BetrugspräventionAccount Takeover und Credential Stuffing: Erkennen und Stoppen mit IP-Intelligence (2026)
Wie Sie Account Takeover und Credential Stuffing mit IP-Intelligence als gewichtetem Risikosignal statt als pauschaler Sperre erkennen und stoppen, nach OWASP und NIST.
Ihre Login-Seite ist die am stärksten angegriffene Fläche, die Sie besitzen, und die meisten Angriffe versuchen gar nicht, Passwörter zu erraten. Sie haben sie bereits. Milliarden Zugangsdaten aus früheren Datenlecks werden zu „Combolists“ gebündelt und gegen jede Website im Internet abgespielt, auf der Suche nach dem kleinen Anteil der Nutzer, die ein Passwort wiederverwendet haben. Wenn eines funktioniert, ist das ein Account Takeover.
Dieser Leitfaden erklärt, wie Credential Stuffing und ATO 2026 tatsächlich funktionieren, warum die naheliegende Abwehr (die schlechten IPs sperren) für sich allein scheitert und wie Sie IP-Intelligence richtig einsetzen: als ein Signal, meist als IP-Risikoscore, der in Bereichen statt als Urteil gelesen wird, in einer mehrschichtigen, risikobasierten Abwehr. Alles hier stützt sich auf Primärquellen: OWASP, NIST, den Verizon DBIR und Messungen zur Bedrohungslage 2026.
Credential Stuffing vs. Account Takeover: Die Definitionen
Die Begriffe werden oft synonym verwendet, sind aber verschieden:
- Credential Stuffing ist die Angriffsmethode. OWASP führt es als OAT-008: „massenhafte Login-Versuche, mit denen die Gültigkeit gestohlener Kombinationen aus Benutzername und Passwort geprüft wird“. Entscheidend ist, dass es „kein Brute-Forcing oder Raten beinhaltet“. Die Zugangsdaten sind bekannt, stammen aus anderen Datenlecks und werden schlicht auf Wiederverwendung getestet.
- Account Takeover (ATO) ist das Ergebnis: Ein Angreifer übernimmt die Kontrolle über das Konto eines echten Nutzers. Credential Stuffing ist der häufigste Weg zum ATO, aber auch Phishing, Malware und Session Hijacking führen dorthin.
Es lohnt sich, beide von ihren Verwandten abzugrenzen: Password Spraying (ein gängiges Passwort gegen viele Konten) und Brute Force (viele geratene Passwörter gegen ein Konto). Credential Stuffing ist gefährlicher als beide, weil es eine menschliche Wahrheit ausnutzt (Menschen verwenden Passwörter wieder) statt schwacher Passwörter.
Wie der Angriff tatsächlich abläuft
Die moderne Credential-Stuffing-Kette ist industrialisiert:
- Zugangsdaten beschaffen. Angreifer kaufen oder laden Combolists aus Leak-Dumps und kriminellen Marktplätzen herunter, Milliarden Kombinationen auf einmal.
- In großem Maßstab automatisieren. Fertige Toolkits (das ältere Sentry MBA, heute OpenBullet2 und SilverBullet) spielen diese Kombinationen tausendfach pro Minute gegen Login-Endpunkte ab.
- IPs rotieren, um unsichtbar zu bleiben. Das ist der entscheidende Zug. Wie OWASP dokumentiert, bieten diese Toolkits „die eingebaute Nutzung von Proxy-Netzwerken, um Anfragen auf eine große Zahl eindeutiger IP-Adressen zu verteilen. Das kann sowohl IP-Sperrlisten als auch Rate Limiting aushebeln, da das Anfragevolumen pro IP selbst bei groß angelegten Angriffen relativ niedrig bleiben kann.“
- Treffer zu Geld machen. Ein erfolgreicher Login wird zu Gelddiebstahl, Missbrauch gespeicherter Zahlungsmittel, dem Abräumen von Treuepunkten oder schlicht zu einem verifizierten Konto, das an den nächsten Kriminellen weiterverkauft wird.
Die Erfolgsquote pro Versuch ist winzig (ein Bruchteil eines Prozents), doch bei Millionen von Versuchen bedeutet dieser Bruchteil Tausende kompromittierter Konten.
