Ein Montagmorgen in einem Zulieferbetrieb zwischen Hagen und Iserlohn. Die Frühschicht läuft an, die Bearbeitungszentren sind warm, und im Postfach der Buchhaltung liegt eine Zahlungsänderung, die niemand aus dem Haus geschrieben hat. Kein Alarm. Kein gesperrtes Konto. Keine Meldung im Monitoring. Genau so sieht es aus, wenn Passwort-Spraying funktioniert hat.
Die meisten Betriebe im Märkischen Kreis rechnen bei einem Angriff mit Lärm. Mit einer Ransomware-Meldung auf dem Bildschirm, mit stehenden Servern, mit einem Anruf um drei Uhr nachts. Passwort-Spraying macht nichts davon. Es ist die stillste Einbruchsmethode, die es derzeit gibt, und sie funktioniert ausgerechnet dort besonders gut, wo viele Menschen in Schichten an wenigen Standorten arbeiten.
Passwort-Spraying: der leise Einbruch über die Vordertür
Was beim Passwort-Spraying wirklich passiert
Passwort-Spraying dreht die übliche Angriffslogik um. Ein Angreifer nimmt ein einziges, sehr wahrscheinliches Passwort und probiert es gegen hunderte oder tausende Konten deines Unternehmens. Ein Versuch pro Konto. Dann eine Pause von Stunden. Dann das nächste Passwort. Microsoft beschreibt dieses Vorgehen in der eigenen Dokumentation als koordinierten Angriff, bei dem mehrere Identitäten mit gängigen Kennwörtern attackiert werden4.
Der Reiz für den Angreifer liegt in der Statistik. Ihm reicht irgendein Treffer aus deiner Belegschaft. Bei 180 Beschäftigten in drei Werken zwischen Hagen und dem Ennepe-Ruhr-Kreis reicht eine einzige Person, die sich für Sommer2026 entschieden hat. Systempartner Hagen sieht dieses Muster regelmäßig, sobald ein Betrieb nach einem Vorfall seine Anmeldeprotokolle der letzten Wochen auf den Tisch legt.
Warum das Verfahren in der Region Südwestfalen so gut funktioniert
Maschinenbau und Metallverarbeitung im Märkischen Kreis haben eine Eigenschaft, die Passwort-Spraying begünstigt: viele Beschäftigte mit wenig Bildschirmzeit. Ein Zerspanungsmechaniker meldet sich an einem Terminal an, füllt zwei Formulare aus, meldet sich ab. Sein Passwort muss vor allem eines sein, nämlich schnell tippbar. Passwort-Spraying lebt von genau dieser Rationalität.
Die Struktur tut ihr Übriges. Ein Zulieferer mit Stammwerk in Hagen, Montage in Iserlohn und Lager im Ennepe-Ruhr-Kreis führt schnell mehrere Verzeichnisse, mehrere VPN-Zugänge und mehrere Generationen von Benutzerkonten. Das BSI beschreibt in seinem Grundschutz-Baustein zum Identitäts- und Berechtigungsmanagement genau diese Lage: Wenn Konten in verschiedenen Zuständigkeitsbereichen liegen, gibt es oft keine zentrale Übersicht und keine Möglichkeit, bei einem Passwortdiebstahl in einem Arbeitsschritt alle Zugänge zu sperren1. Passwort-Spraying findet die Lücken, die dabei entstehen.
Brute Force, Credential Stuffing und Passwort-Spraying im Vergleich
Brute Force macht Lärm
Beim klassischen Brute-Force-Angriff nimmt sich der Angreifer ein Konto vor und feuert Passwortvarianten dagegen, hunderte pro Minute. Das Ergebnis ist vorhersehbar. Das Konto sperrt sich, im Log stehen 400 Fehlversuche innerhalb von zwei Minuten, und jedes halbwegs eingerichtete Monitoring schlägt an. Brute Force ist laut. Und laute Angriffe kriegt man in den Griff.
Credential Stuffing arbeitet mit fremder Beute
Credential Stuffing nutzt Zugangsdaten, die bei einem ganz anderen Dienst abgeflossen sind. Ein Mitarbeiter hat sich vor Jahren in einem Onlineshop registriert, dieselbe Mailadresse und dasselbe Passwort verwendet, der Shop wurde geleakt. Der Angreifer probiert das Paar bei dir. Das BSI weist deshalb ausdrücklich darauf hin, dass ein Passwort vor allem stark und einzigartig sein muss, damit ein Datenleck bei einem Anbieter nicht gleich mehrere Konten gefährdet2.
