Password-Spraying
Password-Spraying ist ein Angriff, bei dem jemand sehr viele Benutzerkonten mit denselben wenigen, häufig genutzten Passwörtern durchprobiert. Weil pro Konto nur ein oder zwei Versuche anfallen, wird kein Konto gesperrt und der Angriff fällt lange nicht auf.
Viele Menschen wählen erstaunlich ähnliche Passwörter. „Sommer2024!“ oder „Willkommen123“ tauchen in großen Firmen fast garantiert mehrfach auf. Password-Spraying nutzt genau das aus. Der Angreifer nimmt nicht ein Konto und probiert tausend Passwörter, sondern nimmt ein einzelnes beliebtes Passwort und probiert es bei tausenden Benutzernamen. Statistisch reicht ein Treffer, um in das System einer Organisation zu gelangen. Der Name beschreibt das Vorgehen ganz gut: das Passwort wird wie aus einer Sprühflasche breit über alle Konten verteilt.
Warum Kontosperren hier nicht helfen
Fast jedes Anmeldesystem hat einen Schutz gegen stumpfes Durchprobieren. Nach drei oder fünf falschen Eingaben wird das Konto vorübergehend gesperrt. Dieser Schutz zählt aber pro Konto, nicht pro Angreifer. Wer bei zehntausend Konten jeweils nur zwei Passwörter testet, löst diese Sperre nie aus. Der klassische Schutzmechanismus greift also ins Leere.
Dazu kommt, dass die Versuche in der Menge normaler Anmeldungen untergehen. Ein großes Unternehmen verzeichnet täglich hunderttausende Logins, darunter viele Tippfehler. Zwei Fehlversuche bei Frau Meier wirken völlig unauffällig. Erst wenn man alle Fehlversuche zusammen betrachtet, sieht man das Muster: immer dasselbe Passwort, immer neue Namen. Genau deshalb bleiben solche Angriffe oft Wochen unentdeckt.
Der Schaden ist selten das einzelne Konto. Ein gültiger Zugang ist meist nur der Einstieg. Von dort aus liest der Angreifer interne Adresslisten, verschickt glaubwürdige E-Mails an Kollegen oder sucht nach Konten mit mehr Rechten. Sicherheitsbehörden wie das BSI zählen Password-Spraying deshalb zu den häufigsten Startpunkten größerer Einbrüche in Firmennetze.
Wie ein Spray-Angriff abläuft
Zuerst braucht der Angreifer Benutzernamen. Die muss er nicht stehlen, denn viele Firmen bauen sie nach einem festen Schema: vorname.nachname@firma.de. Wer sich die Mitarbeiterprofile eines Unternehmens in einem Karrierenetzwerk ansieht, kann daraus eine Liste mit tausenden plausiblen Kennungen erzeugen. Diese Vorbereitung ist völlig legal und hinterlässt keine Spuren im Zielsystem.
Dann wählt er die Passwörter. Grundlage sind Listen der häufigsten Passwörter aus früheren Datenlecks, kombiniert mit dem, was Passwortregeln erzwingen. Verlangt eine Firma Großbuchstaben, Zahl und Sonderzeichen, entstehen sehr vorhersehbare Ergebnisse wie „Frühling2025!“. Oft wird auch der Firmenname eingebaut. Angreifer bevorzugen zudem Zugänge ohne Extraprüfung, etwa alte Schnittstellen oder E-Mail-Protokolle, bei denen eine zweite Bestätigung fehlt.
Der eigentliche Durchlauf ist bewusst langsam. Zwischen den Versuchen liegen Pausen, die Anfragen kommen aus wechselnden Netzen und über verschiedene Länder. Nach einer Runde wartet der Angreifer manchmal Tage, bevor er das nächste Passwort ausprobiert. Zu unterscheiden ist das von Credential Stuffing: dort verwendet man echte Passwörter aus Datenlecks und hofft, dass Nutzer sie mehrfach verwenden. Password-Spraying dagegen arbeitet mit geratenen Klassikern.
Von Behördenwarnungen bis zum eigenen Login
In den Nachrichten steht der Begriff meist im Zusammenhang mit Angriffen auf Unternehmen, Behörden oder Cloud-Dienste. Microsoft musste 2024 einräumen, dass Angreifer über Password-Spraying an ein altes Testkonto ohne zweite Prüfung kamen und von dort E-Mails der Firmenleitung lasen. Ähnliche Warnungen gab es für Netzwerkzugänge, über die Beschäftigte von außen ins Firmennetz kommen. Solche Meldungen betreffen Aktienkurse und Vertrauen, nicht nur die IT-Abteilung.
Der wirksamste Schutz ist ein zweiter Faktor bei der Anmeldung, also ein Code aus einer App oder ein Sicherheitsschlüssel. Selbst ein erratenes Passwort reicht dann nicht. Firmen prüfen außerdem, ob neue Passwörter in bekannten Leaklisten stehen, und werten Fehlversuche über alle Konten hinweg gemeinsam aus. Passwortlose Verfahren wie Passkeys entziehen dem Angriff die Grundlage vollständig.
Privat begegnet man dem Prinzip beim eigenen Mailkonto oder Spieleaccount. Ein einzigartiges, langes Passwort pro Dienst macht dich für so einen Angriff praktisch unerreichbar, weil deines nicht auf der Liste der Klassiker steht. Ein Passwortmanager übernimmt das Merken. Und wenn plötzlich Anmeldeversuche aus fremden Ländern gemeldet werden, ist das oft ein Ausläufer einer solchen Spray-Welle.