Was ist ein Brute-Force-Angriff?

• Bedrohungen
• Was ist ein Brute-Force-Angriff?

Was ist ein Brute-Force-Angriff?

A brute force is a type of cyberattack that uses trial and error methods to guess login credentials, security keys or other sensitive information. Brute force attacks are surprisingly effective, especially given that about 65% of people reuse passwords. Reusing passwords is a dangerous and common practice, and one compromised password is all it takes to expose an entire system or group of credentials.

Brute force attacks are perpetrated against businesses and individuals alike, because, unfortunately, even employees reuse passwords. The average cost of a successful cyberattack is in the millions of dollars, and brute force attacks are becoming more common as more and more businesses adopt work-from-home practices for good.

So funktionieren Brute-Force-Angriffe

Brute-Force-Angriffe auf Passwörter funktionieren so, dass Software zum „Erraten“ von Zugangsdaten verwendet wird. Durch Versuch und Irrtum werden bei Brute-Force-Angriffen gängige Wörter, häufig verwendete Passwörter oder bestimmte Buchstaben- und Zahlenkombinationen eingegeben, bis eine Übereinstimmung gefunden wird.

Arten von Brute-Force-Angriffen

Einfache Brute-Force-Angriffe

Bei einfachen Brute-Force-Angriffen werden verschiedene Kombinationen an Zugangsdaten per Versuch und Irrtum ausprobiert, um die richtigen Zugangsdaten zu erraten. Angreifer verwenden einen leistungsstarken Computer, um alle möglichen Buchstaben-, Zahlen- und Symbolkombinationen zu testen. Obwohl dies ineffizient erscheinen mag, können einige Computer Billionen von Kombinationen gleichzeitig verarbeiten.

Brute-Force-Angriffe mit Wörterbüchern

Wörterbuch-Angriffe nutzen einfache Wörter oder Phrasen aus dem Wörterbuch, um Zugangsdaten zu knacken. Daher sollten für Passwörter keine Wörter oder Sätze verwendet werden, die in einem Wörterbuch zu finden sind, da sie über einen Brute-Force-Angriff mit Wörterbüchern gehackt werden können.

Hybride Brute-Force-Angriffe

Mithilfe externer Berechnungen errät die Software, welche Passwörter am erfolgreichsten sind, und wendet dann Brute Force an, um alle Kombinationen auszuprobieren.

Umgekehrte Brute-Force-Angriffe

Diese Methode basiert auf einigen ausgewählten gängigen Passwörtern. Listen gängiger Passwörter sind im Internet leicht zu finden. Hier ist z. B. eine Liste mit 10.000 Passwörtern. Bei einem umgekehrten Brute-Force-Angriff wird eine derartige Liste verwendet, um diese Passwörter bei mehreren Konten einzugeben, in der Hoffnung auf eine Übereinstimmung.

Credential Stuffing

Credential Stuffing ist eine der effektivsten Brute-Force-Methoden. Listen mit zuvor gehackten Passwörtern können im Darknet käuflich erworben werden. Cyberkriminelle verwenden sie dann, um Zugangsdaten auf Dutzenden von Websites zu „stopfen“ und zu sehen, ob es eine Übereinstimmung gibt. Oftmals ändern Benutzer die Passwörter nicht für alle ihre Konten, selbst wenn sie zuvor gehackt wurden.

Die Gefahr von Brute-Force-Angriffen

Brute-Force-Angriffe sind eine besonders gefährliche Cyberbedrohung, da sich Cyberkriminelle über diesen Angriff Zugang zu mehreren Konten gleichzeitig verschaffen können. Methoden wie Credential Stuffing werden mitunter auf Tausende Konten gleichzeitig angewendet, und statistisch gesehen wird meist mindestens ein Konto gehackt.

Sobald die Zugangsdaten überprüft wurden, können Cyberkriminelle Zugriff auf alle Arten von Konten erhalten – von sozialen Medien über Bankkonten bis hin zu Regierungs- und Unternehmenskonten mit sensiblen Daten.

Homeoffice erleichtert Brute-Force-Angriffe

Die Corona-Pandemie hat Tausende von Unternehmen zur Einführung von Homeoffice-Modellen gezwungen. Damit fand eines der größten Geschäftsexperimente der Geschichte statt. Unternehmen, die noch nie zuvor ein Homeoffice-Modell genutzt hatten, standen vor einem erschütternden Dilemma: Anpassung oder Untergang. Und tatsächlich gingen Tausende von Unternehmen zugrunde. Andere hingegen sahen sich mit neuen Herausforderungen in Form von Cyberkriminalität konfrontiert.

