Brute-Force-Angriffe
Bei einem Brute-Force-Angriff probiert ein Angreifer systematisch alle möglichen Passwortkombinationen durch, bis er das richtige findet. Moderne Computer können Milliarden von Kombinationen pro Sekunde testen. Schwache Passwörter werden so in Sekunden geknackt.
Wie funktioniert Brute-Force-Angriffe?
Brute-Force-Angriffe sind im Prinzip einfach: Der Angreifer lässt ein Programm laufen, das automatisch eine Passwortkombination nach der anderen ausprobiert. Bei einfachen Angriffen werden alle Zeichenkombinationen der Reihe nach getestet. Moderne Grafikkarten können dabei über 100 Milliarden Kombinationen pro Sekunde berechnen.
In der Praxis werden meist sogenannte Wörterbuch-Angriffe eingesetzt. Dabei testet der Angreifer zuerst häufig verwendete Passwörter und bekannte Kombinationen. Listen mit Millionen gestohlener Passwörter aus früheren Datenlecks sind im Internet frei verfügbar. Auch Variationen wie das Ersetzen von Buchstaben durch Zahlen (z. B. P@ssw0rt) werden automatisch durchprobiert.
Besonders gefährlich ist das sogenannte Credential Stuffing. Dabei werden Benutzername-Passwort-Kombinationen aus einem Datenleck bei anderen Diensten ausprobiert. Da viele Menschen dasselbe Passwort für mehrere Konten verwenden, führt diese Methode erschreckend oft zum Erfolg.
Angreifer setzen Brute-Force-Attacken gegen alle Arten von Zugängen ein: E-Mail-Konten, VPN-Zugänge, Cloud-Dienste, Administrationsbereiche von Webseiten oder Remote-Desktop-Verbindungen. Ein geknacktes Passwort ist häufig der erste Schritt für einen größeren Angriff, etwa eine Ransomware-Infektion.
Brute-Force-Angriffe in Zahlen
So trifft Brute-Force-Angriffe Unternehmen
Ransomware-Befall nach geknacktem VPN-Zugang
Eine Steuerberatungskanzlei in Niedersachsen verwendete für den VPN-Zugang ein einfaches Passwort ohne Zwei-Faktor-Authentifizierung. Angreifer knackten das Passwort per Brute-Force und verschlüsselten innerhalb weniger Stunden sämtliche Mandantendaten mit Ransomware. Die Kanzlei war zwei Wochen lang arbeitsunfähig. Die Wiederherstellung aus Backups und die anschließende Systemhärtung kosteten über 400.000 Euro.
Credential Stuffing bei Kundenportal eines Versicherungsmaklers
Angreifer nutzten gestohlene Zugangsdaten aus einem früheren Datenleck, um sich systematisch bei dem Kundenportal eines Versicherungsmaklers aus Frankfurt anzumelden. Bei rund 3.800 Kunden funktionierte der Login. Die Angreifer konnten persönliche Daten und Vertragsinformationen einsehen. Der Makler musste alle betroffenen Kunden benachrichtigen und das Portal vorübergehend offline nehmen.
Schutzmaßnahmen gegen Brute-Force-Angriffe
Technische Maßnahmen
- Multi-Faktor-Authentifizierung (MFA) für alle Zugänge aktivieren
- Kontosperrung nach einer festgelegten Anzahl fehlgeschlagener Anmeldeversuche
- Rate-Limiting und CAPTCHA bei Login-Formularen
- Passwort-Manager für alle Mitarbeiter bereitstellen
- Automatisierte Prüfung neuer Passwörter gegen bekannte Datenleck-Listen
- SSH-Schlüssel statt Passwörter für Serverzugänge
- Single Sign-On (SSO) mit starker Authentifizierung
Organisatorische Maßnahmen
- Passwortrichtlinien mit Mindestlänge von 12 Zeichen einführen
- Regelmäßige Schulungen zur Passworthygiene und Gefahren von Passwortwiederverwendung
- Jährliche Überprüfung aller Zugänge und Deaktivierung nicht mehr benötigter Konten
- Prozess für sofortige Passwortzurücksetzung bei Verdacht auf Kompromittierung
Was die Cyberversicherung bei Brute-Force-Angriffe abdeckt
Abgedeckte Leistungen
- Kosten für forensische Analyse des unbefugten Zugriffs
- Schäden durch Folge-Angriffe (z. B. Ransomware nach Passwortdiebstahl)
- Betriebsunterbrechungskosten durch gesperrte oder kompromittierte Systeme
- DSGVO-Benachrichtigungskosten bei Zugriff auf personenbezogene Daten
- Kosten für Kreditüberwachung betroffener Kunden
- Haftpflichtansprüche Dritter
Typische Ausschlüsse
- Schäden durch Verwendung von Standard-Passwörtern oder trivialen Passwörtern trotz Richtlinien
- Kosten, die durch wissentlichen Verzicht auf Multi-Faktor-Authentifizierung entstehen
- Verluste durch Mitarbeiter, die Passwörter vorsätzlich weitergegeben haben
- Schäden, wenn keine angemessenen Zugangskontrollen implementiert waren
Schützen Sie Ihr Unternehmen vor Brute-Force-Angriffe
Vergleichen Sie jetzt die besten Cyberversicherungs-Tarife und finden Sie den passenden Schutz für Ihr Unternehmen.
JETZT TARIFE VERGLEICHEN