Credential Stuffing MFA 2026: Wie passive Faktoren Bots stoppen

Jeden Monat testen Angreifer laut Akamai (State of the Internet-Report, 2024) weltweit rund 26 Milliarden gestohlene Zugangsdaten automatisiert gegen fremde Logins – Credential Stuffing heißt diese Angriffsart. Die Erfolgsquote liegt pro Versuch nur bei 0,1 bis 2 Prozent, doch bei Milliarden Versuchen reicht das für massenhafte Kontenübernahmen. Wiederverwendete Passwörter aus alten Datenlecks öffnen dafür die Tür, und ein Standard-Login sieht für die Firewall wie ein ganz normaler Anmeldeversuch aus. Credential Stuffing MFA-Schutz mit passiven Signalen wie Push-Bestätigung und Geräte-Bindung blockiert die meisten dieser Bots automatisch – ohne dass Mitarbeitende zusätzliche Schritte lernen müssen. Der Identity-&-Access-Bereich im Cyber Shop zeigt, welche MFA-Lösungen dafür infrage kommen.

Was ist Credential Stuffing und warum funktioniert es 2026 noch?

Credential-Stuffing-Bots nutzen Listen aus früheren Datenlecks, die im Darknet oder in Telegram-Kanälen kursieren. Statt Passwörter zu erraten, probieren sie echte, bereits kompromittierte Kombinationen aus Benutzername und Passwort bei möglichst vielen Diensten gleichzeitig durch. Verteilt über tausende Proxy-IPs und Residential-Botnetze wirken die Anfragen für herkömmliche Rate-Limits und Geo-Filter wie normaler Nutzerverkehr.

Der Angriff funktioniert 2026 noch, weil Passwörter über Dienste hinweg wiederverwendet werden. Viele Unternehmen sichern VPN-Portale, Cloud-Postfächer und Kundenportale nach wie vor ausschließlich mit Benutzername und Passwort ab. Ein einziges kompromittiertes Konto reicht Angreifern oft als Sprungbrett für Phishing im Namen des Unternehmens oder für den Zugriff auf sensible Daten.

Erfolgreich übernommene Konten werden dabei selten sofort genutzt. Häufiger verkaufen kriminelle Gruppen den Zugriff gebündelt weiter oder nutzen ihn Wochen später gezielt für Business E-Mail Compromise – gefälschte Zahlungsaufforderungen oder Rechnungsänderungen, die scheinbar aus dem eigenen Unternehmen stammen. Der ursprüngliche Login-Alarm ist zu diesem Zeitpunkt längst verpufft. Genau diese Verzögerung macht Credential Stuffing für Unternehmen schwer greifbar: Zwischen Datenleck und tatsächlichem Missbrauch liegen oft Monate.

Wie wirksam ist passive MFA gegen Credential-Stuffing?

Sehr wirksam: Laut einer vielzitierten Microsoft-Analyse blockiert Multi-Faktor-Authentifizierung über 99,9 Prozent automatisierter Account-Angriffe – die Zahl stammt zwar aus 2019, gilt aber bis heute als meistzitierte Referenz zur MFA-Wirksamkeit. Credential-Stuffing-Bots besitzen nur Benutzername und Passwort, nicht aber das registrierte Smartphone. Schon einfache passive Faktoren wie eine Geräte-Bindung stoppen den Login-Versuch, bevor der Bot überhaupt eine zweite Hürde zu sehen bekommt.

Passive vs. aktive MFA-Faktoren: Wo liegt der Unterschied?

„Passiv“ bedeutet: Das System prüft Geräte-Identität, Standort und Verhalten automatisch im Hintergrund, ohne dass Mitarbeitende zusätzlich einen Code abtippen müssen. „Aktiv“ bedeutet: Ein Faktor wie ein SMS-Code oder ein TOTP-Code (zeitlich begrenzter Einmalcode aus einer Authenticator-App) muss manuell eingegeben werden – und genau dieser Schritt lässt sich über gefälschte Login-Seiten in Echtzeit abfangen (Adversary-in-the-Middle, kurz AiTM).

Die Tabelle zeigt: Für die reine Abwehr von Credential-Stuffing-Bots reicht bereits ein passiver Faktor mit Geräte-Bindung, weil der Bot schlicht kein registriertes Gerät besitzt. Gegen gezielte Phishing-Kampagnen gegen einzelne Mitarbeitende ist ein Passkey nach dem offenen FIDO2-Standard trotzdem die robustere Wahl, weil der Schlüssel kryptografisch an die echte Domain gebunden ist und sich nicht auf eine gefälschte Seite übertragen lässt.

Mobile Device DNA und risikobasierte Authentifizierung bei WatchGuard AuthPoint

WatchGuard AuthPoint kombiniert mehrere passive Signale zu einer mehrstufigen Prüfung. Die sogenannte Mobile Device DNA bindet jede Authentifizierung an das tatsächliche physische Smartphone: Wird ein Gerät geklont oder ein Authentifizierungs-Profil kopiert, verweigert AuthPoint automatisch den Zugriff. Ergänzend bewertet die risikobasierte Authentifizierung jeden Login-Versuch anhand von Gerät, Standort und Verhaltensmuster und kann bei Auffälligkeiten zusätzliche Bestätigungsschritte verlangen.