Das Ausmaß 2026
Die Zahlen aus maßgeblichen Messungen sind ernüchternd:
| Kennzahl | Wert | Quelle |
|---|---|---|
| Sicherheitsverletzungen, die mit kompromittierten Zugangsdaten beginnen | 22 % (häufigster initialer Zugangsweg) | Verizon 2025 DBIR |
| Credential Stuffing als Anteil der täglichen Logins | Median 19 % (bis zu 44 % an Spitzentagen) | Verizon 2025 DBIR |
| Versuche der Kontokompromittierung nach dem Login pro Organisation (2025) | über 400.000, mehr als das Vierfache von 2024 | HUMAN Security, 2026 |
| Anteil automatisierten (Bot-)Traffics am gesamten Web-Traffic | über 53 % im Jahr 2025 | Imperva / Thales |
| Account-Takeover-Vorfälle im Finanzsektor | 46 % aller ATO-Vorfälle | Imperva / Thales |
(Die letztgenannten Zahlen sind Schätzungen auf Basis der Netzwerktelemetrie von Anbietern: starke Hinweise auf die Richtung, entsprechend zugeordnet, keine Vollerhebung des gesamten Internets.) HUMAN stellte außerdem fest, dass der Anteil des Login-Traffics mit ATO-Versuchen den größten Sprung seit Jahren machte: über 13 % in EMEA gegenüber weniger als 3,5 % weltweit. Die Login-Seite ist messbar ein Schlachtfeld.
Warum es 2026 so schwer zu stoppen ist: Residential Proxies
Der Grund, warum die Abwehr von gestern scheitert, ist das Residential-Proxy-Netzwerk. Statt von offensichtlichen Rechenzentrums-IPs aus anzugreifen, leiten Angreifer Credential-Stuffing-Traffic über Millionen echter Endgeräte von Verbrauchern (Heimrouter, Smartphones, Smart-TVs), sodass jede Anfrage von einer legitim wirkenden ISP-Adresse ankommt.
Das ist keine Theorie. Im Januar 2026 hat die Google Threat Intelligence Group zusammen mit Cloudflare und weiteren Partnern das IPIDEA-Netzwerk zerschlagen, „eines der größten Residential-Proxy-Netzwerke der Welt“, und den Gerätepool der Betreiber um Millionen verkleinert. GTIG formulierte es so: „Indem Angreifer Traffic über eine Vielzahl von Endgeräten auf der ganzen Welt leiten, können sie ihre bösartigen Aktivitäten verschleiern, indem sie diese IP-Adressen kapern“, was „erhebliche Herausforderungen für Netzwerkverteidiger“ schafft. Das US-amerikanische FBI veröffentlichte im März 2026 eine öffentliche Warnung zur Umgehung über Residential-Proxy-Netzwerke.
Die praktische Konsequenz: Eine IP-Sperrliste ist strukturell zu langsam und zu grob. Das Volumen des Angreifers pro IP ist niedrig, die IPs sind echte Haushalte, und sie rotieren ständig. Mit Sperren allein kommen Sie da nicht heraus.
Wo IP-Intelligence doch hilft
Das macht IP-Daten nicht nutzlos. Es macht sie zu einem Signal, nicht zu einem Urteil. Und zwar zu einem Signal mit dem Segen der Standards. NIST SP 800-63B-4 (finalisiert im Juli 2025) empfiehlt ausdrücklich risikobasierte Authentifizierung anhand „der IP-Adresse, der Geolokalisierung, der zeitlichen Muster der Anfragen oder der Browser-Metadaten des Antragstellers“ und hält fest, dass „eine Authentifizierung aus einer unerwarteten Geolokalisierung oder einem unerwarteten IP-Adressblock (z. B. einem Cloud-Dienst) den Einsatz zusätzlicher risikobasierter Kontrollen auslösen kann“.
Die wertvollen IP-Signale an einem Login- oder Passwort-Reset-Endpunkt:
- Verbindungstyp. Ein Login aus einem Rechenzentrums- oder Cloud-Bereich ist weit verdächtiger als einer von einem Privatkunden-ISP. Die meisten echten Nutzer melden sich nicht aus AWS an.
- VPN- und Proxy-Erkennung. Anonymisierter Traffic am Login-Endpunkt erhöht das Risiko deutlich. Residential Proxies sind das Werkzeug der Wahl beim Credential Stuffing und sehen aus wie gewöhnlicher ISP-Traffic, weshalb die Geräte- und Verhaltensebenen weiter unten wichtig sind.
- ASN-Reputation. Missbrauch konzentriert sich in bestimmten Netzen; das autonome System hinter einer IP ist ein beständiges Signal.
- Geolokalisierung für Impossible Travel. Ein Login aus einem Land wenige Minuten nach einem aus einem anderen deutet auf eine wahrscheinliche Kompromittierung hin.
- Ein zusammengesetzter Risikoscore. Er fasst das Obige zu einer Zahl zusammen, auf die Sie einen Schwellenwert legen können, statt jedes Flag einzeln von Hand abzuwägen.
Die Falsch-Positiv-Falle (der Teil, den die meisten Leitfäden auslassen)
Hier ist der ehrliche Haken, und er ist der Grund, warum IP-Intelligence eine Risikoentscheidung informieren muss statt einer harten Sperre: Rein IP-basierte Abwehr bestraft systematisch echte Kunden.