Von Januar bis Dezember 2020 stieg die Zahl der Brute-Force-Angriffe von etwa 200.000 auf weit über 1,4 Millionen weltweit. Da Unternehmen im Wesentlichen Testläufe von Homeoffice-Modellen durchführen, bietet dies Cyberkriminellen die perfekte Gelegenheit, ungesicherte Homeoffice-Computer und schlechte Passwortverwaltungspraktiken auszunutzen.

Brute-Force-Angriffe verhindern

Automatisierte Tools nutzen

Brute-Force-Angriffe lassen sich mit ausgeklügelten automatisierten Tools verhindern. Unternehmen verwenden diese Tools bereits, um sich vor Brute-Force-Angriffen und anderen Schadsoftwarebedrohungen zu schützen. Die Erkennung von Bedrohungen wird immer ausgefeilter. KI-Technologie ist auf dem Vormarsch, um Bedrohungen zu erkennen, zu verhindern und zu entfernen, bevor sie Schaden anrichten.

Ein Bot-Schutz kann dabei helfen, den Webverkehr auf verdächtige Aktivitäten zu überwachen und Benutzer bei Verdacht auszusperren. Bots können auch verdächtige Aktivitäten (z. B. mehrere Anmeldeversuche) melden, und das Opfer warnen, bevor ein Angriff abgeschlossen ist.

Brute-Force-Angriffe sind einfach, aber oft wirkungsstark, insbesondere wenn die Person oder das Unternehmen nicht über die richtigen Schutzmaßnahmen verfügt.

Inaktive Konten löschen

Wenn ein Mitarbeiter das Unternehmen verlässt, sollte sein Konto vollständig gelöscht werden, um unbefugte Anmeldungen zu vermeiden. Auch wenn das Konto eines Mitarbeiters deaktiviert ist, fungiert es immer noch als potenzielles Einfalltor für Cyberkriminelle. Inaktive Konten sollten schnellstmöglich gelöscht und die zugehörigen Zugangsdaten aus dem System entfernt werden.

2FA/MFA bei allen Konten forcieren

Zwei-Faktor- oder Multi-Faktor-Authentifizierung kann die Rettung bei einem Brute-Force-Angriff darstellen. Wenn ein Passwort von einem fremden oder ungelisteten Gerät verwendet wird, wird ein zusätzlicher Authentifizierungsschritt ausgelöst. Dabei kann es sich um einen Text- oder E-Mail-Bestätigungslink, einen biometrischen Eintrag oder eine andere Methode handeln. Dies gibt jedem Konto eine zusätzliche Schutzebene.

2FA- und MFA-Tools sind häufig in Passwortverwaltungsplattformen und andere Cybersicherheitstools integriert. Systemadministratoren sollten für jedes Konto im System MFA oder 2FA erforderlich machen, um eine wichtige Sicherheitsebene hinzuzufügen.

Anmeldeversuche einschränken

Brute-Force-Angriffe können nur erfolgen, wenn mehrere Anmeldeversuche möglich sind. Mit anderen Worten, Konten lassen sich deutlich schwerer hacken, wenn nur eine begrenzte Anzahl von Versuchen möglich ist. Drei Anmeldeversuche sind ein guter Ausgangspunkt. Das müsste ausreichen, um sich noch im Konto anmelden zu können, wenn man wirklich das Passwort verwechselt hat. Es sollte aber nicht ausreichen, dass Fremde ein Passwort erraten können. Lassen Sie das Konto nach drei Fehlversuchen vollständig sperren und nur von einem Systemadministrator wieder freischalten, nachdem die Identität des Benutzers überprüft wurde.

Anmeldungen verlangsamen

Sie können auch Anmeldeversuche verlangsamen, indem Sie einen Countdown zwischen fehlgeschlagenen Anmeldeversuchen erforderlich machen. In Kombination mit einem Maximum bei den Anmeldeversuchen kann diese Methode einen Brute-Force-Angriff nach drei Versuchen stoppen und die Geschwindigkeit der Dateneingabe durch den Cyberkriminellen einschränken. Dies hilft auch, dem Administrator verdächtige Aktivitäten zu anzuzeigen.

Starke, einzigartige Passwörter verwenden

Indem Sie starke, einzigartige Passwörter für all Ihre Konten verwenden, erschweren Sie es einem Cyberkriminellen, Ihre Passwörter zu erraten. Stellen Sie sicher, dass Sie immer komplexe Passwörter verwenden, die Buchstaben, Zahlen und Symbole enthalten. Je komplexer, desto besser.

Sie können einen Passwortgenerator verwenden, um starke, einzigartige Passwörter für all Ihre Konten zu finden.