Passwortlistenangriff

Ein Passwortlistenangriff ist eine Form des Cyberangriffs, bei der Angreifer eine vorab zusammengestellte Liste mit Benutzerkennungen und Passwörtern verwenden, die häufig durch Sicherheitslücken auf anderen Websites erlangt wurden, um sich unbefugt Zugang zu Websites von Unternehmen oder Organisationen zu verschaffen. Diese Methode wird auch als „Kontolistenangriff“ oder „listenbasiertes Account-Hacking“ bezeichnet.

Angreifer gelangen in der Regel über unsichere Websites oder Systeme an solche Listen mit Benutzerkennungen und Passwörtern. Verschafft sich ein Angreifer beispielsweise mit gestohlenen Zugangsdaten Zugriff auf ein E-Commerce-Konto, kann er persönliche Daten stehlen oder hinterlegte Kreditkartendaten missbrauchen. Opfer von Passwortlistenangriffen können durch unbefugte Abbuchungen oder betrügerische Transaktionen finanzielle Verluste erleiden.

Ursachen von Passwortlistenangriffen

• Wiederverwendung von IDs und Passwörtern: Viele Nutzer verwenden dieselben Anmeldedaten für mehrere Dienste, wodurch Angreifer leichter mehrere Konten kompromittieren können.
• Phishing-Angriffe: Angreifer können durch Phishing an Listen mit Zugangsdaten gelangen. Dabei werden Nutzer dazu verleitet, ihre Zugangsdaten auf gefälschten, aber überzeugend wirkenden Websites einzugeben.

Unterschiede zu anderen Cyberangriffen

Passwortlistenangriffe werden häufig mit den folgenden Angriffsarten verwechselt:

• Brute-Force-Angriffe: Systematisches Erraten von Passwörtern durch das Ausprobieren aller möglichen Kombinationen.
• Wörterbuchangriffe: Verwendung einer vordefinierten Sammlung gängiger Passwörter oder Wortkombinationen, beispielsweise Namen oder Redewendungen.
• Password-Spraying-Angriffe: Dabei wird mit einem einzigen Passwort gleichzeitig versucht, sich bei zahlreichen Konten anzumelden, um Mechanismen zur Kontosperrung zu umgehen.

Angriffe mit Passwortlisten sind besonders schwer zu erkennen, da sie im Vergleich zu Brute-Force-Angriffen weniger Anmeldeversuche pro Konto umfassen.

Beispiele für reale Vorfälle

• QR-Code-Zahlungssysteme: Im Juli 2019 erlitt der japanische QR-Code-Zahlungsdienst „7pay“ durch unbefugte Zugriffe finanzielle Schäden. Es wurde vermutet, dass dabei Angriffe mit Passwortlisten zum Einsatz kamen. Dies führte zur Einstellung des Dienstes.
• Bankeinlagen: Im September 2020 kam es bei NTT Docomo über den Dienst „Docomo Account“ zu betrügerischen Abbuchungen von Bankkonten unter Verwendung gestohlener Zugangsdaten.

Auswirkungen von Passwortlistenangriffen

• Unbefugte Abhebungen und Zahlungsbetrug: Gestohlene Zugangsdaten können zu unbefugtem Zugriff auf Bankkonten oder zum Missbrauch von Kreditkarten führen.
• Datenschutzverletzungen: Bei Betroffenen können sensible persönliche oder geschäftliche Informationen offengelegt werden.
• Identitätsdiebstahl in sozialen Medien: Der unbefugte Zugriff auf Social-Media-Konten kann durch gefälschte Beiträge oder Nachrichten den Ruf schädigen.
• Rechtliche Haftung für Dienstanbieter: Unternehmen können aufgrund unzureichender Sicherheitsmaßnahmen zivil- und strafrechtlich haftbar gemacht werden, was kostspielige Maßnahmen zur Schadensbegrenzung nach sich ziehen kann.
• Verlust des öffentlichen Vertrauens: Sicherheitsverletzungen können den Ruf des Unternehmens schädigen und das Vertrauen der Nutzer in seine Dienste mindern.

Angriffe mit Passwortlisten verhindern

Sowohl Einzelpersonen als auch Organisationen müssen Strategien umsetzen, um diese Angriffe zu verhindern:

• Keine Zugangsdaten wiederverwenden: Nutzer sollten für jeden Dienst eindeutige Benutzernamen und Passwörter verwenden. Dienstanbieter sollten ihre Nutzer über diese Vorgehensweise informieren.
• Anmeldeversuche mit WAFs überwachen: Setzen Sie Web Application Firewalls (WAFs) ein, um verdächtige Anmeldeaktivitäten zu erkennen, etwa mehrere Versuche von derselben IP-Adresse oder Anmeldeversuche von ungewöhnlichen Standorten.
• Zwei-Faktor-Authentifizierung (2FA) implementieren: Ein zusätzlicher Authentifizierungsschritt, beispielsweise das Versenden eines Einmalpassworts per E-Mail, trägt dazu bei, unbefugten Zugriff zu verhindern, selbst wenn die Zugangsdaten kompromittiert wurden.