Credential Stuffing Angriffe auf Login-Daten gefährden Online-Geschäfte

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Arvato Systems

Keeper Security EMEA Ltd.

i-KOM Strategische Kommunikation

Der Handel mit Login-Daten wächst und wird zum echten Problem für die Online-Geschäfte vieler Unternehmen. Denn auf Basis von Spezialprogrammen ist es Hackern mittlerweile möglich, in großem Stil User-Passwort-Kombinationen zu knacken. MFA blockiert zwar den Angriff, behebt aber nicht das eigentliche Problem: die Vereinbarkeit zwischen Datenschutz und Nutzerfreundlichkeit.

Mit jeder neuen Technologie, die am Markt eingeführt wird, erhöht sich auch das Cyber-Risiko. Die Angriffsfläche wird insbesondere für diejenigen Unternehmen breiter, deren Geschäft ausschließlich auf digitalen Services für Kunden oder Mitarbeiter fußt. Dort wollen die Angreifer vor allem Nutzerdaten in großem Stil abgreifen, um damit illegale Online-Käufe zu tätigen.

Branchenexperten sind sich einig: Credential-Stuffing-Angriffe werden sich in 2020 zu einer der größten Herausforderungen für Unternehmen entwickeln, wenn es um die digitale Sicherheit von Nutzerdaten geht. Also konkret, wenn es um die Sicherheit von Passwörtern und Login-Daten tausender Endkunden geht, die sich für einen Web-Dienst registrieren. Besonders nachteilig kann sich das auf Unternehmen auswirken, die ausschließlich über Online-Dienste ihr Geld verdienen, wie zum Beispiel Touristik- oder Handelsunternehmen. Immerhin sind Qualität und Sicherheit ihrer digitalen Services für sie geschäftskritisch und imagebildend.

Unter dem englischen Begriff „Credential Stuffing“ versteht die Fachwelt, eine Art des Hackings, die über verschiedene Methoden versucht, gestohlene Nutzer-Passwort-Kombinationen zu testen, um damit Nutzerkonten zu missbrauchen (z.B. für Web-Shops oder Online-Banking). Die entsprechenden Anmeldedaten sind oft durch Datenlecks bereits im Internet gelandet. Auf dieser Basis werden die Angreifer tätig. Sie versuchen, teils automatisiert über Botnetze, an die Nutzerkonten zu gelangen, und veräußern bei Erfolg die Nutzerdaten dann meist gewinnbringend weiter.

Zu laxer Umgang mit Nutzer-Passwort-Kombinationen

Ein weiterer Punkt, der dieser Form des Cyber-Angriffs Tür und Tor öffnet, ist die Tatsache, dass viele Nutzer eher nachlässig mit ihren Passwörtern sowie ihren digitalen Identitäten insgesamt umgehen. Und nicht nur das: treffen Botnetze in Bruchteilen von Sekunden das richtige Passwort des Nutzers, bekommt der es im Zweifel gar nicht mit, wenn seine Login-Daten für einen Online Shop gehackt und bereits weiterveräußert wurden.

Laut einer aktuellen Google-Studie verwenden ganze 59 Prozent aller Nutzer für mehrere Konten dieselben Passwörter. Genau dieses Verhalten machen sich dann die Angreifer beim Credential Stuffing zunutze. Allein in 2019 gingen 29 Prozent aller Datenschutzverletzungen auf das Konto dieser Methodik – Tendenz steigend.

Firmen und Anbieter verzeichnen zunehmend großflächige Angriffe auf Nutzerkonten

Wie real diese Gefahr ist, hat erst Ende letzten Jahres das auf Projektmanagement spezialisierte Unternehmen Basecamp am eigenen Leib erfahren müssen. Das Unternehmen verzeichnete innerhalb einer Stunde 30.000 Angriffsversuche von diversen IP-Adressen auf Login-Daten seiner Nutzer. Schnell versuchte die IT den Angriff zu stoppen, indem man Captcha implementierte. Dennoch wurden nach Angaben des Unternehmens 124 Accounts gehackt, für die dann in Windeseile neue Passwörter und Zugangsdaten erstellt werden mussten.

