Brute-Force-Angriff: Passwörter im Visier von Angreifern

Ein Brute-Force-Angriff gehört zu den ältesten Tricks im Werkzeugkasten von Angreifern. Und er funktioniert bis heute. Dabei probiert ein Programm Passwort um Passwort durch. Und zwar so lange, bis eines passt. Die Methode ist simpel. Genau das macht sie so gefährlich. Denn sie braucht keine feine Schwachstelle. Es reicht ein schwaches Passwort. Dazu ein offener Login.

Dieser Beitrag erklärt den Begriff verständlich. Zunächst zeigen wir, wie ein Brute-Force-Angriff abläuft. Ebenso, welche Varianten es gibt. Danach geht es um den konkreten Schaden für ein KMU. Zum Schluss stehen die Maßnahmen zum Schutz. Das Ziel ist ein klares Bild statt vager Sorge. Also Wissen, mit dem Sie handeln können.

Was ist ein Brute-Force-Angriff?

Ein Brute-Force-Angriff ist der Versuch, ein Passwort durch systematisches Ausprobieren zu erraten. Dabei nutzt der Täter ein Programm. Es läuft Zeichen für Zeichen durch. Der Name sagt es schon. Dabei geht es um rohe Gewalt. Also nicht um Raffinesse. Zunächst testet die Software kurze und einfache Passwörter. Danach arbeitet sie sich zu längeren vor. Ein kurzes Passwort aus vier Ziffern ist in Sekunden geknackt. Hingegen dauert ein langes, zufälliges praktisch ewig.

Der Reiz für Angreifer liegt in der Automatisierung. Denn ein einzelner Rechner schafft heute Millionen Versuche pro Sekunde. Deshalb ist kein Mensch nötig, der mühsam tippt. Vielmehr laufen die Angriffe rund um die Uhr. Und das im großen Stil. Genau darum trifft so ein Angriff auch kleine Betriebe. Denn die Software fragt nicht, wie groß Ihr Unternehmen ist. Vielmehr sucht sie nur nach einer offenen Tür.

Die wichtigsten Varianten

Nicht jeder Angriff läuft gleich ab. Zunächst gibt es den klassischen Wörterbuch-Angriff. Dabei testet das Programm keine zufälligen Zeichen. Vielmehr nutzt es eine Liste bekannter Passwörter. Also "Sommer2025" oder den Firmennamen mit angehängter Jahreszahl. Dabei enthalten solche Listen Millionen echter Passwörter aus früheren Datenlecks. Deshalb ist ein Wörterbuch-Angriff oft schneller als reines Durchprobieren.

Eine zweite Variante ist das Credential Stuffing. Hier nutzt der Angreifer gestohlene Zugangsdaten aus einem fremden Datenleck. Er probiert diese Paare aus E-Mail und Passwort bei anderen Diensten durch. Das klappt, weil viele Menschen dasselbe Passwort mehrfach nutzen. Laut OWASP zählt Credential Stuffing zu den häufigsten Wegen zur Kontoübernahme. Deshalb ist ein wiederverwendetes Passwort ein Risiko für alle Ihre Konten zugleich.

Password Spraying kehrt die Logik um

Die dritte Variante heißt Password Spraying. Sie dreht die klassische Logik um. Er testet nicht viele Passwörter gegen ein Konto. Stattdessen probiert er wenige gängige Passwörter gegen viele Konten. Also etwa "Passwort123" gegen hunderte Nutzer. Der Grund ist clever. Denn eine Kontosperre nach fünf Fehlversuchen greift so nicht. Jedes einzelne Konto sieht nur ein oder zwei Versuche. Somit bleibt der Angriff lange unentdeckt. Für Unternehmen ist diese Variante besonders tückisch.

