Glossar · einfach erklärt

Brute-Force-Angriff

Brute Force probiert Passwörter systematisch durch — von simplen Wortlisten bis zu verteiltem Raten gegen tausende Konten.

Ein Brute-Force-Angriff versucht, Zugangsdaten durch systematisches Ausprobieren zu erraten: alle Kombinationen (klassisch), Wortlisten mit typischen Passwörtern (Dictionary), oder umgekehrt ein häufiges Passwort gegen viele Konten (Password Spraying) — die Variante, die Kontosperren elegant unterläuft.

Ziele sind alles mit Login: VPN-Portale, E-Mail, RDP- und SSH-Zugänge, Admin-Oberflächen, APIs. Exponierte Fernzugänge stehen dabei traditionell ganz oben auf der Liste.

Die Varianten im Überblick

Klassisches Durchprobieren scheitert an guten Passwörtern und Sperren — relevant bleibt es offline, wenn Angreifer gestohlene Passwort-Hashes mit GPU-Leistung knacken. Online dominieren die klugen Varianten: Dictionary-Angriffe mit realistischen Wortlisten und Password Spraying, das mit wenigen Versuchen je Konto unter jeder Sperr-Schwelle bleibt.

Die Verteidigung kombiniert Vergrößerung des Suchraums (lange Passphrasen, besser Passkeys), Verlangsamung (Rate Limits, progressive Verzögerungen, Sperren) und Erkennung verteilter Muster über Konten hinweg — plus die Grundregel, Fernzugänge nie ungeschützt zu exponieren.

Schutzmaßnahmen mit Wirkung

MFA oder Passkeys: geratenes Passwort allein öffnet nichts mehr.
Rate Limits und progressive Verzögerung an allen Login-Endpunkten.
Password Spraying erkennen: Fehlversuche kontenübergreifend korrelieren.
Exponierte Zugänge (RDP, SSH, Admin-Panels) hinter ZTNA statt offen ins Netz.

Häufige Fragen zu Brute-Force-Angriff

Was ist Password Spraying?

Die umgekehrte Brute Force: Statt viele Passwörter gegen ein Konto zu testen, probiert der Angreifer ein häufiges Passwort gegen viele Konten — und bleibt so unter jeder Sperr-Schwelle. Erkennbar nur durch kontenübergreifende Korrelation der Fehlversuche.

Schützt eine Kontosperre nach Fehlversuchen?

Gegen klassisches Raten ja, gegen Spraying kaum — dort gibt es pro Konto nur wenige Versuche. Zudem lassen sich Sperren als Waffe missbrauchen, um Nutzer auszusperren. Besser wirken progressive Verzögerungen, Bot-Erkennung und MFA.

Wie lang muss ein sicheres Passwort sein?

Länge schlägt Komplexität: Passphrasen ab etwa zwölf bis sechzehn Zeichen aus mehreren Wörtern sind praktisch nicht online zu erraten und auch offline teuer zu knacken. Noch besser: einzigartige Passwörter aus dem Passwort-Manager — oder gleich Passkeys.

Was bedeutet Offline-Brute-Force?

Angreifer erbeuten Passwort-Hashes (etwa aus einem Datenbank-Leak) und knacken sie auf eigener Hardware — ohne Rate Limits, mit GPU-Geschwindigkeit. Dagegen helfen moderne, langsame Hash-Verfahren und lange Passphrasen; für Betreiber: Hashes wie Kronjuwelen schützen.

Warum sind RDP- und VPN-Zugänge Lieblingsziele?

Weil sie direkten Vollzugriff versprechen und oft offen im Netz stehen. Dauerbeschuss auf exponierte Fernzugänge ist Internet-Grundrauschen. Die nachhaltige Antwort: solche Zugänge hinter Zero-Trust-Zugriff (ZTNA) legen, statt sie öffentlich erreichbar zu lassen.