Was ist ein Brute-Force-Angriff?

Bei einem Brute-Force-Angriff wird versucht, ein Passwort zu ermitteln, indem systematisch Kombinationen aus Buchstaben, Zahlen und Sonderzeichen ausprobiert werden, um Authentifizierungs- und Autorisierungskontrollen zu überwinden. Dabei kommen häufig Wörterbücher und Methoden wie Password Spraying zum Einsatz.

Die Logik hinter Brute-Force-Angriffen – auch als Passwort-Cracking bezeichnet – ist denkbar einfach: Es werden alle möglichen Passwortkombinationen ausprobiert. Wenn Sie beispielsweise eine vierstellige PIN als Passwort (Passcode) verwenden, gelangen Sie durch das Ausprobieren aller 10.000 Kombinationen von „0000“ bis „9999“ schließlich zur richtigen Lösung. Für einen Menschen wäre es schwierig, dies manuell zu versuchen, mit automatisierten Tools ist es jedoch mühelos möglich. Wenn pro Sekunde ein Passwort ausprobiert werden kann, lässt sich das Passwort in höchstens 10.000 Sekunden (etwa 2 Stunden und 47 Minuten) ermitteln. Brute-Force-Angriffe sind zwar keine besonders ausgefeilte Form von Cyberangriffen, bleiben aber aufgrund ihrer Wirksamkeit gegen schwache Passwörter und unzureichend geschützte Systeme weiterhin verbreitet. Zudem machen automatisierte Toolkits die Skalierung und Durchführung solcher Angriffe für Angreifer wirtschaftlich attraktiv.

Arten von Brute-Force-Angriffen

Brute-Force-Angriffe können verschiedene Formen annehmen. Einfache Brute-Force-Angriffe bestehen darin, systematisch jede mögliche Kombination aus Zahlen oder Zeichen auszuprobieren, bis die richtige gefunden wird. Diese Methode kann zeit- und ressourcenintensiv sein, insbesondere bei längeren oder komplexeren Passwörtern oder Passphrasen.

Eine gezieltere Methode ist der Wörterbuchangriff, der auf einer vordefinierten Liste möglicher Passwörter oder Passphrasen basiert. Anstatt wie bei einem herkömmlichen Brute-Force-Angriff jede mögliche Kombination aus Zahlen oder Zeichen auszuprobieren, testet der Angreifer systematisch jedes Wort bzw. jede Phrase in einem Wörterbuch, bis das richtige Passwort gefunden ist. Wörterbuchangriffe sind zwar schneller als einfache Brute-Force-Angriffe, können jedoch scheitern, wenn das Passwort hinreichend komplex ist, Sonderzeichen enthält oder nicht im verwendeten Wörterbuch vorkommt. Darüber hinaus löst ein Wörterbuchangriff auf dieselbe Anmeldemaske schnell Mechanismen zur Ratenbegrenzung und Kontosperrung aus.

Hybride Brute-Force-Angriffe kombinieren Elemente von Wörterbuchangriffen und einfachen Brute-Force-Angriffen. Bei einem hybriden Angriff verwendet der Angreifer sowohl eine Reihe zufälliger Zeichen wie bei einem herkömmlichen Brute-Force-Angriff als auch eine Liste gängiger Wörter und Ausdrücke wie bei einem Wörterbuchangriff. Dieser hybride Ansatz erhöht die Erfolgsaussichten, da er sowohl gängige Passwörter aus dem Wörterbuch als auch weniger vorhersehbare Zeichenkombinationen nutzt.

Eine weitere Angriffsform ist der Reverse-Brute-Force-Angriff. Anstatt nacheinander verschiedene Passwörter für ein bestimmtes Konto auszuprobieren, testen Angreifer bestimmte Passwörter, von denen sie annehmen, dass sie häufig verwendet werden (z. B. „password1234“), bei einer großen Anzahl von Benutzernamen. Diese Methode beruht auf der Annahme, dass zumindest einige der anvisierten Konten das gewählte Passwort verwenden, und löst mit geringerer Wahrscheinlichkeit Schutzmaßnahmen aus, die auf der Anzahl fehlgeschlagener Anmeldeversuche basieren.