Alle drei Varianten haben eines gemeinsam. Sie setzen an schwachen oder wiederverwendeten Passwörtern an. Deshalb ist die Trennlinie in der Praxis oft fließend. Ein Angreifer startet mit gestohlenen Zugangsdaten. Bei Bedarf ergänzt er reines Durchprobieren. Zudem lassen sich die Methoden kombinieren. Genau darum reicht eine einzelne Gegenmaßnahme selten aus. Vielmehr braucht es mehrere Schichten, die ineinandergreifen.

Was ein Brute-Force-Angriff für Ihr KMU bedeutet

Ein erfolgreicher Brute-Force-Angriff endet fast immer mit einem gekaperten Konto. Und das hat Folgen. Denn ein gekapertes Konto ist oft der Einstieg ins Firmennetz. Der Angreifer liest E-Mails mit, greift auf Dateien zu oder verschickt Rechnungen mit geänderter Bankverbindung. Im schlimmsten Fall folgt eine Verschlüsselung durch Ransomware. Somit steht am Ende oft ein Schaden, der weit über das einzelne Konto hinausgeht.

Die Zahlen zeigen, wie real die Gefahr ist. Aktuelle Lageberichte verzeichnen einen starken Anstieg automatisierter Angriffe auf Web-Anwendungen. Ein großer Teil der erfolgreichen Angriffe auf Web-Apps stützt sich auf gestohlene oder geratene Zugangsdaten. Häufig beginnt ein Vorfall mit einem Skript, das Passwörter durchprobiert. Auch die österreichische Initiative onlinesicherheit.gv.at warnt oft vor gekaperten Konten durch schwache Passwörter. Deshalb ist das Thema kein Randproblem. Es trifft den Kern der IT-Sicherheit.

Warum RDP, VPN und Weblogins im Visier stehen

Besonders gefährdet sind Zugänge, die direkt aus dem Internet erreichbar sind. Dazu zählt zuerst der Fernzugriff per RDP. Denn viele Betriebe öffneten ihn während der Homeoffice-Phase. Danach ließen sie ihn offen. Genau solche RDP-Ports scannen Angreifer permanent ab. Ebenso stehen VPN-Zugänge im Visier. Auch Weblogins geraten ins Fadenkreuz. Etwa das Kundenportal oder die Webmail. Jeder dieser Zugänge ist eine Tür, an der ein Angreifer rütteln kann.

Der Schaden bleibt selten beim einzelnen Konto. Ein Beispiel macht das klar. Ein Angreifer errät das Passwort eines Buchhalters. Danach durchsucht er dessen Postfach nach offenen Rechnungen. Dann meldet er sich beim Lieferanten. Und zwar mit einer neuen Kontonummer. Somit geht der nächste Zahlungslauf auf ein fremdes Konto. Der finanzielle Verlust ist direkt. Dazu kommt der Vertrauensschaden bei Kunden und Partnern. Wie Sie im Ernstfall reagieren, lesen Sie im Ratgeber Cyberangriff: Was Sie in den ersten Stunden tun müssen.

Auch die Meldepflichten geraten ins Spiel. Ein Brute-Force-Angriff kann personenbezogene Daten abfließen lassen. Dann greift die Meldepflicht nach DSGVO. Führt die Datenpanne voraussichtlich zu einem Risiko für Betroffene, meldet der Verantwortliche sie unverzüglich, möglichst binnen 72 Stunden, an die Datenschutzbehörde. Und zwar an die Datenschutzbehörde. Zudem kann ein solcher Vorfall unter das NIS2-Regime fallen. Somit ist ein gekapertes Konto nicht nur ein technisches Thema. Es ist auch ein rechtliches. Deshalb gehört sie in jedes ernst gemeinte Sicherheitskonzept.

Woran Sie einen Brute-Force-Angriff erkennen

Ein Brute-Force-Angriff hinterlässt Spuren, wenn man sie sucht. Dabei ist das deutlichste Zeichen eine Häufung fehlgeschlagener Anmeldungen. Zunächst sehen Sie viele Fehlversuche auf ein einzelnes Konto. Danach folgen oft Versuche aus ungewöhnlichen Ländern. Zudem fallen Anmeldungen zu seltsamen Uhrzeiten auf. Etwa mitten in der Nacht. Solche Muster sind ein klares Warnsignal. Doch sie helfen nur, wenn jemand sie überhaupt sieht.

