Credential Stuffing ist der Versuch, gestohlene Kombinationen aus Benutzername und Passwort bei anderen Diensten erneut anzumelden.
Der Angriff lebt von der Wiederverwendung derselben Zugangsdaten und nicht vom Erraten neuer Wörter.
Gelingt eine Anmeldung, wirkt sie für das Zielsystem oft wie ein normaler Login.
Credential Stuffing verstehen
Grundlage sind Datenlecks, in denen Zugangsdaten bereits im Klartext oder in einer für Angreifer nutzbaren Form vorliegen.
Dieselben Paare werden danach gegen Login-Seiten weiterer Anbieter geprüft, weil viele Menschen ein Passwort mehrfach verwenden.
Die Rolle von Datenschutzverletzungen
Datenschutzverletzungen liefern die Listen, ohne die Credential Stuffing kaum lohnt.
Je mehr Dienste in einer Liste auftauchen und je schwächer die Passwörter geschützt waren, desto größer ist der Vorrat an Kombinationen für weitere Versuche.
Anmeldeversuche automatisieren
Anmeldeversuche werden in großer Zahl gegen Formulare, Apps und Programmierschnittstellen abgesetzt.
Die Abläufe folgen dem normalen Login, nur dass Quelle, Tempo und Wechsel der Konten nicht zu einem einzelnen Menschen passen.
Folgen von Credential Stuffing
Ein erfolgreicher Versuch öffnet fremde Konten, Postfächer und Zahlungsprofile.
Daraus folgen unberechtigte Käufe, das Umleiten von Nachrichten und der Missbrauch der Identität gegenüber weiteren Stellen.
Identitätsdiebstahl
Identitätsdiebstahl beginnt, wenn Angreifer mit dem geöffneten Konto gegenüber Banken, Arbeitgebern oder Bekannten auftreten.
Zurücksetzen weiterer Dienste gelingt oft über das gekaperte Postfach, ohne dass ein neues Passwort erraten werden muss.
Finanzieller Verlust
Finanzieller Verlust trifft Kontoinhaber durch Zahlungen und Händler durch Waren, die an fremde Adressen gehen.
Dazu kommen Kosten für Sperrung, Neukarten und die Bearbeitung der Fälle durch den betroffenen Dienst.
Verhindern von Credential Stuffing
Wirksame Vorbeugung entwertet geleakte Passwörter und bremst massenhafte Anmeldeversuche.
Beides gehört zusammen, weil ein einzigartiges Passwort nutzlos bleibt, wenn es später doch in einem neuen Leck auftaucht und nirgends geprüft wird.
Einzigartige Passwörter verwenden
Einzigartige Passwörter sorgen dafür, dass ein Leck bei einem Dienst die Konten bei anderen Diensten nicht öffnet.
Ein Passwortmanager hilft, lange und verschiedene Geheimnisse zu verwenden, ohne sie auf Zetteln zu wiederholen.
Aktivieren der Multi-Faktor-Authentifizierung
Multi-Faktor-Authentifizierung verlangt neben dem Passwort einen weiteren Nachweis, etwa ein Gerät oder einen zeitlich begrenzten Code.
Gestohlene Passwortpaare reichen dann für die Anmeldung nicht mehr aus.
Die Rolle von CAPTCHA bei der Verhinderung von Credential Stuffing
CAPTCHAs stehen vor dem Login, damit nicht jede gestohlene Kombination sofort durchprobiert werden kann.
CDPCaptcha lässt den Browser eine kleine Rechenaufgabe lösen, die Menschen kaum merken und die für Bots in Masse teuer wird.
Ohne Cookies und ohne Fingerprinting.
Wirksamkeit von CAPTCHAs
Ein wirksames CAPTCHA verteuert Wiederholungen, ohne den legitimen Nutzerkreis auszusperren.
Es wirkt zusammen mit Anmelderaten, Gerätebindung des zweiten Faktors und Prüfungen gegen bekannte geleakte Passwörter.
Einschränkungen und Kritikpunkte an CAPTCHA
Klassische Bildrätsel belasten Menschen und lassen sich mit Hilfsdiensten umgehen.
CDPCaptcha lässt den Browser eine kleine Rechenaufgabe lösen, die Menschen kaum merken und die für Bots in Masse teuer wird.
Ohne Cookies und ohne Fingerprinting.
Fazit
Credential Stuffing endet dort, wo Passwörter nicht wiederverwendet werden, ein zweiter Faktor fehlt und massenhafte Versuche zu teuer werden.
Keine einzelne Maßnahme deckt ein frisches Leck allein ab.