Hinter einer einzigen CGNAT-Adresse (Carrier-Grade NAT) können Hunderte oder Tausende echte Nutzer stehen, ebenso hinter einem Mobilfunk-Gateway oder einem Privacy Relay. Die Telemetrie von Cloudflare aus 2025 ist eindrücklich: CGNAT-IPs haben eine Bot-Rate, die praktisch identisch mit der von Nicht-CGNAT-IPs ist (Median 4,8 % vs. 4,7 %), und einen niedrigeren Mittelwert (7 % vs. 13,1 %), werden aber dreimal so häufig per Rate Limit gebremst. Mit anderen Worten: Grobe IP-Kontrollen blockieren eine Menge legitimer Nutzer, um einen Angreifer zu stoppen, der sich unter ihnen versteckt. Dieselbe Überblockierung trifft Mobilfunknetze und Apple iCloud Private Relay, also genau den legitimen Traffic, den wir in anonymisierten Traffic erkennen, ohne echte Kunden zu blockieren behandelt haben.
Die Regel lautet also: Ein riskantes IP-Signal sollte die Hürde erhöhen (eine Step-up-Prüfung), nicht die Tür zuschlagen. Harmlose, aber geteilte Verbindungstypen sollten entlastet werden, nicht bestraft.
Das mehrschichtige Vorgehen (nach OWASP und NIST)
Keine einzelne Kontrolle stoppt Credential Stuffing. Die Abwehrmaßnahmen, die funktionieren, direkt aus den Standards abgeleitet:
- Geleakte Passwörter blockieren. NIST SP 800-63B-4 verpflichtet Verifizierer, neue Passwörter mit einer Sperrliste bekanntermaßen kompromittierter Zugangsdaten abzugleichen. Lässt sich das wiederverwendete Passwort nicht setzen, scheitert späteres Stuffing damit.
- Fehlgeschlagene Versuche drosseln. NIST schreibt vor, aufeinanderfolgende Fehlversuche zu begrenzen (höchstens 100 pro Konto), mit zunehmenden Verzögerungen, was Automatisierung bremst, ohne echte Nutzer auszusperren.
- Risikobasierte Step-up-MFA ergänzen. Lösen Sie einen zusätzlichen Faktor nur aus, wenn Risikosignale (IP, Gerät, Standort, Geschwindigkeit) es nahelegen: starker Schutz bei minimaler Reibung für normale Logins.
- Geräte per Fingerprint erfassen und Verhalten beobachten. Bots verwenden Umgebungen wieder und agieren mit nicht-menschlicher Geschwindigkeit; Geräte- und Verhaltenssignale erfassen, was die IP-Ebene bei Bots übersieht.
- IP-Intelligence in den Score einfließen lassen. Verbindungstyp, Anonymisierungs-Flags und ASN-Reputation als Eingaben für die Risikoentscheidung, nie als alleiniges Tor, mit getrennten Schwellenwerten für Login, Registrierung und Checkout.
- Jeden folgenreichen Endpunkt schützen. Login, Passwort-Reset und Checkout brauchen alle dieselbe Prüfung; Angreifer weichen auf den schwächsten aus.
Was eine IP-Abfrage beim Login zurückgibt
GeoIPHub liefert die IP-Intelligence-Ebene dieses Stacks, ausgelegt auf Gewichtung statt grober Sperre. Eine einzige Abfrage an Ihrem Login- oder Passwort-Reset-Endpunkt liefert den Verbindungstyp, Anonymisierungs-Flags, die ASN und einen erklärbaren Risikoscore mit empfohlener Aktion, sodass Sie die wirklich riskanten Fälle prüfen und echte Kunden durchlassen können. Hier ist eine reale Abfrage für 102.129.235.17, eine VPN-Serveradresse, gekürzt auf die Felder, die eine Login-Prüfung liest:
{
"ip": "102.129.235.17",
"geo": { "country_code": "US", "city": "Washington D.C." },
"asn": { "asn": 174, "isp": "COGENT-174 - Cogent Communications, LLC",
"connection_type": "datacenter" },
"detection": { "is_vpn": true, "is_proxy": false, "is_tor": false },
"scoring": { "fraud_score": 92, "confidence": 0.76, "recommended_action": "block",
"detection_methods": ["known_vpn_server", "openvpn_open", "ipsec_open"] }
}
Ein Login von einem VPN-Server im Rechenzentrum, der wie dieser auf OpenVPN- und IPsec-Handshakes antwortet, landet im Sperrbereich (über 75). Scores im mittleren Bereich lösen stattdessen eine Step-up-Prüfung aus, und eine saubere Privatkundenverbindung mit normalem Standort kommt problemlos durch. Das ist risikobasierte Authentifizierung, so wie NIST sie beschreibt. Sie können jede Adresse mit dem kostenlosen IP-Fraud-Score-Checker und dem VPN- und Proxy-Erkennungstest prüfen, sie über die API einbinden oder in unserer Methodik nachlesen, wie der Score entsteht.
