Login vor Brute-Force-Angriffen schützen: die wirksamsten Maßnahmen
Aktualisiert am · 6 Min. Lesezeit
Bei einem Brute-Force-Angriff probiert ein Bot Passwörter aus, bis eines passt. Beim Credential Stuffing nutzt er Zugangsdaten aus fremden Datenlecks, weil viele Menschen Passwörter mehrfach verwenden. Beides lässt sich wirksam bremsen.
Fehlversuche begrenzen
Die wichtigste Maßnahme: Nach einigen Fehlversuchen (etwa fünf) wird eine Pause erzwungen, zum Beispiel 15 Minuten. Zählen Sie dabei pro Konto und pro IP-Adresse — nur pro IP reicht nicht, weil Angriffe über viele Adressen verteilt laufen; nur pro Konto würde jeder Angreifer beliebige Konten für ihre Besitzer sperren können.
Die Grenze muss vor der Passwortprüfung greifen. Sonst verbraucht jeder Versuch Rechenzeit für das Passwort-Hashing, und der Angreifer erfährt trotzdem, ob er richtig lag.
Captcha auf dem Anmeldeformular
Ein Captcha macht jeden automatisierten Versuch teurer. Gerade beim Credential Stuffing, bei dem Millionen Zugangsdaten durchprobiert werden, verschiebt ein Proof-of-Work-Captcha die Rechnung für den Angreifer deutlich.
Zwei typische Fehler: Das Captcha wird nur angezeigt, aber nicht auf dem Server geprüft — oder die Prüfung entfällt, wenn der Token ganz fehlt. Beides lässt Bots ungehindert durch.
Die richtigen Fehlermeldungen
„Benutzer existiert nicht“ und „Passwort falsch“ verraten dem Angreifer, welche Konten es gibt. Besser ist eine einheitliche Meldung: „Die Zugangsdaten sind nicht korrekt.“ Dasselbe gilt für „Passwort vergessen“: Die Antwort sollte immer gleich lauten, egal ob die Adresse registriert ist.
Zwei-Faktor-Anmeldung und Passkeys
Selbst ein erratenes oder geleaktes Passwort ist wertlos, wenn ein zweiter Faktor fehlt. Authenticator-Apps (TOTP) sind weit verbreitet; Passkeys sind noch sicherer, weil sie an die Domain gebunden sind und sich nicht auf Phishing-Seiten nutzen lassen. Wichtig ist, dass der Server die Signatur des Passkeys tatsächlich kryptografisch prüft — die bloße Kennung eines Passkeys ist kein Geheimnis.
Häufige Fragen
Wie viele Anmeldeversuche sollte ich erlauben?
Üblich sind fünf Fehlversuche, danach eine Pause von etwa 15 Minuten — gezählt pro Konto und pro IP-Adresse.
Reicht ein Captcha als Login-Schutz?
Nein. Es verteuert automatisierte Versuche, ersetzt aber weder eine Sperre nach Fehlversuchen noch eine Zwei-Faktor-Anmeldung für wichtige Konten.
Was ist Credential Stuffing?
Angreifer probieren Kombinationen aus E-Mail und Passwort aus fremden Datenlecks automatisiert auf anderen Seiten aus. Es funktioniert, weil viele Menschen Passwörter mehrfach verwenden.