Schluss mit Mythen: Sind Sie wirklich vor Credential Stuffing geschützt?

Nutzer geben immer mehr private Informationen im Internet preis. Hackern und Betrügern stehen damit Tür und Tor offen, um wertvolle Anmeldedaten zu stehlen.
Mithilfe dieser gestohlenen Anmeldedaten können Angreifer Konten übernehmen und private Daten entwenden und so einen verheerenden Schneeballeffekt für Ihr Unternehmen auslösen.

Überprüfen Sie Ihr Wissen zu Credential Stuffing

Bei einem Angriff riskieren Sie nicht nur, dass private Nutzerinformationen offengelegt und verkauft werden, sondern Sie können auch massive finanzielle Verluste und Imageschäden davontragen. Deshalb ist es wichtiger als je zuvor, die Bedrohung zu verstehen, die vom Missbrauch von Anmeldedaten ausgeht.
Überprüfen Sie, wie viel Sie wissen.

Wenn die Anmeldedaten eines Mitarbeiters im Dark Web verkauft werden, ermöglicht dies Hackern den Zugriff auf die Hauptdatenbank des Unternehmens.

Wahr Falsch

Das stimmt. Hacker beziehen oft Anmeldedaten von Mitarbeitern – für gewöhnlich im Rahmen eines Datendiebstahls – und hacken sich mit diesen Daten in die Hauptdatenbank, die sämtliche Nutzerdatensätze enthält. Das bedeutet, dass Millionen von Nutzernamen, Passwörtern und anderen vertraulichen Informationen (wie z. B. Geburtsdatum, Sozialversicherungsnummer und Finanzdaten) von verschiedenen Websites gestohlen und im Dark Web an Betrüger verkauft werden.

Nichts ist schlimmer, als wenn Hacker Ihren Kunden die Passwörter stehlen.

Wahr Falsch

Das stimmt nicht. Die weltweit größten Datenschutzvorfälle haben weitaus Schlimmeres verursacht als nur gestohlene Passwörter. Millionen und Abermillionen von Datensätzen können bei einem einzigen Angriff gelöscht werden – und jeder dieser Datensätze kann Name, Geburtsdatum, Sozialversicherungsnummer, Adresse, Telefonnummer, E-Mail-Adresse oder sogar Banking-Informationen enthalten.

Umfassende Strategien zur Angriffsabwehr, z. B. IP-Blocking, Ratenbeschränkung, JavaScript-Einschränkungen und Browser-Fingerprinting, stellen die Lösung für den Schutz vor Credential Stuffing dar.

Wahr Falsch

Das stimmt nicht. Die bei Credential Stuffing und Webbetrug eingesetzten Bots zählen zu den raffiniertesten, die es gibt. Es ist zwar verhältnismäßig einfach, Scriptkiddies und herunterladbare Malware-Tools (wie z. B. Sentry MBA) aufzuhalten, aber Betrüger finden Möglichkeiten, entsprechende Abwehrstrategien zu umgehen: Sie setzen Bots ein, die menschliches Verhalten imitieren. IP-Blocking, Ratenbeschränkung, JavaScript-Einschränkungen und Browser-Fingerprinting reichen nicht länger aus, um diese Art von Angriffen aufzuhalten.

Wenn Sie einen erkannten Bot aufhalten möchten, ohne ihn wissen zu lassen, dass er erkannt wurde, sollten Sie ihn am besten auf eine Seite mit der Meldung „Benutzername/Passwort falsch“ umleiten.

Wahr Falsch

Das stimmt. Zwar ist die Erkennung ein wichtiger Aspekt beim Kampf gegen Credential Stuffing, jedoch ist die Reaktion auf entsprechende Bots sogar noch wichtiger. Ob der Angreifer bei dieser Reaktion bemerkt, dass er erkannt wurde, kann über Erfolg oder Misserfolg des Abwehr entscheiden. Mithilfe raffinierter Bot-Erkennungsfunktionen, der Möglichkeit, den Ursprung von Bot-Traffic zu ermitteln und detaillierter Bot-Berichte können Sie Ihre Site erheblich besser schützen.

Sie können verhindern, dass die Anmeldedaten Ihrer Kunden gestohlen werden, indem Sie die angegriffenen Konten nach einer ungewöhnlichen Anzahl von Anmeldeversuchen sperren.

Wahr Falsch

Das stimmt nicht. In den meisten Fällen nutzen Angreifer Wörterbücher mit verschiedenen Kombinationen aus Benutzernamen und Passwörtern, die aus einem Datenschutzvorfall stammen. Hacker testen Anmeldedaten oft nur einmal pro Konto. Konten nach nur einem Versuch zu sperren, ist riskant und kann das Nutzererlebnis beeinträchtigen.

Die ständig wachsende Anzahl von IP-Adressen bildet die wichtigste Grundlage für die Zunahme von Credential Stuffing.

Wahr Falsch

Das stimmt nicht. Zwar vereinfacht die wachsende Anzahl von IP-Adressen Angriffe, jedoch ist dies nicht die wichtigste Grundlage für den Credential-Stuffing-Trend. Hier sind stärkere Mächte am Werk. Zunächst einmal haben sich Konten immer stärker in den Alltag der Nutzer eingeschlichen. Darüber hinaus haben Hacker mit der Zeit riesige Datenbanken gestohlener Anmeldedaten aufgebaut und neue Techniken entwickelt, mit denen sie das Hacken einfacher und rentabler gestalten.

Bei der Überwachung von IP-Adressen sind zu viele Anmeldeversuche ein deutliches Zeichen krimineller Aktivitäten.

Wahr Falsch

Das stimmt. Fünf Anmeldeversuche in fünf Minuten sind verdächtig. Fünf Anmeldeversuchen in fünf Stunden wiederum können legitimes Nutzerverhalten darstellen – insbesondere wenn viele Nutzer sich eine IP-Adresse teilen. Darüber hinaus nutzen Mechanismen zur Laufzeitüberwachung CPU und Arbeitsspeicher. Diese Ressourcen fehlen dann bei Sicherheitskontrollen, die den zeitlichen Verlauf der Anmeldeaktivität überwachen (sofern diese Überwachung überhaupt einen Zeitraum von 60 Minuten überschreitet). Leider kennen Hacker diese Einschränkungen und haben Möglichkeiten gefunden, sie zu ihrem Vorteil zu nutzen.

Fallen Sie nicht auf Mythen herein

Erfahren Sie mehr über Credential Stuffing und wie Sie Ihr Unternehmen, Ihre Marke und Ihre Kunden schützen können.

Mehr erfahren