Den Angreifer in der Menge erwischen, nicht die Menge
Credential Stuffing hat Account Takeover zu einem industriellen, automatisierten Geschäft gemacht, und Residential Proxies haben den alten Reflex (die schlechten IPs sperren) sowohl wirkungslos als auch schädlich für echte Nutzer gemacht. Die Abwehr, die 2026 tatsächlich trägt, ist mehrschichtig und risikobasiert: geleakte Passwörter an der Quelle stoppen, klug drosseln und prüfen und IP-Intelligence als wertvolles Signal behandeln, das in eine adaptive Entscheidung einfließt. Erwischen Sie den Angreifer, der sich in der Menge versteckt; bestrafen Sie nicht die Menge.
Häufig gestellte Fragen
Was ist der Unterschied zwischen Credential Stuffing und Account Takeover?
Credential Stuffing ist die Angriffsmethode: Bots testen massenhaft Kombinationen aus Benutzername und Passwort, die aus früheren Datenlecks stammen, um diejenigen zu finden, die ein Nutzer auf Ihrer Website wiederverwendet hat (OWASP führt das als OAT-008). Account Takeover (ATO, Kontoübernahme) ist das Ergebnis, wenn eine gültige Kombination funktioniert und ein Angreifer die Kontrolle über das Konto erlangt. Credential Stuffing ist der häufigste Weg zum ATO, doch ATO kann auch durch Phishing, Malware oder Session Hijacking entstehen.
Kann ich einfach die IP-Adressen hinter Credential Stuffing blockieren?
Nein. OWASP warnt ausdrücklich, dass IP-Sperren „nicht als alleinige oder primäre Abwehr eingesetzt werden sollten“. Moderne Toolkits leiten jede Anfrage über eine andere Residential-Proxy-IP, sodass das Volumen pro IP niedrig genug bleibt, um unter Sperrlisten und Rate Limits hindurchzurutschen. Schlimmer noch: Pauschale IP-Sperren treffen geteilte CGNAT- und Mobilfunkadressen, hinter denen Tausende echte Nutzer stehen. IP-Intelligence gehört in einen Risikoscore, nicht in eine harte Sperre.
Wie groß ist das Problem Account Takeover im Jahr 2026?
Groß und wachsend. Kompromittierte Zugangsdaten waren laut Verizon DBIR 2025 bei 22 % der Sicherheitsverletzungen der initiale Zugangsweg, und Credential Stuffing machte im Median 19 % der täglichen Authentifizierungsversuche aus. HUMAN Security verzeichnete 2025 mehr als 400.000 Versuche der Kontokompromittierung nach dem Login pro Organisation (mehr als das Vierfache von 2024), und automatisierter Traffic überstieg 53 % des gesamten Web-Traffics (Imperva/Thales).
Wie hilft IP-Intelligence, Account Takeover zu erkennen?
Sie liefert Risikosignale, die NIST für adaptive Authentifizierung empfiehlt: den Verbindungstyp (Rechenzentrum/Cloud vs. Privatanschluss), VPN- und Proxy-Erkennung, ASN-Reputation und Geolokalisierung für Impossible-Travel-Prüfungen. Ein Login-Versuch aus einem Cloud-Rechenzentrum, über einen bekannten Anonymisierungsdienst oder von einem unplausiblen Ort ist riskanter: ein Grund, mit Step-up-MFA nachzufragen, nicht zwingend, zu sperren.
Wie stoppe ich Credential Stuffing, ohne echte Kunden zu blockieren?
Setzen Sie auf einen mehrschichtigen, risikobasierten Ansatz: Blockieren Sie bekanntermaßen geleakte Passwörter (bei NIST ein SHALL), drosseln Sie fehlgeschlagene Versuche, ergänzen Sie Step-up-MFA bei riskanten Logins, nutzen Sie Device Fingerprinting und gewichten Sie IP-Signale in einem Risikoscore, statt hart zu sperren. Reservieren Sie echte Sperren für Fälle mit hoher Sicherheit und entlasten Sie geteilte, mobile und Privacy-Relay-IPs, damit legitime Nutzer durchkommen.
Das Team hinter der GeoIPHub-API
Verfasst vom GeoIPHub-Team, den Menschen, die die GeoIPHub-API für IP-Intelligence und ihren Scanner entwickeln. Entwürfe entstehen mit KI-Unterstützung und werden vom Team redigiert; API-Beispiele sind echte Abfragen gegen die Live-API, sofern nicht als illustrativ gekennzeichnet.
