Die meisten stellen sich einen Brute-Force-Angriff so vor: Jemand nimmt einen Benutzernamen und probiert tausend Passwörter durch, bis eins passt. Das ist die offensichtliche Variante. Es ist auch die einzige, gegen die sich die meisten Systeme wehren. Genau das ist das Problem.
Der Login ist der Flaschenhals jeder Anwendung. Jeder Nutzer muss durch ihn hindurch, also warten dort auch die Angriffe. Wer nur zählt, wie oft ein Konto ein falsches Passwort bekommt, sieht vier von fünf Angriffsformen nicht. Schauen wir sie uns an.
Vertikal: das bekannte Muster
Ein Benutzer, viele Passwörter. Das ist der Klassiker. Sehr effektiv, wenn der Angreifer eine Liste echter Benutzernamen hat. Und genau hiergegen richtet sich fast jede Abwehr: Nach fünf Fehlversuchen wird das Konto gesperrt. Gut so. Aber das ist erst der Anfang.
Horizontal: einer für alle
Ein Passwort, viele Benutzer. Der Angreifer nimmt ein einziges, häufiges Passwort und probiert es an tausenden Konten. Kein Konto bekommt mehr als einen Fehlversuch, also schlägt keine Kontosperre an. Die Zählung pro Benutzer läuft ins Leere, weil der Angriff quer dazu verläuft. Heute nennt man das Password Spraying, und es ist einer der häufigsten Wege in Unternehmen hinein.
Diagonal: jedes Mal etwas Neues
Pro Anfrage ein neues Paar aus Benutzer und Passwort. Damit umgeht der Angreifer sowohl die Sperre pro Konto als auch die pro Passwort. Nichts wiederholt sich, also greift keine der einfachen Zählregeln.
Dreidimensional und vierdimensional: gegen die IP-Sperre
Jetzt kommt die Ebene, die in Teil zwei dieser Reihe schon eine Rolle spielte. Der dreidimensionale Angriff nimmt einen der Angriffe von oben und wechselt für jede Anfrage die IP-Adresse. Damit läuft jede IP-basierte Sperre ins Leere. Der vierdimensionale legt noch zufällige Pausen dazwischen, damit auch die Anomalie-Erkennung nichts Auffälliges findet. Kein Tempo-Muster, keine wiederkehrende Adresse, kein wiederkehrendes Konto. Das ist schwer zu erkennen und noch schwerer zu stoppen.
Diese Formen sind selten, aber sehr wirksam. Und sie sind fast keinem Entwickler bekannt. Deshalb sind die meisten Anwendungen dagegen offen, ohne dass es jemand weiß.
Der Angriff, der gar nicht am Login ansetzt
Es gibt noch eine Variante, die besonders tückisch ist, weil sie den Login umgeht. Manche Systeme geben für gültige und ungültige Sitzungsdaten unterschiedliche Antworten. Ein Angreifer probiert dann nicht das Passwort, sondern die Sitzungskennung, und das auf jeder beliebigen Seite, nicht nur am Login. Wo kein Session-Timeout am Server sitzt, funktioniert das auch gegen ein sonst gut geschütztes Anmeldesystem. Der Angriff fällt kaum auf, weil er dort passiert, wo niemand nach ihm sucht.
Warum das Verraten schon der halbe Angriff ist
Ein Punkt, der über den Login hinausgeht. Viele Systeme verraten bei der Anmeldung zu viel. Gibst du eine E-Mail-Adresse ein und bekommst die Meldung „diese Adresse ist bereits registriert“, dann hast du dem Angreifer gerade bestätigt, dass dieser Nutzer existiert. Er kann ganze Adressbücher durchprobieren und bekommt eine Liste echter Kunden. Dieselbe Schwäche steckt oft in der Funktion „Passwort vergessen“, die je nach Eingabe verschieden reagiert.
