Active Directory Security: Password Spraying

Password-Spraying-Attacke: So können Cyberkriminelle selbst MFA umgehen

Was ist Password Spraying?

Password Spraying ist eine spezielle Form von Passwortangriff, bei der Angreifer nur wenige, sehr häufig verwendete Passwörter automatisiert über viele Benutzerkonten hinweg testen. Statt also ein Konto mit hunderten Versuchen zu „beschießen“, werden ein oder zwei Passwörter wie „Welcome1“ oder „Sommer2024!“ breit über zahlreiche Konten verteilt eingesetzt. So bleiben Fehler pro Konto niedrig, Kontosperr-Richtlinien greifen seltener, und der Angriff kann lange unbemerkt bleiben.

Typische Ziele und Angriffsflächen

Besonders gefährdet sind alle Systeme, die Anmeldungen aus dem Internet erlauben. Dazu gehören VPN‑Zugänge, Webmail-Portale wie OWA/Exchange, Cloud‑Identitätsdienste wie Entra ID, SaaS‑Anwendungen sowie Single‑Sign‑On‑Lösungen. Klassische Active‑Directory‑Konten mit schwachen oder nie geänderten Standardpasswörtern sind dabei besonders attraktiv. Auch privilegierte Konten, Servicekonten und Benutzer mit Zugriff auf E‑Mail, Fileshares oder kritische Anwendungen sind bevorzugte Ziele, weil ein erfolgreicher Login hier sofort großen Schaden anrichten kann.

Wie läuft ein Password‑Spraying‑Angriff ab?

Vorbereitung: Benutzerkonten identifizieren

Am Anfang steht die Recherche: Angreifer sammeln zunächst gültige Benutzerkennungen. Dafür nutzen sie öffentlich verfügbare Informationen, Datenleaks oder leiten aus E‑Mail‑Adressen typische Benutzernamenformate ab. So entsteht eine Liste möglicher Zielkonten, die später automatisiert angesprochen werden kann.

Angriff: Wenige Passwörter, viele Konten

Im nächsten Schritt definieren die Angreifer eine kleine Auswahl typischer Passwörter – zum Beispiel Standardpasswörter aus Onboarding‑Prozessen, saisonale Varianten oder firmenspezifische Muster. Jedes dieser Passwörter wird dann nacheinander über die gesammelten Konten hinweg ausprobiert. Meist bleiben es nur ein oder zwei Fehlversuche pro Konto innerhalb eines Zeitraums, um Kontosperrungen zu vermeiden. Häufig werden die Versuche zusätzlich über verschiedene IP‑Adressen, Regionen und Protokolle verteilt, um im Monitoring möglichst wenig aufzufallen.

Auswirkung: Vom ersten Treffer zum größeren Vorfall

Sobald ein Passwort bei einem Konto funktioniert, ist der erste Schritt geschafft: Angreifer haben gültige Zugangsdaten. Damit können sie E‑Mails lesen, weitere Systeme ansteuern, Berechtigungen ausweiten und zusätzliche Hintertüren einrichten – zum Beispiel Weiterleitungsregeln, App‑Passwörter oder neue Anmeldegeräte. Aus einem einzigen schwachen Passwort kann so schnell ein größerer Sicherheitsvorfall bis hin zu Datenabfluss oder Ransomware werden.

Wie schützt man sich vor Password Spraying?

Starke Passwörter und verbotene Passwortlisten

Die wichtigste Grundlage ist eine solide Passwortstrategie. Passwörter sollten ausreichend lang sein, idealerweise als leicht merkbare Passphrasen, und nicht mehrfach verwendet werden. Ergänzend sollten sogenannte verbotene Passwortlisten eingesetzt werden. Sie verhindern, dass Benutzer bekannte schwache oder bereits kompromittierte Passwörter verwenden – etwa Klassiker wie „Passwort123“, einfache Muster oder häufig in Leaks auftauchende Kombinationen.

Multi‑Faktor‑Authentifizierung (MFA) verpflichtend nutzen

Multi‑Faktor‑Authentifizierung ist ein sehr wirksamer Schutz gegen Password Spraying. Selbst wenn ein Passwort erraten wird, reicht dieses allein dann nicht mehr für den Zugriff aus. Besonders für von außen erreichbare Dienste wie VPN, Webmail und Cloud‑Anwendungen sollte MFA konsequent aktiviert und durchgesetzt werden. Wo möglich, sollten veraltete Protokolle, die MFA nicht unterstützen oder schwache Authentifizierung zulassen, deaktiviert werden, um Angreifern keine „Abkürzungen“ zu bieten.

Richtlinien, Monitoring und Sensibilisierung kombinieren

Zusätzlich helfen sinnvoll konfigurierte Kontosperr‑ und Ratenbegrenzungsrichtlinien, automatisierte Versuche auszubremsen, ohne Benutzer übermäßig einzuschränken. Wichtig ist außerdem ein Monitoring, das nicht nur einzelne Konten betrachtet, sondern Muster über viele Konten hinweg erkennt – etwa zahlreiche Fehlversuche von derselben Quelle oder aus ungewöhnlichen Regionen. Abgerundet wird der Schutz durch regelmäßige Sensibilisierung: Benutzer sollten verstehen, warum Passwortwiederverwendung gefährlich ist und wie Passwortmanager dabei helfen, starke, individuelle Passwörter komfortabel zu nutzen.

Fazit: Password Spraying ernst nehmen

Password Spraying nutzt eine einfache Idee äußerst effektiv aus: schwache oder wiederverwendete Passwörter in Kombination mit breit gestreuten Loginversuchen. Der Aufwand für Angreifer ist gering, das Risiko für Unternehmen dagegen hoch. Wer seine Identitätsinfrastruktur schützen will, sollte deshalb konsequent auf starke Passwörter, verbotene Passwortlisten, durchgängige MFA, gute Richtlinien und zielgerichtetes Monitoring setzen. In Verbindung mit geschulten Benutzern sinkt die Wahrscheinlichkeit deutlich, dass ein einziges schwaches Passwort zum Einstieg in einen schwerwiegenden Sicherheitsvorfall wird.

← Zurück zur FAQ Übersicht