Passwort-Spraying bleibt unter der Wahrnehmungsschwelle
Passwort-Spraying braucht weder Rechenleistung noch geleakte Listen. Es braucht Menschenkenntnis. Der Angreifer rät, wie in einem Betrieb im Sauerland Passwörter gebaut werden, und verteilt seinen Versuch dünn über die gesamte Belegschaft. Ein einzelner Fehlversuch pro Konto und Tag erzeugt in keinem Log ein auffälliges Bild. Genau darin liegt der Unterschied zu Brute Force, und genau deshalb ist Passwort-Spraying die Methode, die Systempartner Hagen bei Erstaufnahmen in Maschinenbaubetrieben am häufigsten in den Protokollen findet. Die Bitkom-Studie zum Wirtschaftsschutz zählt Passwortangriffe stabil zu den vier häufigsten Angriffsarten auf deutsche Unternehmen7.
Du willst wissen, ob so ein dünn verteiltes Muster längst in euren Protokollen steckt? Systempartner Hagen wertet die Anmeldeversuche der letzten 90 Tage aus und sagt dir schwarz auf weiß, ob euch jemand schon durchprobiert.
Warum Kontosperren beim Passwort-Spraying ins Leere laufen
Die Sperrschwelle rechnet pro Konto
Fast jeder Betrieb hat eine Sperrregel. Nach fünf oder zehn Fehlversuchen ist das Konto zu. Das BSI empfiehlt genau das im Baustein ORP.4: Nach einer festgelegten Anzahl erfolgloser Authentisierungsversuche soll die Benutzerkennung gesperrt werden, zusätzlich sollen weitere Anmeldeversuche zunehmend verzögert werden1. Diese Regel zählt pro Konto. Passwort-Spraying kommt mit einem einzigen Versuch pro Konto aus.
Rechne es einmal für deinen Betrieb durch. 300 Konten, ein Passwort pro Tag, das sind 300 Fehlversuche über 24 Stunden verteilt. Pro Konto genau einer. Keine Sperre greift, keine Schwelle wird gerissen, kein Helpdesk-Ticket entsteht. Nach 30 Tagen hat der Angreifer 30 Passwörter durchprobiert, und das sind exakt die 30, die in deutschen Unternehmen am häufigsten vorkommen. Passwort-Spraying unterläuft die Sperre mit Geduld.
Intelligente Sperren verschieben die Grenze
Moderne Cloud-Verzeichnisse arbeiten inzwischen feiner. Die intelligente Sperrung in Microsoft Entra ID unterscheidet zwischen bekannten und unbekannten Anmeldeorten und führt für beide getrennte Zähler, standardmäßig greift sie nach zehn Fehlversuchen mit anfangs einer Minute Sperrdauer5. Das hilft. Für einen Betrieb in Iserlohn mit Fertigung im Zwei-Schicht-Betrieb bedeutet es trotzdem: Ein Angreifer, der neun Versuche pro Konto und Tag nutzt, bleibt sauber unter der Schwelle. Passwort-Spraying rechnet mit diesen Grenzwerten, weil sie öffentlich dokumentiert sind.
Die Passwörter, die in Südwestfalen wirklich vergeben werden
Firmenname plus Jahreszahl
Wenn Systempartner Hagen in einem Workshop fragt, wie das eigene Passwort aufgebaut ist, kommt sehr oft dieselbe Antwort: Firmenname, dann eine Zahl, dann ein Ausrufezeichen. Bei einem Zulieferer namens Muster GmbH heißt das Muster2026! oder Muster25#. Passwort-Spraying probiert genau diese Varianten zuerst, weil der Firmenname aus dem Impressum, aus LinkedIn oder von der Werkstoreinfahrt abzulesen ist.
Microsoft beschreibt für den eigenen Kennwortschutz, wie solche Muster technisch zerlegt werden. Ein Kennwort wird normalisiert, Zeichenersetzungen wie 0 für o oder @ für a werden zurückgedreht, und über eine Fuzzy-Suche fallen auch Varianten mit einem Zeichen Abstand durch6. Was ein Algorithmus zum Blockieren nutzt, nutzt ein Angreifer zum Raten. Passwort-Spraying arbeitet mit derselben Logik in umgekehrter Richtung.
Sommer2026 und der Schichtplan
Die zweite große Familie sind Jahreszeiten. Frühling2026, Sommer2026, Herbst25. Sie entstehen dort, wo ein erzwungener Passwortwechsel alle 90 Tage läuft. Vier Quartale, vier Jahreszeiten, fertig ist das System. Das BSI hat sich davon längst verabschiedet und stellt klar, dass ein pauschaler Passwortwechsel die Sicherheit nicht automatisch erhöht2. In vielen Betrieben zwischen Hagen und Lüdenscheid läuft die Regel trotzdem weiter, weil sie vor zwölf Jahren einmal in einer Richtlinie stand.
