Was ist ein Brute-Force-Angriff?

Ein Brute-Force-Angriff ist der Versuch, Zugriff auf einen Account oder ein System zu erlangen, indem mögliche Passwörter oder Schlüssel systematisch durchprobiert werden, bis einer funktioniert. Das Konzept ist so alt wie Passwörter selbst; gefährlich macht es heute die Automatisierung. Software schafft Tausende Versuche pro Sekunde, und verteilte Infrastruktur erlaubt es Angreifern, diese Versuche über viele Maschinen und IP-Adressen zu streuen.

Verbreitete Varianten

Klassisches Brute Force zählt jede mögliche Kombination auf, was nur gegen kurze oder schwache Passwörter praktikabel ist. Wörterbuch-Angriffe verengen die Suche auf wahrscheinliche Kandidaten: verbreitete Passwörter, geleakte Passwortlisten und Mutationen wie angehängte Jahreszahlen oder Zeichenersetzungen. Password Spraying dreht den Ansatz um und testet wenige sehr häufige Passwörter über viele Accounts hinweg — und bleibt so unter den Sperr-Schwellen einzelner Accounts. Reverse Brute Force startet von einem bekannten Passwort und sucht den zugehörigen Account. Credential Stuffing ist eine verwandte, aber eigenständige Technik, die bekannte Zugangsdaten aus Datenlecks abspielt, statt zu raten.

Warum Sperren und Rate Limits nicht ausreichen

Account-Sperren und Rate Limiting sind unverzichtbare Basisabwehr — und Angreifer bauen um beide herum. Über ein Botnet oder einen Residential-Proxy-Pool verteilte Versuche kommen von Tausenden verschiedenen IP-Adressen, sodass keine einzelne Quelle ein Limit überschreitet. Password Spraying bleibt konstruktionsbedingt unter der Sperr-Schwelle jedes Accounts. Aggressive Sperr-Regeln schaffen zudem ein eigenes Denial-of-Service-Risiko, weil Angreifer legitime Nutzer gezielt aussperren können.

Warnsignale

Zu den Indikatoren zählen erhöhte Login-Fehlerraten, fehlgeschlagene Versuche verteilt über viele Accounts und Quell-IPs, Schübe von Authentifizierungs-Traffic zu ungewöhnlichen Zeiten sowie wiederholte Fehlversuche mit systematisch variierten Passwörtern. Bei APIs zeigt sich dasselbe Muster an Token- und Key-Endpunkten.

Wie man Brute-Force-Angriffe verhindert

Starke Passwort-Richtlinien und Multi-Faktor-Authentifizierung nehmen die leichten Treffer weg, und Sperren plus Rate Limiting bleiben trotz ihrer Lücken notwendig. Die verbleibende Lücke schließt, wer jeden Rateversuch teuer macht: Verifizierungsschichten wie CaptchaFox verlangen, dass jeder Login-Versuch aus einer echten Browser-Umgebung stammt und — wenn Risikosignale es rechtfertigen — eine kryptografische Proof-of-Work-Challenge löst. Diese Kosten sind für einen legitimen Login nicht wahrnehmbar, über Tausende Rateversuche hinweg aber ruinös, unabhängig davon, welche IP-Adressen die Kampagne nutzt. Legitime Nutzer behalten einen reibungslosen Login, da Challenges nur bei verdächtigem Traffic erscheinen.