Typische Alarmzeichen im Betrieb

• Kontosperren häufen sich: Mehrere Mitarbeiter werden plötzlich ausgesperrt, weil ihr Konto nach zu vielen Fehlversuchen sperrt.
• Unbekannte IP-Adressen: In den Logs tauchen Anmeldeversuche aus Regionen auf, in denen Ihr Betrieb keine Nutzer hat.
• Login-Spitzen ohne Grund: Die Zahl der Anmeldeversuche steigt sprunghaft, ohne dass ein Grund vorliegt.
• Erfolgreiche Anmeldung nach vielen Fehlversuchen: Das ist das gefährlichste Zeichen. Denn dann war der Angriff womöglich erfolgreich.

Das Problem ist die Sichtbarkeit. Ohne zentrale Auswertung der Protokolle bleibt der Angriff oft unbemerkt. Deshalb braucht es ein Monitoring. Es führt Login-Fehler zusammen und alarmiert bei Auffälligkeiten. Genau solche Lücken deckt ein IT-Security-Audit auf. Denn es prüft nicht nur die Technik. Es prüft auch, ob Sie einen laufenden Angriff sehen würden.

Password Spraying erschwert die Erkennung zusätzlich. Denn hier verteilt sich der Angriff auf viele Konten. Jedes einzelne Konto zeigt nur wenige Fehlversuche. Deshalb schlägt keine klassische Kontosperre an. Nur die Gesamtsicht über alle Konten macht das Muster sichtbar. Also ein Anstieg der Fehlversuche über die ganze Organisation hinweg. Ohne dieses Bild bleibt der Angriff im Verborgenen.

So schützen Sie Ihr Unternehmen wirksam

Der Schutz vor einem Brute-Force-Angriff ruht auf mehreren Säulen. Keine Maßnahme genügt für sich allein. Doch zusammen machen sie einen Angriff sehr unwahrscheinlich. Daher ordnet die folgende Übersicht die Maßnahmen nach Wirkung und Aufwand. Zunächst die schnellen Hebel, danach die tiefergehenden.

Die wichtigsten Maßnahmen im Überblick

MFA ist der stärkste Hebel

Die Mehr-Faktor-Authentifizierung (MFA) ist der wirksamste Schutz. Denn selbst ein geratenes Passwort nützt dem Täter nichts, wenn ein zweiter Faktor fehlt. Also etwa ein Code aus einer App oder ein Hardware-Token. Somit läuft ein Brute-Force-Angriff ins Leere, sobald MFA aktiv ist. Wie Sie das umsetzen, zeigt der Beitrag zur Zwei-Faktor-Authentifizierung. Aktivieren Sie MFA vorrangig an den Zugängen aus dem Internet. Also zuerst bei VPN, RDP und Webmail.

Passwörter, Sperren und Grenzen

Ein starkes Passwort verlängert die Rate-Zeit enorm. Das NIST empfiehlt dafür lange Passwörter. Zudem rät es zum Abgleich mit Listen bekannter Leck-Passwörter. Ein Account-Lockout stoppt das Durchprobieren. Er sperrt ein Konto nach zu vielen Fehlversuchen. Rate-Limiting wirkt ergänzend. Es begrenzt die Zahl der Versuche pro Zeitspanne. Somit bremst es die Automatisierung aus. Auch das BSI nennt sichere Authentifizierung als eine der zentralen Grundmaßnahmen. Gemeinsam machen diese Grundlagen den Angriff sehr teuer für den Täter. Sie fügen sich zudem in die breitere IT-Härtung ein.

