Glossar · einfach erklärt

Credential Stuffing

Credential Stuffing testet geleakte Passwörter automatisiert gegen Ihre Logins — und trifft überall dort, wo Passwörter wiederverwendet werden.

Credential Stuffing ist das automatisierte Durchprobieren geleakter Zugangsdaten: Angreifer nehmen Milliarden von E-Mail-Passwort-Paaren aus früheren Datenlecks und testen sie per Botnetz gegen Login-Seiten — in der Erwartung, dass Menschen Passwörter über Dienste hinweg wiederverwenden.

Die Trefferquote ist klein, die Masse riesig: Schon Bruchteile eines Prozents bedeuten bei Millionen Versuchen tausende übernommene Konten. Für den Betreiber sieht der Angriff wie normaler Login-Verkehr aus — verteilt über unzählige IP-Adressen.

Warum klassische Abwehr versagt

Anders als Brute Force probiert Credential Stuffing je Konto oft nur ein einziges, korrektes Paar — Kontosperren nach Fehlversuchen greifen kaum. Die Anfragen kommen aus Botnetzen mit Wohnadress-IPs und imitieren echte Browser; IP-Sperrlisten und einfache Rate Limits laufen ins Leere.

Wirksam ist die Kombination: Bot-Management erkennt automatisierte Clients am Verhalten, Abgleiche mit bekannten Leak-Datenbanken markieren kompromittierte Zugangsdaten beim Login, und MFA oder Passkeys entwerten gestohlene Passwörter komplett.

Woran man laufendes Stuffing erkennt

Anstieg fehlgeschlagener Logins über viele Konten und IPs verteilt.
Login-Erfolge aus ungewöhnlichen Regionen oder zu untypischen Zeiten.
Beschwerden über Kontoübernahmen ohne erkennbares Phishing.
Auffällige Last auf Login- und Passwort-Reset-Endpunkten.

Häufige Fragen zu Credential Stuffing

Was ist der Unterschied zu Brute Force?

Brute Force rät viele Passwörter gegen ein Konto; Credential Stuffing testet je Konto ein bereits geleaktes, korrektes Paar — dafür gegen Millionen Konten. Deshalb helfen Kontosperren gegen Brute Force, gegen Stuffing aber kaum.

Woher stammen die getesteten Zugangsdaten?

Aus früheren Datenlecks anderer Dienste: Solche Sammlungen kursieren zu Milliarden in einschlägigen Foren, sortiert und günstig. Jedes neue Leck irgendwo im Netz füllt den Vorrat — auch wenn das eigene Unternehmen nie betroffen war.

Wie schütze ich meine Nutzer-Logins konkret?

Dreifach: Bot-Management vor dem Login (erkennt Automatisierung am Verhalten), Prüfung eingehender Anmeldungen gegen bekannte Leak-Daten mit erzwungenem Reset, und MFA beziehungsweise Passkeys — damit ein korrektes Passwort allein nicht mehr reicht.

Betrifft Credential Stuffing auch APIs?

Ja, sogar bevorzugt: Login-APIs für Apps sind schneller und unauffälliger zu beharken als Web-Formulare. API-Schutz mit Rate Limits, Bot-Erkennung und Anomalie-Analyse gehört deshalb zwingend dazu — inklusive der mobilen Endpunkte.

Sind Passkeys die Lösung gegen Stuffing?

Weitgehend ja: Wo kein wiederverwendbares Passwort existiert, gibt es nichts zu stopfen. Bis alle Dienste umgestellt sind, bleiben Bot-Abwehr und Leak-Abgleich nötig — aber Passkeys entziehen dem Angriffsmodell die Grundlage.