Auch Auth0 identifiziert auf seiner Plattform täglich mehr als 50.000 fremde IP-Adressen, die versuchen, schnell und möglichst großflächig an Benutzerkonten zu gelangen. Speziell im letzten Viertel Jahr haben wir festgestellt, dass während eines solchen Angriffs der Aufruf einer bestimmten Webseite um das 180-fache des üblichen Web-Traffics anstieg. Das hat uns alarmiert, genauer hinzuschauen. Denn hier können gerade für Reiseanbieter oder auch Online-Händler mit einem hohen Aufkommen an Online-Transaktionen schnell wirtschaftliche Schäden entstehen und sich negativ auf die Kundenbeziehung auswirken. Was also können Unternehmen speziell aus diesen Branchen präventiv tun, wenn sie ihre Nutzerkonten und damit auch den reibungslosen Zugriff auf ihre Services schützen wollen?

Multifaktor-Authentifizierung blockiert den Angriff massiv

Eine Möglichkeit, die allerdings längst nicht alle Unternehmen im Einsatz haben, wäre die Multifaktor-Authentifizierung. Denn um ein MFA-geschütztes Konto erfolgreich hacken zu können, brauchen die Angreifer neben der Nutzer-Passwort-Kombination auch Zugriff auf das Endgerät, das für den zweiten Faktor verwendet wird. Das wiederum würde für die Übeltäter allerdings massiven Zeit- und Arbeitsaufwand nach sich ziehen. Um nicht zu sagen, es würde einen solchen Angriff im großen Stil nahezu unmöglich machen. Aber was der erhöhten Sicherheit zuträglich ist, schreckt häufig den Nutzer ab. Denn wer sich erst möglichst kompliziert anmelden muss, um auf einen Online-Service wie eine Reisebuchung zugreifen zu können, der lässt es meist ganz bleiben.

Datensicherheit und Nutzerfreundlichkeit vereinbaren

Die Kunst, Credential Stuffing effektiv zu begegnen ist es also, Nutzerkonten auf Dauer zu schützen, ohne aber die Nutzerfreundlichkeit für einen Service zu riskieren. Eine alternatives Vorgehen, dass aus dem „Entweder-Oder“-Ansatz einen „Sowohl-als-auch“-Ansatz werden lässt, ist eine stufenweise Authentifizierung, wobei weitere Faktoren jenseits von Nutzername und Passwort erst abgefragt werden, wenn beispielsweise die IP-Adresse des mobilen Gerätes ungewöhnlich erscheint oder aber die Transaktion vom normalen sonstigen Vorgehen des Nutzers abweicht. In diesem Fall wird der gesteigerte Schutz der Login und Nutzerdaten vom außergewöhnlichen Zugriff oder der außergewöhnlichen Online-Aktivität abhängig gemacht. Damit haben Unternehmen einen systematischen Hebel, der erst greift, wenn beim Datenprüfung Anomalien auftreten. Greift der Nutzer hingegen stets von derselben IP-Adresse auf Services zu und unternimmt keine auffälligen Transaktionen, kann dieser weiterhin über die bewährte Nutzer-Passwort-Kombination agieren. Unternehmen, die entsprechende Identitäts-Lösungen im Einsatz haben können beispielsweise auch Daten ihrer Kunden, die in ihnen zugänglichen Datenbanken aufgetaucht sind, auf denen es bereits zu Credential Stuffing Vorfällen kam, sichten. Ein schöner Service, wäre es doch dann, den Kunden proaktiv darüber zu informieren, seine Nutzer-Passwort-Kombination zeitnah zu ändern.

Über den Autor: Kevin Switala ist Enterprise Sales Engineer beim Identitätsanbieter Auth0. Er ist verantwortlich für die Vertriebsstrategie sowie auch das Partnermanagement in der DACH-Region. Er ist seit 10 Jahren in der IT-Branche für die zentraleuropäischen Märkte tätig.

(ID:46488504)