Einordnung: Passwörter, Authentifizierung, ISMS

Ein Brute-Force-Angriff ist kein isoliertes Problem. Vielmehr ist er ein Symptom schwacher Authentifizierung. Deshalb lohnt der Blick auf das größere Bild. Denn wer nur einzelne Löcher stopft, übersieht die Systematik. Ein Brute-Force-Angriff nutzt genau diese Lücken im System. Ein Passwort ist immer nur so stark wie das Verfahren, das es prüft. Genau hier setzt eine gute Authentifizierungs-Strategie an.

Die Wahl der Anmeldeverfahren entscheidet mit über die Sicherheit. Denn ein reines Passwort ist der schwächste Faktor. Hingegen hebt ein zweiter Faktor das Niveau deutlich. Welche Verfahren es gibt, erklärt der Beitrag zu den Authentifizierungs-Methoden. Somit ist der Schutz Teil einer bewussten Entscheidung. Also kein Zufallsprodukt.

Warum das ISMS den Rahmen liefert

Einzelne Maßnahmen wirken erst im System dauerhaft. Genau dafür gibt es ein Informationssicherheits-Managementsystem, kurz ISMS. Es sorgt dafür, dass Passwort-Regeln, MFA und Monitoring laufend gepflegt werden. Also nicht nur einmal eingerichtet. Ein ISMS nach ISO 27001 verankert die Zugriffskontrolle als festen Prozess. Deshalb bleibt der Schutz auch dann bestehen, wenn Mitarbeiter wechseln. Ebenso, wenn neue Systeme dazukommen. Ohne diesen Rahmen zerfällt die Sicherheit mit der Zeit.

Auch der Faktor Mensch spielt hinein. Denn schwache Passwörter entstehen oft aus Bequemlichkeit. Denn ein Mitarbeiter, der die Gefahr kennt, wählt ein besseres Passwort. Deshalb ergänzt eine Security-Awareness-Schulung die technischen Maßnahmen. Zudem hilft ein Passwort-Manager. Denn er macht lange und einzigartige Passwörter erst praktikabel. Wie sehr der Mensch im Zentrum steht, zeigt der Beitrag zum Faktor Mensch in der IT-Sicherheit.

Wie SecTec Sie beim Schutz unterstützt

SecTec begleitet KMU auf dem Weg zu einem soliden Schutz. Dabei starten wir mit einer nüchternen Bestandsaufnahme. Welche Zugänge sind aus dem Netz erreichbar? Wo fehlt MFA? Wie stehen die Passwort-Regeln? Somit entsteht zuerst ein klares Bild der Lage. Erst danach folgen die passenden Maßnahmen. Denn ein Schutzkonzept ohne Analyse ist nur geraten.

Von der Prüfung zur Umsetzung

Ein IT-Security-Audit deckt die offenen Türen auf. Dabei prüfen wir die von außen erreichbaren Dienste und die Anmeldeverfahren. Ergänzend zeigt ein Penetrationstest, wie weit ein Angreifer mit geratenen Zugangsdaten kommt. Danach priorisieren wir gemeinsam. Also erst MFA an den kritischen Zugängen. Dann die Feinarbeit an Passwort-Regeln und Monitoring. Somit investieren Sie dort, wo die Wirkung am größten ist.

Nachhaltiger Schutz statt Einmal-Aktion

Sicherheit ist kein Projekt mit Enddatum. Deshalb helfen wir, den Schutz dauerhaft zu verankern. Manche Betriebe haben keine eigene Sicherheitsabteilung. Dann übernimmt ein virtueller CISO die laufende Steuerung. Zudem stärkt eine Cybersicherheit für KMU das Fundament. Und zwar über den einzelnen Login hinaus. So wird aus einer Reihe von Einzelmaßnahmen ein tragfähiges System. Wenn Sie unsicher sind, wo Ihr Betrieb steht, hilft ein kurzes Erstgespräch. Darin klären wir die wichtigsten Fragen und den nächsten sinnvollen Schritt.

