Credential Stuffing
Was ist Credential Stuffing?
Credential Stuffing ist ein automatisierter Cyberangriff, bei dem Kriminelle bereits gestohlene Kombinationen aus Benutzernamen und Passwörtern auf weiteren Diensten testen. Der Angriff nutzt aus, dass viele Menschen Zugangsdaten mehrfach verwenden. Erfolgreiche Anmeldungen können zur Übernahme von Kundenkonten, Shops, Unternehmenssystemen oder Marketing-Zugängen führen.
Credential Stuffing verwendet echte Zugangsdaten, die beispielsweise aus früheren Datenlecks stammen. Angreifer testen diese Kombinationen automatisiert auf Login-Seiten anderer Anbieter. Stimmen Benutzername und Passwort auch dort, erhalten sie Zugang, obwohl das angegriffene System selbst keine Passwörter preisgegeben hat.
So funktioniert Credential Stuffing
Ein Credential-Stuffing-Angriff beginnt häufig mit einer umfangreichen Liste kompromittierter Zugangsdaten. Spezielle Programme oder Botnetze senden damit zahlreiche Anmeldeversuche an Websites, Apps, Kundenportale und Cloud-Dienste. Botnetze bestehen aus vielen miteinander verbundenen Geräten, wodurch sich die Anfragen auf unterschiedliche IP-Adressen verteilen lassen.
Die Angreifer prüfen nicht jede denkbare Zeichenkombination. Sie verwenden bereits bekannte Paare aus E-Mail-Adresse und Passwort. Deshalb können die Anmeldeversuche erfolgreich sein, obwohl das Zielsystem sichere Passwörter verlangt und technisch aktuell gehalten wird.
Warum der Angriff funktioniert
Credential Stuffing funktioniert vor allem durch die Mehrfachverwendung von Passwörtern. Nutzt eine Person dieselbe Kombination für einen Onlineshop, ein E-Mail-Konto und ein Unternehmensportal, kann ein einziges fremdes Datenleck mehrere Konten gefährden. Das Risiko entsteht somit durch die Wiederverwendung bereits kompromittierter Zugangsdaten.
Große Login-Systeme sind besonders attraktive Ziele, weil bereits eine geringe Erfolgsquote verwertbare Konten liefern kann. Dazu gehören Kundenkonten im E-Commerce, Buchungsportale, soziale Netzwerke, Content-Management-Systeme und Zugänge zu Werbeplattformen.
Abgrenzung zu ähnlichen Angriffen
Der Unterschied zwischen Credential Stuffing und einer Brute-Force-Attacke liegt in der Auswahl der Passwörter. Beim Brute-Force-Angriff werden viele mögliche Zeichenfolgen für ein bestimmtes Konto ausprobiert. Credential Stuffing testet dagegen bekannte Kombinationen aus Benutzernamen und Passwort über verschiedene Dienste hinweg.
| Angriffsart | Vorgehen | Typisches Merkmal |
|---|---|---|
| Credential Stuffing | Gestohlene Zugangsdaten werden bei anderen Diensten getestet. | Nutzt wiederverwendete Passwörter aus. |
| Brute Force | Viele mögliche Passwörter werden für einzelne Konten ausprobiert. | Erzeugt zahlreiche Fehlversuche pro Konto. |
| Password Spraying | Wenige häufig verwendete Passwörter werden auf viele Konten angewendet. | Umgeht teilweise klassische Kontosperren. |
| Phishing | Nutzer werden zur Eingabe ihrer Zugangsdaten auf einer gefälschten Seite verleitet. | Beschafft neue Zugangsdaten durch Täuschung. |
Credential Stuffing und Phishing können aufeinander aufbauen. Durch Phishing erbeutete Zugangsdaten lassen sich später automatisiert bei weiteren Diensten testen. Der erste Angriff beschafft die Daten, der zweite verwertet sie über mehrere Plattformen.
Schutz vor Credential Stuffing 2026
Unternehmen benötigen mehrere Schutzebenen, weil einzelne Maßnahmen automatisierte Login-Angriffe nicht vollständig abfangen. Besonders wirksam ist eine Kombination aus Mehr-Faktor-Authentifizierung, Erkennung ungewöhnlicher Anmeldemuster, sicheren Sitzungen und konsequentem Passwortmanagement.
Angriffe erkennen und einordnen
Typische Anzeichen für Credential Stuffing sind stark steigende Login-Anfragen, viele fehlgeschlagene Anmeldungen über wechselnde IP-Adressen und ungewöhnliche Zugriffe auf bisher inaktive Konten. Auch zahlreiche Anmeldeversuche mit bekannten E-Mail-Adressen, aber falschen Passwörtern, können auf automatisierte Tests hinweisen.