Obwohl Credential Stuffing in der Regel nicht als eine Form von Brute-Force-Angriff gilt (da dem Angreifer bereits eine Liste mit Benutzernamen und Passwörtern vorliegt), verfolgt es ebenfalls das Ziel, sich unbefugten Zugriff auf Konten zu verschaffen, worauf häufig eine Kontoübernahme (Account Takeover, ATO) und Betrug folgen. Beim Credential Stuffing werden automatisierte Skripte oder Tools eingesetzt, um große Mengen kompromittierter Zugangsdaten, etwa aus früheren Datenschutzverletzungen oder dem Darknet stammende Kombinationen aus Benutzernamen und Passwörtern, schnell in verschiedenen Online-Anmeldeformularen auszuprobieren. Anders als bei Brute-Force-Angriffen werden dabei zwar nicht systematisch alle möglichen Kombinationen getestet, dennoch handelt es sich um eine automatisierte Methode zur Erlangung unbefugten Zugriffs und somit um eine erhebliche Sicherheitsbedrohung. Beide Angriffsarten zählen zu den größten Risiken in den Projekten OWASP Top 10 und OWASP Automated Threats.

Schwache oder fehlerhafte Authentifizierung bietet Angreifern eine weitere Möglichkeit, Brute-Force-Angriffe durchzuführen. Einige Authentifizierungssysteme verfügen nicht über Sperr- oder Drosselungsmechanismen, die die Anzahl der Anmeldeversuche innerhalb eines bestimmten Zeitraums begrenzen. Ohne diese Schutzmaßnahmen können Angreifer wiederholt und uneingeschränkt versuchen, Passwörter zu erraten, wodurch die Wahrscheinlichkeit eines erfolgreichen Brute-Force-Angriffs steigt.

Brute-Force-Angriffe können auch dazu eingesetzt werden, Sitzungs-IDs zu erraten oder Schwachstellen in Mechanismen zur Sitzungsverwaltung auszunutzen, um gültige Sitzungs-IDs zu erlangen oder zu übernehmen. Sobald ein Angreifer eine gültige Sitzungs-ID erlangt hat, kann er sich damit als authentifizierter Benutzer ausgeben und sich unbefugten Zugriff auf geschützte Ressourcen verschaffen.

Die Motive hinter Brute-Force-Angriffen

Die Beweggründe, die Hacker zu Brute-Force-Angriffen veranlassen, können sehr unterschiedlich sein. In der Regel geht es jedoch darum, sich zu böswilligen Zwecken unbefugten Zugriff auf Systeme, Netzwerke oder Konten zu verschaffen.

Zu den häufigsten Motiven zählen finanzielle Gewinne. So versuchen Angreifer möglicherweise, Finanzdaten wie Kreditkartennummern oder Zugangsdaten für das Online-Banking zu stehlen, um Betrug oder Diebstahl zu begehen. Sie können es auch auf personenbezogene Daten (PII), geistiges Eigentum oder vertrauliche Geschäftsdaten abgesehen haben, die sich verkaufen lassen. Darüber hinaus können sich Angreifer Zugang zu persönlichen Konten verschaffen, um sich als andere Personen auszugeben und betrügerische Aktivitäten durchzuführen.

Kriminelle können Systeme auch für andere Formen böswilliger Aktivitäten kapern, etwa um ein Botnetz aufzubauen. Dabei handelt es sich um ein Netzwerk von Geräten, die von einem Angreifer kontrolliert werden, der diese verschiedenen Quellen koordiniert und Distributed-Denial-of-Service-Angriffe (DDoS-Angriffe) startet.

Unbefugter Zugriff auf Systeme und Konten durch Brute-Force-Angriffe kann auch dazu dienen, Malware oder Spyware zu verbreiten oder Websites mit obszönen oder anstößigen Texten und Bildern zu überschwemmen und so den Ruf eines Unternehmens oder einer Website zu schädigen. Hacker können Brute-Force-Angriffe außerdem nutzen, um Werbeanzeigen oder Aktivitätsdaten zu manipulieren. Dabei verschaffen sie sich unbefugten Zugriff, um Spam-Anzeigen auf Websites zu platzieren und Werbeprovisionen zu erzielen oder den Datenverkehr von der vorgesehenen Website auf eine schädliche Website umzuleiten, um Zugangsdaten zu stehlen oder Nutzer zu betrügen.

So verhindern Sie Brute-Force-Angriffe

Es gibt verschiedene Möglichkeiten, das Risiko von Brute-Force-Angriffen zu verringern. Durch die Kombination mehrerer der folgenden Maßnahmen wird es Angreifern erschwert, Passwörter zu erraten oder sich durch wiederholte Anmeldeversuche unbefugten Zugriff zu verschaffen. Dazu gehören:

• Starke und komplexe Passwörter verwenden. Starke Passwörter bilden die erste Verteidigungslinie gegen unbefugten Zugriff auf Systeme und Daten. Eine klar definierte Passwortrichtlinie trägt dazu bei, dass Benutzer sichere Passwörter erstellen und beibehalten, die aus einer Kombination von Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen bestehen. Da Tools zum Knacken von Passwörtern immer ausgefeilter werden, bieten lange Passphrasen heute deutlich mehr Schutz als einfache Passwörter. Richtlinien sollten die Wiederverwendung von Passwörtern untersagen, da sie eine der Hauptursachen für Credential-Stuffing-Angriffe und Kontoübernahmen ist.
• Einsatz der Multi-Faktor-Authentifizierung (MFA). Zusätzlich zur Eingabe eines Benutzernamens und eines Passworts oder einer Passphrase müssen Benutzer bei der MFA weitere Faktoren angeben, um Zugriff auf eine Anwendung, eine Ressource, ein Online-Konto oder einen anderen Dienst zu erhalten. In der Praxis bedeutet dies häufig, dass ein Einmalcode aus einer E-Mail oder SMS auf einem Smartphone oder in einem Browser eingegeben oder ein biometrisches Merkmal wie ein Fingerabdruck oder Gesichtsscan bereitgestellt wird.
  
• Implementierung von Richtlinien zur Kontosperrung. Sperren Sie Benutzerkonten nach einer bestimmten Anzahl fehlgeschlagener Anmeldeversuche für einen festgelegten Zeitraum oder so lange, bis sie von einem Administrator manuell entsperrt werden. Dadurch wird verhindert, dass Angreifer wiederholt versuchen, Passwörter zu erraten. Mithilfe einer Ratenbegrenzung kann außerdem die Anzahl der Anmeldeanfragen von einer einzelnen IP-Adresse oder einem einzelnen Benutzerkonto innerhalb eines festgelegten Zeitraums beschränkt werden.
  
• Verschlüsselung sensibler Daten. Die Verschlüsselung sensibler Daten sowohl im Ruhezustand als auch bei der Übertragung stellt sicher, dass Angreifer die Daten ohne den Verschlüsselungsschlüssel nicht lesen können, selbst wenn sie sich unbefugten Zugriff auf ein System verschaffen. Dadurch sind Brute-Force-Angriffe weniger wirksam, da die Angreifer den Verschlüsselungsschlüssel benötigen würden, um die Daten zu entschlüsseln.
  
• Software auf dem neuesten Stand halten. Stellen Sie sicher, dass für sämtliche Software, einschließlich Betriebssystemen, Webservern und Anwendungen, regelmäßig Patches und Updates installiert werden, um Sicherheitslücken zu schließen, die von Angreifern ausgenutzt werden könnten.
  
• Einsatz von Bot-Management und Web Application Firewalls. Der Einsatz von Lösungen zur Abwehr automatisierter Angriffe kann kritische Geschäftslogik vor Missbrauch schützen, unter anderem vor Brute-Force-Angriffen.

Wie wehrt F5 Brute-Force-Angriffe ab?

Das OWASP (Open Worldwide Application Security Project) Automated Threats to Web Applications Project stuft Brute-Force-Angriffe als eine Form von Angriffen zum Knacken von Anmeldedaten (OAT-007) ein. F5 bietet Lösungen zur Abwehr vieler der von OWASP beschriebenen automatisierten Risiken.F5 Distributed Cloud Bot Defense wehrt Bots und bösartige Automatisierung ab, um Kontoübernahmen (ATO) sowie daraus resultierenden Betrug und Missbrauch zu verhindern, die bestehende Bot-Management-Lösungen umgehen können. Distributed Cloud Bot Defense bietet Echtzeitüberwachung und Bedrohungsinformationen sowie ML-basierte retrospektive Analysen, um Unternehmen vor automatisierten Angriffen zu schützen, einschließlich solcher, bei denen Brute-Force-Techniken zum Einsatz kommen.

F5 Web Application Firewall (WAF)-Lösungen blockieren und mindern außerdem ein breites Spektrum der von OWASP identifizierten Risiken. F5 WAF-Lösungen kombinieren signatur- und verhaltensbasierte Schutzmechanismen, einschließlich Bedrohungsinformationen von F5 Labs und ML-basierter Sicherheit, um mit neuen Bedrohungen Schritt zu halten. Zur Abwehr von Brute-Force-Angriffen erfasst die WAF die Anzahl der fehlgeschlagenen Versuche, auf die konfigurierten Anmelde-URLs zuzugreifen. Wenn Brute-Force-Muster erkannt werden, stuft die WAF-Richtlinie sie als Angriff ein, wenn die Rate fehlgeschlagener Anmeldungen erheblich gestiegen ist oder die Anzahl fehlgeschlagener Anmeldungen einen Höchstwert erreicht hat.

F5 WAF-Lösungen lassen sich mit den Bot-Abwehrlösungen von F5 integrieren und bieten so einen zuverlässigen Schutz vor den größten Sicherheitsrisiken, darunter die Ausnutzung von Schwachstellen und automatisierte Brute-Force-Angriffe.