Was sind Brute-Force-Attacken – und wie kann man sich vor ihnen schützen?

Was ist eine Brute-Force-Attacke – und wie verhindert man sie?

Es gibt elegante, hinterhältige und raffinierte Cyberangriffe – und es gibt Brute-Force-Attacken. Bei Brute-Force-Angriffen gehen Hacker vergleichsweise stumpf vor, in dem sie automatisiert so viele Passwort-Kombinationen zu einem Nutzerzugang ausprobieren, wie nur möglich. Immer mit der Hoffnung, dass eine der ausprobierten Kombinationen dann zum Erfolg führt. Ein Erfolg beziehungsweise Misserfolg hängt bei Brute-Force-Attacken von nur zwei Faktoren ab: Zeit und verfügbare Ressourcen. Denn prinzipiell lässt sich jedes Passwort durch schlichtes Ausprobieren von möglichen Kombinationen lösen. Die Zeit, die für den Hack benötigt wird, steigt dabei proportional zur Komplexität des verwendeten Passwortes. Moderne Hochleistungs-Rechner, wie sie vor allem von organisierten Cyberkriminellen verwendet werden, können in kürzester Zeit Milliarden von Kombinationen ausprobieren.

Welche Methoden werden bei Brute-Force-Angriffen verwendet?

Methode 1: Einfache Brute-Force-Angriffe

Mit minimaler Rechenleistung, ein wenig Geschick seitens des Angreifers und Geduld lassen sich einfache Brute-Force-Angriffe durchführen. Hierbei gehen der oder die Angreifer systematisch durch Wortkombinationen, Zahlenfolgen oder einem Mix aus beidem, bis der Angriff erfolgreich ist. Mit einem einfachen Bot lassen sich viele Passwörter erraten, selbst manuell ausgeführt sind viele Angriffe noch erfolgreich. Der Grund liegt in der Faulheit der Anwender. Passwörter wie „12345“, der eigene Geburtstag oder der absolute Passwort-Klassiker „passwort“ sind auch 2022 nicht totzukriegen.

Methode 2: Wörterbuch-Attacken

Mit komplexen Wörtern, die außer einem selbst niemand sonst mit dem eigenen Account in Verbindung bringt, versuchen viele Anwender, ihre Zugänge abzusichern. Tatsächlich sind einfache Brute-Force-Attacken bei komplexen Passwörtern schnell am Ende. Das wissen auch die Cyberkriminellen, und setzen auf die sogenannten Wörterbuch-Attacken. Hierbei werden digitale Wörterbücher oder Wort-Listen als Hilfe verwendet und vollautomatisch abgearbeitet. Einzelne Wörter, Wortkombinationen, unterschiedliche oder veraltete Schreibweisen und Fremdsprachen: Anwender, die auf ein einzelnes Wort als Passwort setzen, sind ihren Schutz in nur wenigen Sekunden los – und der Account in den Händen der Cyberkriminellen.

Methode 3: Hybride Brute-Force-Angriffe

Bei der Hybridform der Brute-Force-Angriffe kombinieren die Angreifer Techniken der einfachen Brute-Force-Attacken mit Wörterbuchangriffen. Bei dieser Methode werden häufig verwendete Passwörter mit zufällig generierten Zeichen und Wörterbucheinträgen kombiniert. Dank im Darknet eingekaufter Listen, statistischen Zuordnungen einzelner Bevölkerungsgruppen und Verhaltensbeobachtungen finden Cyberkriminelle heraus, wer welche Wortkombinationen wo am häufigsten einsetzt. Wenn Sie der Meinung sind, dass Ihr gewähltes Passwort „ITS3CUri7y-22“ sicher ist, dann müssen wir Sie enttäuschen. Denn genau auf derartige Kombinationen haben sich hybride Brute-Force-Attacken spezialisiert.

Methode 4: Umgekehrte Brute-Force-Attacken

Einmal kompromittierte Passwörter landen häufig als Leak im Darknet. Eine inspirierende Quelle für Cyberkriminelle, die zu den Passwörtern dann nur noch den passenden Nutzernamen herausfinden müssen. Sehr viele Anwender beachten die grundlegendsten Sicherheitsanforderungen für eine Login-ID nicht – was das Hacken von Nutzernamen zu einer ziemlich lukrativen Angelegenheit macht. Mit umgekehrten Brute-Force-Attacken holen sich Cyberangreifer den passenden Namen zu einem Passwort, in dem die Reihenfolge des „klassischen“ Brute-Force-Angriffs einfach umgedreht wird. Die Hacker starten mit einem bekannten Passwort und probieren dazu automatisiert alle möglichen (und unmöglichen) Nutzer-IDs aus.

Methode 5: Credential Stuffing

Credential Stuffing nutzt die Macht der Gewohnheit aus – und ist dadurch zu einer unheimlich effizienten Methode geworden, der wir bereits vor fast genau einem Jahr bereits einen eigenen Blogartikel gewidmet hatten. Credential Stuffing setzt darauf, dass viele Anwender ein „Lieblingspasswort“ haben, das sie auf unterschiedlichsten Seiten für den Login verwenden. Das Lieblingspasswort ist dabei meist noch nicht mal besonders sicher – oder wenn es das ist, wird es gerne direkt im Browser abgespeichert. Cyberkriminelle wissen um die Macht der Gewohnheit und gehen gerne im Darknet auf Einkaufstour. Hier gibt es zahlreiche Listen, die durch Cyberangriffe oder Leaks ins Netz gelangt sind und Anmeldedaten fein säuberlich sortiert aufführen. Beim Credential Stuffing werden Bots mit den verfügbaren Anmeldedaten gefüttert – und auf unterschiedlichste Webseiten losgelassen. Erfolgreiche Anmeldeversuche werden von den Hackern aufgezeichnet und anschließend entweder für weitere Cyberangriffe genutzt oder im Darknet weiterverkauft.