Was ist ein Brute-Force-Angriff?

Kurz erklärt

Ein Brute-Force-Angriff ist ein Angriff, bei dem automatisiert sehr viele Passwörter oder Kombinationen aus Benutzername und Passwort ausprobiert werden, bis eine passt. „Brute Force“ bedeutet „rohe Gewalt“: Es wird nicht getrickst, sondern stur probiert. Schwache oder mehrfach verwendete Passwörter machen diese Angriffe erfolgreich.

Wie funktioniert ein Brute-Force-Angriff?

Die Angriffe laufen fast immer automatisch, oft verteilt über ein Botnet aus Tausenden infizierten Geräten. Dadurch kommen die Versuche von wechselnden Adressen und sind schwerer zu blockieren. Man unterscheidet mehrere Varianten:

• Klassisches Durchprobieren: Alle Zeichenkombinationen werden getestet. Bei kurzen Passwörtern geht das erschreckend schnell.
• Wörterbuchangriff: Häufige Passwörter, Namen und typische Muster wie „Sommer2024!“ werden zuerst probiert.
• Credential Stuffing: Zugangsdaten aus früheren Datenlecks werden bei anderen Diensten getestet, in der Hoffnung, dass jemand sein Passwort mehrfach verwendet.
• Password Spraying: Wenige sehr verbreitete Passwörter werden bei vielen Konten gleichzeitig ausprobiert, um Sperren nach Fehlversuchen zu umgehen.

Beliebte Ziele sind die Anmeldeseite von WordPress, Fernzugänge wie Remote Desktop (RDP) oder SSH, Webmail und Konten bei Microsoft 365 oder Google. Ist ein Zugang geknackt, folgen oft Schadsoftware, Spam-Versand oder ein späterer Ransomware-Angriff.

Ein typisches Beispiel aus dem KMU-Alltag

Ein Tischlereibetrieb betreibt eine WordPress-Website mit Referenzprojekten. Das Administratorkonto heißt seit der Einrichtung „admin“, das Passwort ist der Firmenname mit Jahreszahl. In den Server-Logs tauchen über Wochen täglich tausende fehlgeschlagene Anmeldungen auf, die niemand ansieht. Eines Tages passt eine Kombination. Die Angreifer installieren ein unauffälliges Plugin, das Besucher:innen auf betrügerische Seiten umleitet. Aufgefallen ist es erst, als ein Kunde anruft und fragt, warum die Website vor seinem Virenscanner gewarnt wird.

Woran Sie Brute-Force-Angriffe erkennen

• Viele fehlgeschlagene Anmeldungen in den Server- oder WordPress-Logs, oft auf „/wp-login.php“ oder „/xmlrpc.php“
• Benachrichtigungen über gesperrte Konten oder fehlgeschlagene Anmeldeversuche
• Anmeldeversuche aus Ländern, in denen niemand aus Ihrem Team tätig ist
• Spürbar langsamere Website, weil die Anmeldeseite ständig belastet wird

So schützen Sie Ihr Unternehmen

• Lange, einzigartige Passwörter: Eine Passphrase aus mehreren Wörtern ist sicherer als ein kurzes, kompliziertes Passwort. Ein Passwortmanager hilft dabei.
• Zwei-Faktor-Authentifizierung: Mit 2FA bleibt ein erratenes Passwort wirkungslos.
• Anmeldeversuche begrenzen: Nach einigen Fehlversuchen die Adresse vorübergehend sperren, etwa per Sicherheits-Plugin oder Server-Regel.
• Standard-Benutzernamen vermeiden: Kein Konto namens „admin“ oder „administrator“.
• Fernzugänge nicht offen ins Internet stellen: RDP und SSH nur über VPN erreichbar machen.
• Nicht benötigte Schnittstellen abschalten: Wird „xmlrpc.php“ in WordPress nicht gebraucht, deaktivieren.

Was tun im Ernstfall?

1. Ändern Sie sofort das betroffene Passwort und alle Passwörter, die gleich oder ähnlich lauten.
2. Prüfen Sie, ob neue Benutzerkonten, Plugins oder Weiterleitungen angelegt wurden.
3. Spielen Sie bei Bedarf ein sauberes Backup ein und aktualisieren Sie alle Komponenten.
4. Bei Verdacht auf Datenabfluss gilt die 72-Stunden-Meldepflicht an die Datenschutzbehörde.

Xcubitor wird künftig Server-Logs und WordPress-Anmeldungen auf solche Angriffsmuster überwachen, Ihnen verständlich erklären, was passiert, und nach Ihrer Freigabe per WhatsApp Gegenmaßnahmen wie das Sperren auffälliger Adressen einleiten.