Credential Stuffing erklärt

Credential Stuffing ist eine Angriffsmethode, bei der Kriminelle gestohlene Zugangsdaten – also Kombinationen aus E-Mail-Adresse und Passwort – automatisiert bei vielen anderen Diensten ausprobieren. Sie setzen darauf, dass Menschen dasselbe Passwort mehrfach verwenden. Ein einziger Leak bei einem unbedeutenden Forum kann so zum Einbruch in E-Mail-, Shopping- oder Bankkonten führen.

So funktioniert es#

Die Erfolgsquote pro Versuch ist gering. Weil aber Millionen Kombinationen ausprobiert werden, entstehen trotzdem viele Treffer. Besonders gefährdet sind Konten mit Zahlungsdaten, Treuepunkten oder Zugang zu weiteren Diensten – allen voran das E-Mail-Postfach, über das sich andere Passwörter zurücksetzen lassen.

Woher die Daten kommen#

• Datenleaks: Datenbanken gehackter Dienste mit E-Mail-Adressen und Passwörtern. Seriöse Leak-Checker kennen inzwischen fast 20 Milliarden solcher Datensätze. Siehe Datenleaks im Darknet.
• Infostealer: Schadprogramme auf infizierten Rechnern lesen gespeicherte Passwörter und Sitzungsdaten aus. Der Infostealer Lumma wurde mit rund 10 Millionen Infektionen in Verbindung gebracht, bevor seine Infrastruktur im Mai 2025 abgeschaltet wurde.
• Phishing: Zugangsdaten, die Opfer auf gefälschten Seiten eingeben.

Foren, auf denen solche Daten und Werkzeuge gehandelt wurden, stehen im Fokus der Ermittler. Im Januar 2025 schalteten BKA und internationale Partner mit Operation Talent die Foren Cracked und Nulled mit zusammen rund 10 Millionen Nutzern ab.

Was Nutzer tun können#

1. Für jedes Konto ein eigenes Passwort. Das ist der wichtigste Schutz. Ein Passwortmanager erzeugt und speichert sie. Siehe Sichere Passwörter und Passwortmanager.
2. Zwei-Faktor-Authentifizierung aktivieren – am besten per App, Sicherheitsschlüssel oder Passkey. Selbst ein korrektes Passwort reicht Angreifern dann nicht. Siehe Zwei-Faktor-Authentifizierung.
3. Passkeys nutzen, wo Dienste sie anbieten. Sie lassen sich nicht wiederverwenden und nicht per Phishing abgreifen.
4. Leaks prüfen und betroffene Passwörter sofort ändern. Siehe Prüfen, ob deine Daten im Darknet sind.
5. Anmeldebenachrichtigungen ernst nehmen und bei unbekannten Anmeldungen sofort reagieren.

Was Unternehmen tun können#

• Mehr-Faktor-Authentifizierung für Kundinnen und Mitarbeitende anbieten oder vorschreiben.
• Geleakte Passwörter blockieren: Bei der Registrierung und Passwortänderung prüfen, ob ein Passwort in bekannten Leaks vorkommt.
• Anmeldeversuche begrenzen und ungewöhnliche Muster erkennen, etwa viele fehlgeschlagene Anmeldungen von denselben Adressen.
• Kundinnen und Kunden informieren, wenn verdächtige Anmeldungen erkannt werden.
• Darknet-Monitoring einsetzen, um geleakte Firmenzugänge früh zu erkennen. Siehe Darknet-Monitoring für Unternehmen.

Rechtliche Einordnung#

Wer sich mit fremden Zugangsdaten unbefugt Zugang zu einem Konto verschafft, macht sich in Deutschland unter anderem nach § 202a StGB (Ausspähen von Daten) strafbar; wer gestohlene Zugangsdaten kauft oder verkauft, nach § 202d StGB (Datenhehlerei). Bei anschließendem Missbrauch kommen Betrug oder Computerbetrug hinzu.