Eine erfolgreiche Anmeldung ist nicht automatisch legitim. Unternehmen sollten deshalb zusätzlich das verwendete Gerät, den Standort, die Uhrzeit, die Geschwindigkeit der Anfragen und das Verhalten nach dem Login auswerten. Ein Zugriff wird besonders verdächtig, wenn unmittelbar danach Passwörter, Lieferadressen oder Zahlungsdaten geändert werden.
Folgen für SEO, SEA und GEO
Credential Stuffing beeinflusst SEO meist indirekt. Wird ein administratives Website-Konto übernommen, können Angreifer Spam-Seiten veröffentlichen, Inhalte verändern, schädliche Weiterleitungen einrichten oder interne Links manipulieren. Regelmäßige Kontrollen der technischen SEO helfen dabei, unerwartete Änderungen und auffällige URLs früh zu erkennen.
Für SEA entsteht ein Risiko, wenn übernommene Konten Zugriff auf Werbeplattformen, Zahlungsdaten oder Landingpages ermöglichen. Unbefugte Änderungen können Budgets, Anzeigenziele und Conversion-Daten betreffen. Mehr-Faktor-Authentifizierung und getrennte persönliche Zugänge sind deshalb auch für Marketingkonten sinnvoll.
GEO, also Generative Engine Optimization, setzt verlässliche und unveränderte Inhalte voraus. Manipulierte Seiten können die fachliche Konsistenz einer Domain beschädigen und falsche Informationen für Suchmaschinen oder KI-Systeme bereitstellen. Credential Stuffing ist kein direkter GEO-Faktor, gefährdet aber die Integrität der Inhalte, auf denen SEO-Sichtbarkeit und KI-Sichtbarkeit aufbauen.
Nach einer Kontoübernahme sollte neben der Sicherheitsanalyse ein technisches SEO-Audit prüfen, ob neue URLs, Weiterleitungen, Metadaten oder externe Links angelegt wurden. Ein kostenloser Website-SEO-Check kann erste technische Auffälligkeiten sichtbar machen, ersetzt bei einem bestätigten Angriff jedoch keine forensische Untersuchung.
Häufige Fragen zu Credential Stuffing
Woher stammen die Zugangsdaten für Credential Stuffing?
Die verwendeten Kombinationen stammen häufig aus früheren Datenlecks, Phishing-Angriffen, Schadsoftware oder illegal gehandelten Datensammlungen. Das später angegriffene Unternehmen muss selbst kein Datenleck gehabt haben.
Kann ein starkes Passwort von Credential Stuffing betroffen sein?
Ja, wenn dasselbe Passwort bereits bei einem anderen Dienst verwendet und dort offengelegt wurde. Ein langes Passwort schützt vor dem Erraten, verliert aber seinen Nutzen, sobald die vollständige Kombination bekannt ist.
Hilft die Zwei-Faktor-Authentifizierung gegen Credential Stuffing?
Die Zwei-Faktor-Authentifizierung reduziert das Risiko erheblich, weil ein bekanntes Passwort allein nicht für die Anmeldung genügt. Besonders robust sind Verfahren mit Sicherheitsschlüsseln oder Passkeys.
Woran erkenne ich, ob mein Konto übernommen wurde?
Warnzeichen sind unbekannte Anmeldungen, unerwartete Passwortänderungen, neue Geräte, veränderte Kontaktdaten oder Aktivitäten, die du nicht ausgelöst hast. Betroffene Passwörter sollten unverzüglich geändert und aktive Sitzungen beendet werden.
Sind Captchas ein ausreichender Schutz?
Captchas können automatisierte Zugriffe erschweren, bilden aber nur eine Schutzebene. Moderne Angriffe können Captchas umgehen oder menschliche Lösungsdienste einsetzen, weshalb zusätzlich Mehr-Faktor-Authentifizierung und Login-Monitoring nötig sind.
Was sollte ein Unternehmen nach einem erfolgreichen Angriff tun?
Das Unternehmen sollte betroffene Sitzungen beenden, Zugangsdaten zurücksetzen, Protokolle sichern und den Umfang des Zugriffs untersuchen. Zusätzlich müssen manipulierte Inhalte, Berechtigungen, Zahlungsdaten und verbundene Systeme kontrolliert werden.
Wenn du nach einem Sicherheitsvorfall prüfen möchtest, welche technischen Veränderungen deine SEO-Sichtbarkeit betreffen, kann ein strukturierter Potenzialcheck die nächsten Analyseschritte klären.
Sie haben noch Fragen?
