Brute Force, Wörterbuch- und Credential-Stuffing-Angriffe

Wie Passwortangriffe wirklich ablaufen: Online-Angriff mit Rate Limiting, Offline-Angriff nach einem Datenleck und der Einfluss des Hash-Verfahrens.

Herausgegeben von Chiron Services GmbHVeröffentlicht: 19. August 2026Fachlich geprüft: 19. August 2026

Vier Angriffsarten, die man auseinanderhalten muss

Angriffsarten im Überblick
Angriff	Vorgehen	Wirksame Gegenmassnahme
Brute Force	alle Kombinationen systematisch durchprobieren	Länge und Zufälligkeit des Passworts
Wörterbuchangriff	bekannte Passwörter und Regelvarianten testen	zufällig erzeugte statt ausgedachte Passwörter
Credential Stuffing	geleakte Kombinationen aus E-Mail und Passwort bei vielen Diensten testen	einzigartiges Passwort pro Dienst, zweiter Faktor
Password Spraying	ein häufiges Passwort gegen viele Konten testen	Sperrlisten, MFA, Erkennung auf Serverseite

Credential Stuffing und Password Spraying sind in der Praxis häufiger als klassisches Brute Force, weil sie billiger sind: Der Angreifer probiert nicht Milliarden Kombinationen, sondern wenige sehr wahrscheinliche.

Online-Angriff: der Server bremst mit

Bei einem Online-Angriff läuft jeder Versuch über die Anmeldemaske des Anbieters. Rate Limiting, Verzögerungen, Sperren nach Fehlversuchen und Bot-Erkennung begrenzen die Anzahl Versuche massiv – realistisch sind Grössenordnungen von einigen Versuchen pro Minute und Konto.

Beispielrechnung

Angenommen, ein Dienst lässt 10 Versuche pro Minute zu. Ein zufälliges 8-stelliges Passwort aus 62 Zeichen hat rund 2,2 × 10¹⁴ Kombinationen; im Mittel wären etwa 1,1 × 10¹⁴ Versuche nötig. Bei 10 Versuchen pro Minute entspricht das über 20 Millionen Jahren. Online-Angriffe zielen deshalb nicht auf Vollständigkeit, sondern auf die wahrscheinlichsten Kandidaten: die Top-Passwörter und geleakte Kombinationen.

Offline-Angriff: nach dem Datenleck zählt das Hash-Verfahren

Erbeutet ein Angreifer die Passwortdatenbank, entfällt jede Bremse. Er testet Kandidaten lokal gegen die gespeicherten Hashes, mit Grafikkarten oder Spezialhardware und parallel für alle Konten. Wie schnell das geht, hängt entscheidend vom Verfahren des Anbieters ab – ein Faktor, den Sie als Nutzer nicht beeinflussen können.

Einfluss des Hash-Verfahrens (Grössenordnungen, keine Messwerte)
Verfahren	Auslegung	Folge für den Angreifer
Ungesalzener schneller Hash	auf Geschwindigkeit optimiert	sehr viele Versuche pro Sekunde, Rainbow Tables möglich
Gesalzener schneller Hash	Salt verhindert vorberechnete Tabellen	weiterhin sehr viele Versuche pro Sekunde
PBKDF2 mit hoher Iterationszahl	absichtlich verlangsamt	Versuchsrate sinkt um Grössenordnungen
bcrypt / scrypt / Argon2	rechen- bzw. speicherintensiv ausgelegt	Spezialhardware bringt kaum Vorteil, Angriff wird teuer

Konsequenz für die Passwortwahl

Weil Sie das Verfahren des Anbieters nicht kennen, sollten Sie stets vom ungünstigen Fall ausgehen: schneller Hash, leistungsfähiger Angreifer. Genau deshalb empfehlen wir Zufallspasswörter ab 15 Zeichen – sie halten auch dieser Annahme stand. Die Zahlenbasis liefert der Rechner unter Passwortlänge und Entropie.

Realistisches Angriffsszenario

Ein Onlineshop wird kompromittiert; die Datenbank enthält E-Mail-Adressen und gesalzene, aber schnell berechenbare Hashes. Der Angreifer knackt zunächst die einfachen Fälle – Wörter, Namen mit Jahreszahl, Top-Listen. Innerhalb kurzer Zeit hat er einen erheblichen Teil der Konten im Klartext, ohne je ein langes Zufallspasswort angegriffen zu haben.

Anschliessend beginnt der eigentlich lohnende Teil: Die Kombinationen werden automatisiert bei E-Mail-Anbietern, Zahlungsdiensten und Shops eingesetzt. Wer dort dasselbe Passwort verwendet, verliert weitere Konten, obwohl diese Dienste selbst nie angegriffen wurden. Wer pro Dienst ein eigenes Passwort nutzt, verliert höchstens den Shop-Zugang – und wer zusätzlich einen zweiten Faktor aktiviert hat, in der Regel nicht einmal den.

Einzigartiges Zufallspasswort pro Dienst – begrenzt den Schaden auf ein Konto.
Mindestens 15 Zeichen, damit auch der Offline-Fall unwirtschaftlich bleibt.
Zweiter Faktor oder Passkey, damit ein bekanntes Passwort allein nichts nützt (siehe 2FA und Passkeys).
Regelmässige Prüfung auf Duplikate und geleakte Passwörter im Passwortmanager.

Quellen

Die Auswahlkriterien für Quellen sind auf der Seite Redaktionelle Richtlinien & Quellen dokumentiert.