersehbare oder mehrfach verwendete Passwörter wählen. Dadurch sind sie oft wesentlich effizienter als ein klassischer Brute-Force-Angriff.

Ebenso wichtig ist die Unterscheidung zwischen Online-Brute-Force-Angriffen und Offline-Passwort-Cracking. Während Online-Angriffe durch Schutzmechanismen wie Rate Limiting oder Multi-Faktor-Authentifizierung begrenzt werden können, hängt die Sicherheit nach einem Datenleak maßgeblich von einer sicheren Passwortspeicherung mit modernen Passwort-Hashing-Verfahren wie Argon2 ab.

Die wirksamste Verteidigung besteht daher aus mehreren sich ergänzenden Maßnahmen. Benutzer sollten lange, einzigartige Passwörter verwenden, diese in einem Passwortmanager verwalten und Multi-Faktor-Authentifizierung aktivieren. Betreiber auf der anderen Seite, sollten außerdem ihre Anwendungen durch geeignete Schutzmechanismen gegen automatisierte Anmeldeversuche absichern und nach dem aktuellen Stand der Technik dafür Sorge tragen, dass ihre Nutzer keine kompromittierten Zugangsdaten verwenden, z. B. mithilfe der Identeco-Produkte.

Wenn Sie noch mehr über die angesprochenen Themen erfahren wollen, klicken Sie hier:

• 2FA und MFA
• Ein sicheres Passwort wählen

Haben Sie noch weitere Fragen zur Datensicherheit, Account-Sicherheit oder zu den Leistungen von Identeco, kontaktieren Sie uns gerne per Mail oder vereinbaren Sie hier einen Termin mit uns!