Am Ende zählt die Praxis. So ein Angriff scheitert nicht an teurer Technik. Vielmehr scheitert er an konsequenter Umsetzung. MFA, starke Passwörter und ein Blick auf die Logs genügen meist. Genau hier setzt unsere Beratung an. Herstellerunabhängig und mit Blick auf Ihren Betrieb. Denn jede Firma hat andere Zugänge, andere Systeme und andere Prioritäten.

Erstgespräch vereinbaren

Häufig gestellte Fragen

Was ist ein Brute-Force-Angriff einfach erklärt?

Ein Brute-Force-Angriff ist automatisiertes Passwortraten. Ein Programm probiert systematisch Zeichenkombinationen durch, bis eine passt. Kurze und einfache Passwörter fallen in Sekunden. Lange, zufällige Passwörter halten praktisch ewig stand.

Wie lange dauert ein Brute-Force-Angriff?

Das hängt allein vom Passwort ab. Ein Passwort aus vier Ziffern knackt ein Rechner in Sekunden. Ein Passwort mit zwölf Zeichen dauert dagegen Jahre. Oft sogar Jahrhunderte. Deshalb ist die Länge der stärkste Hebel.

Was ist der Unterschied zwischen Brute Force und Credential Stuffing?

Beim klassischen Brute-Force-Angriff rät die Software das Passwort neu. Beim Credential Stuffing nutzt der Täter schon gestohlene Zugangsdaten aus einem Datenleck. Danach testet er diese bei anderen Diensten. Denn viele Menschen nutzen Passwörter mehrfach.

Schützt MFA wirklich vor einem Brute-Force-Angriff?

Ja, sehr zuverlässig. Denn selbst ein korrekt geratenes Passwort genügt dem Angreifer nicht, wenn ein zweiter Faktor fehlt. Deshalb ist MFA die wirksamste Einzelmaßnahme. Vor allem an Zugängen aus dem Netz.

Warum sind RDP und VPN besonders gefährdet?

Weil sie direkt aus dem Internet erreichbar sind. Angreifer scannen offene RDP-Ports und VPN-Zugänge permanent ab. Somit sind das die ersten Türen, an denen ein Brute-Force-Angriff rüttelt. Genau hier gehört MFA daher zuerst hin.

Woran erkenne ich, dass mein Unternehmen angegriffen wird?

Achten Sie auf viele fehlgeschlagene Anmeldungen. Ebenso auf gehäufte Kontosperren und Logins aus fremden Regionen. Ohne zentrale Auswertung der Logs bleibt ein Angriff oft unbemerkt. Deshalb ist ein Monitoring der Anmeldungen wichtig.

Reicht ein starkes Passwort als Schutz aus?

Ein starkes Passwort hilft viel, genügt aber allein nicht. Denn ein Datenleck bei einem anderen Dienst legt es offen. Deshalb kombinieren Sie starke Passwörter immer mit MFA. Ebenso mit Account-Lockout und einem Blick auf die Login-Logs.

Fazit: Ein Brute-Force-Angriff ist vermeidbar

Ein Brute-Force-Angriff ist einfach im Prinzip. Und real in der Gefahr. Angreifer probieren Passwörter automatisiert durch, oft an RDP, VPN oder Weblogins. Der Schaden reicht von der Kontoübernahme bis zur Verschlüsselung des ganzen Netzes. Doch der Schutz ist keine Raketenwissenschaft. MFA, lange Passwörter, Account-Lockout und ein Auge auf die Logs genügen meist.

Wichtig ist die konsequente Umsetzung an den richtigen Stellen. Also zuerst MFA an den Zugängen aus dem Internet. Danach die Feinarbeit an Passwort-Regeln und Monitoring. Wo Sie stehen und was zuerst dran ist, klären wir gern in einem kurzen Gespräch. Denn ein vermeidbares Risiko sollte nicht das sein, an dem Ihr Betrieb scheitert.

SecTec begleitet Sie dabei. Herstellerunabhängig und mit Blick auf das Ganze. Jetzt Erstgespräch vereinbaren