Für Konten mit erhöhtem Schutzbedarf – etwa Administratoren oder die Geschäftsführung – unterstützt AuthPoint zusätzlich Passkeys nach dem FIDO2-Standard neben Push-Benachrichtigung, Einmalpasswort und QR-Code. Die Lizenzierung ist nach Nutzeranzahl und Vertragslaufzeit gestaffelt; die aktuellen Konditionen für die passende Nutzerzahl kalkuliert der Produktberater direkt am Konfigurator. Alle WatchGuard-Lösungen im Sortiment lassen sich dort ebenfalls auf den konkreten Bedarf zuschneiden.

Was passive MFA nicht verhindert – und wo Passkeys nötig werden

Passive MFA ist kein Freifahrtschein. Bei gezielten Phishing-Kampagnen mit Echtzeit-Proxy-Seiten (AiTM) baut ein Angreifer eine gefälschte Login-Seite auf, die Benutzername und Passwort in Echtzeit an den echten Dienst weiterleitet. Meldet sich das Opfer dort an, erhält es die reguläre Push-Anfrage auf dem eigenen Smartphone – und bestätigt sie im Glauben, sich selbst gerade einzuloggen. Genau in diesem Moment greift der Angreifer die gültige Sitzung ab, ganz ohne das Gerät zu besitzen. Passive Faktoren wie Geräte-Bindung schützen hier nicht mehr vollständig, weil die Anfrage vom legitimen Nutzergerät bestätigt wird. Auch nach einer erfolgreichen Anmeldung bleibt Session-Hijacking über gestohlene Browser-Cookies ein separates Risiko, das MFA allein nicht abdeckt.

Für Standardnutzer reicht passive MFA mit Geräte-Bindung als solider Basisschutz gegen automatisierte Bot-Angriffe. Für Konten mit weitreichenden Rechten lohnt sich der zusätzliche Umstieg auf Passkeys, weil ein Angreifer den kryptografischen Schlüssel technisch nicht auf eine Phishing-Seite umleiten kann – selbst wenn das Opfer aktiv mitmacht.

In 3 Schritten zu Credential Stuffing MFA-Schutz im Unternehmen

1. Bestandsaufnahme: Welche Logins – VPN, Microsoft Entra ID, Cloud-Anwendungen, Kundenportale – laufen aktuell noch ausschließlich mit Benutzername und Passwort?
2. Passive MFA ausrollen: Push-Bestätigung mit Geräte-Bindung für alle Standardnutzer einführen, etwa über eine zentral verwaltete Lösung wie AuthPoint.
3. Passkeys priorisieren: Für Admin-, Finance- und Geschäftsführungs-Konten FIDO2-Passkeys als stärksten verfügbaren Faktor aktivieren.

Eine schrittweise Einführung – zuerst für Fernzugriffe, dann für Cloud-Postfächer – reduziert den internen Schulungsaufwand. Eine konkrete Anleitung für den Rollout liefert der Artikel WatchGuard AuthPoint einführen: MFA für KMU in 4 Schritten.

Ergänzend lohnt sich ein Blick auf zwei Begleitmaßnahmen: Rate-Limiting auf Login-Endpunkten bremst Bot-Anfragen unabhängig vom Faktor aus, und ein Abgleich mit bekannten Datenleck-Listen zeigt, welche Firmen-Zugänge bereits kompromittiert sind, bevor Angreifer sie ausnutzen. Beides ersetzt MFA nicht, verkleinert aber das Zeitfenster zwischen Datenleck und Missbrauch zusätzlich.

Häufige Fragen zu Credential Stuffing und MFA

Was ist der Unterschied zwischen Credential Stuffing und Brute-Force?

Brute-Force probiert Passwörter systematisch durch, oft zufällige Zeichenketten. Credential Stuffing nutzt bereits aus Datenlecks bekannte, echte Kombinationen aus Benutzername und Passwort – deshalb liegt die Trefferquote deutlich höher als bei reinem Raten.

Reicht SMS-MFA gegen Credential Stuffing aus?

Gegen reine Bot-Angriffe meist ja, weil Bots kein Zugriff auf das Mobiltelefon des Opfers haben. Gegen gezielte Angriffe mit SIM-Swapping oder AiTM-Phishing ist SMS jedoch die schwächste verbreitete MFA-Form.

Wie erkennt WatchGuard AuthPoint ein geklontes Smartphone?

Über die Mobile Device DNA: Jede Authentifizierung wird an eindeutige Merkmale des physischen Geräts gebunden. Wird ein Authentifizierungs-Profil auf ein anderes Gerät kopiert, erkennt AuthPoint die Abweichung und blockiert den Zugriff.

Was kostet eine MFA-Einführung mit AuthPoint für ein KMU?

Die Lizenzen sind nach Nutzeranzahl und Vertragslaufzeit gestaffelt. Der Produktberater kalkuliert die aktuellen Konditionen direkt für die eigene Nutzerzahl.

Reicht MFA allein aus, um NIS2-Anforderungen zu erfüllen?

Nein. MFA ist laut BSI ein zentraler Baustein der geforderten Zugriffskontrolle, ersetzt aber kein vollständiges Risikomanagement. Details zu den weiteren Pflichten fasst die NIS2-Compliance-Checkliste für KMU zusammen.

Welche Ihrer Unternehmens-Logins laufen heute noch ganz ohne zweiten Faktor? Das Cyber-Shop-Team hilft im Kontakt beim Einstieg in eine passende MFA-Lösung.