Die Regel dahinter ist einfach. Dein System sollte bei Anmeldung, Login und Passwort-Reset immer dieselbe Antwort geben, egal ob das Konto existiert oder nicht. Alles andere ist eine Einladung, deine Nutzerliste zu rekonstruieren.
Was du dagegen tun kannst
Ein paar Maßnahmen, die über die simple Kontosperre hinausgehen.
Zähle nicht nur pro Konto, sondern auch quer. Wie oft wird dasselbe Passwort an verschiedenen Konten probiert? Wie oft kommt aus einem IP-Bereich derselbe Angriffstyp? Erst dieser quere Blick fängt die horizontalen und diagonalen Formen.
Gib überall dieselbe Antwort. Kein Hinweis darauf, ob ein Konto existiert, weder am Login noch bei der Registrierung noch beim Passwort-Reset.
Setze auf verzögerte, ansteigende Antwortzeiten statt harter Sperren. Wer viele Fehlversuche produziert, wartet zunehmend länger. Das bremst Automaten aus, ohne echte Nutzer auszusperren.
Was 2026 dazugekommen ist
Das Buch beschrieb 2017 die Muster, ohne die heutigen Namen zu nennen. Der horizontale Angriff heißt heute Password Spraying, das Durchprobieren geleakter Zugangsdaten aus fremden Hacks heißt Credential Stuffing. Beide sind Alltag, weil bei jedem großen Datenleck Millionen echter Kombinationen aus E-Mail und Passwort im Umlauf landen und Menschen dieselben Passwörter überall verwenden.
Die wirksamste Antwort darauf gab es 2017 noch nicht in der Breite. Passkeys, der Nachfolger des Passworts nach dem FIDO2-Standard, machen alle fünf Dimensionen auf einen Schlag stumpf. Wo es kein Passwort mehr gibt, kann man auch keins erraten. Der Login stützt sich stattdessen auf einen Schlüssel, der das Gerät nie verlässt. Dazu kommt die Mehr-Faktor-Anmeldung, die selbst ein erratenes Passwort wertlos macht. Wobei auch die eine neue Angriffsform hat, das gezielte Ermüden durch endlose Bestätigungsanfragen, bis jemand genervt zustimmt.
Und die alte Anekdote aus dem Buch, dass sich die dreistellige Prüfziffer einer Kreditkarte über viele Shops verteilt in sechs Sekunden erraten lässt, funktioniert so nicht mehr. Die starke Kundenauthentifizierung nach der Zahlungsdiensterichtlinie PSD2 hat diesen Weg geschlossen. Ein gutes Beispiel dafür, dass manche Lücken tatsächlich verschwinden, wenn die Regulierung nachzieht.
Ein Wort zur Verantwortung
Wer diese Angriffsformen kennt, kann sie nachvollziehen und ausprobieren. Nur eben bitte am eigenen System. Das Ausspähen fremder Daten und schon das Vorbereiten dazu ist in Deutschland strafbar, geregelt in den Paragrafen 202a bis 202c des Strafgesetzbuchs. Diese Reihe zeigt Angriffe, damit du dein eigenes System dagegen härten kannst. Nicht, damit du in fremde einbrichst.
Zum Mitnehmen
Brute Force ist mehr als stures Passwort-Raten. Es ist eine Familie von fünf Mustern, und die vier unbekannten sind gefährlicher als das bekannte, weil kaum jemand sie erwartet. Wer nur Fehlversuche pro Konto zählt, verteidigt genau eine Tür und lässt vier offen.
Manche Angriffe zielen aber gar nicht darauf, hineinzukommen. Sie wollen dich lahmlegen. Und die brauchen dafür weder dein Passwort noch deine Bandbreite. Darum geht es im nächsten Teil.
Weiterführend in dieser Reihe
- Warum IP-Adressen sperren dir nichts bringt
- Passkeys: Das Ende des Passworts im Checkout
- Denial of Service über deine Business-Logik, nicht deine Bandbreite