Credential Stuffing und Brute Force

Kurz: Brute Force probiert viele Passwörter durch, Credential Stuffing probiert geleakte Kombinationen aus Name und Passwort bei anderen Diensten.

Genauer: Weil viele Menschen Passwörter wiederverwenden, funktionieren geklaute Zugangsdaten eines Dienstes oft bei anderen. Angreifer testen sie automatisiert mit Millionen Anfragen.

Im Detail

• Schutz für Nutzer: Eindeutige, lange Passwörter (Passwort-Manager), 2FA.
• Schutz für Betreiber: Begrenzung der Versuche pro Konto und IP, schrittweise Verzögerung, CAPTCHA oder Turnstile, Alarm bei auffälligen Mustern.
• Nicht verraten: Fehlermeldungen sollten nicht sagen, ob der Benutzername oder das Passwort falsch war.
• Prüfen: „Have I Been Pwned” zeigt, ob eine E-Mail-Adresse in Leaks vorkommt.
• Sperren mit Augenmaß: Eine harte Kontosperre kann missbraucht werden, um Nutzer auszusperren.

Siehe auch: Passwörter sicher speichern (Hashing mit Salt), Rate Limiting