Brute-Force-Angriff: Definition, Funktionsweise und wirksamer Schutz
Ein Brute-Force-Angriff (englisch: rohe Gewalt) ist eine Angriffsmethode, bei der ein Angreifer systematisch alle möglichen Passwort-Kombinationen ausprobiert, bis die richtige gefunden wird. Moderne Brute-Force-Tools können je nach Hardware bis zu 10 Milliarden Passwörter pro Sekunde testen – durch ausreichend lange Passwörter vollständig zu kontern.
Wie funktioniert ein Brute-Force-Angriff?
Einfacher Brute-Force-Angriff
Das Programm probiert alle möglichen Zeichenkombinationen der Reihe nach durch.
| Passwortlänge | Zeichensatz | Zeit bei 10 Mrd./Sek |
|---|---|---|
| 8 Zeichen | Groß+Klein+Zahlen (62) | 0,7 Sekunden |
| 10 Zeichen | Groß+Klein+Zahlen (62) | ~27 Minuten |
| 12 Zeichen | 94 Zeichen (inkl. Sonderz.) | ~1.200 Jahre |
| 16 Zeichen | 94 Zeichen | ~160 Billiarden Jahre |
Dictionary Attack (Wörterbuchangriff)
Statt aller Kombinationen werden häufige Passwörter und Wörterbuchwörter getestet. Gängige Varianten wie „Passwort1!" oder „P@ssw0rd" werden berücksichtigt.
Credential Stuffing
Zugangsdaten aus bekannten Datenlecks werden automatisiert bei anderen Diensten getestet. Wer dasselbe Passwort bei mehreren Diensten nutzt, ist besonders gefährdet.
Schutzmaßnahmen gegen Brute-Force
- Lange, zufällige Passwörter: Ein 16-stelliges Passwort aus allen Zeichentypen. Jetzt generieren →
- Einzigartige Passwörter: Credential Stuffing wird wirkungslos. Passwortmanager nutzen →
- Zwei-Faktor-Authentifizierung: Verhindert Zugriff selbst bei geknacktem Passwort.
- Kontosperrung nach Fehlversuchen: Seriöse Dienste sperren Konten nach mehreren Fehlversuchen – macht Online-Brute-Force praktisch unmöglich.
- Datenleck-Monitoring: Überwachen Sie Ihre Zugangsdaten auf haveibeenpwned.com.
Wer ist von Brute-Force-Angriffen bedroht?
Brute-Force-Angriffe treffen primär:
- Offline-Systeme mit gestohlenen Passwort-Hashes
- Nutzer mit schwachen oder wiederverwendeten Passwörtern
- Konten ohne 2FA
- Unternehmen mit ungesicherten Admin-Zugängen (SSH, RDP)
Privatnutzer mit starken, einzigartigen Passwörtern und 2FA sind praktisch nicht durch Brute-Force gefährdet.