Und dann sind da die regionalen Muster. Fußballvereine, Ortsnamen, Straßennamen des Gewerbegebiets, der Name der Maschinenreihe in der Halle. Passwort-Spraying nutzt Listen, die genau solche lokalen Begriffe enthalten. Ein Angreifer, der weiß, dass dein Werk in Südwestfalen steht, testet andere Wörter als bei einem Betrieb in Bayern. Diese lokalen Begriffe gehören deshalb bewusst in eure Sperrliste, denn genau dort liegt der blinde Fleck jeder Standardkonfiguration.
Wo Passwort-Spraying in deinem Netz ankommt
Microsoft 365 und Webmail
Das mit Abstand beliebteste Ziel ist die Anmeldemaske deiner Cloud-Umgebung. Sie ist aus dem gesamten Internet erreichbar, sie akzeptiert Benutzernamen im Format vorname.nachname, und die Namen stehen auf deiner Website. Passwort-Spraying gegen Microsoft 365 kostet einen Angreifer praktisch nichts. Ein Treffer öffnet Postfach, Dateiablage und Teams-Verlauf in einem Zug.
VPN-Portale und RDP
Das zweite Ziel ist dein Fernzugriff. Bei einem Betrieb mit Standorten in Hagen, Iserlohn und Umgebung hängen am VPN oft noch Zugänge, die aus der Homeoffice-Welle stammen. Alte Portale ohne zweiten Faktor, direkt aus dem Netz erreichbar, häufig mit lokalem Benutzerverzeichnis. Kommt ein offener RDP-Port dazu, weil eine Fernwartung für eine Anlage einmal schnell gehen musste, ist die Angriffsfläche komplett. Passwort-Spraying gegen diese Systeme läuft oft monatelang, ohne dass jemand hinsieht.
Sammelkonten und Karteileichen
Der wunde Punkt vieler Zulieferbetriebe sind Konten ohne Gesicht. Das Konto schicht für das Terminal in der Halle. Das Konto lager für den Scanner. Das Konto service für den Anlagenbauer. Sie werden von vielen Menschen genutzt, ihr Passwort ändert sich nie, und es steht meistens auf einem Zettel neben dem Bildschirm. Das BSI ist an dieser Stelle eindeutig: Jede Benutzerkennung muss eindeutig einer Person zugeordnet werden können, und länger inaktive Kennungen sollen deaktiviert werden1.
Noch heikler sind die Zugänge ausgeschiedener Mitarbeiter. Ein Schlosser verlässt den Betrieb, sein Windows-Konto wird deaktiviert, sein VPN-Profil auf der alten Firewall bleibt. Das BSI benennt dieses Risiko ausdrücklich, weil bei personellen Veränderungen nicht mehr benötigte Kennungen und Berechtigungen entfernt werden müssen1. Passwort-Spraying trifft solche Karteileichen besonders gern, weil niemand ihre Anmeldeversuche beobachtet. Deshalb beginnt jedes Identitätsprojekt mit einer schlichten Liste aller Konten, die es überhaupt noch gibt.
Weißt du aus dem Kopf, wie viele Konten in eurer Cloud, im Verzeichnisdienst und auf der alten Firewall noch scharf geschaltet sind? Systempartner Hagen baut dir diese Liste in wenigen Tagen und markiert jeden Zugang, hinter dem keine Person mehr steht.
Passwort-Spraying in den Logs erkennen
Das Muster im Anmeldeprotokoll
Ein Passwort-Spraying-Angriff hinterlässt eine erkennbare Signatur, sobald man die richtige Frage stellt. Die spannende Kennzahl ist die Menge unterschiedlicher Konten, die von derselben Quelle innerhalb einer Stunde einen Fehlversuch erzeugen. Zehn Konten aus einer IP-Adresse in kurzer Folge, alle mit Fehlercode für falsches Kennwort, das ist das Bild.
Es gibt weitere Marker. Anmeldeversuche außerhalb der Schichtzeiten, also nachts um halb vier in einem Betrieb, der um sechs Uhr anfängt. Herkunftsländer, in die dein Vertrieb nie liefert. Ein veralteter Client-Typ, der auf ältere Anmeldeprotokolle hindeutet. Microsoft nennt neben der Erkennung für Kennwortspray weitere Signale wie unmöglichen Ortswechsel, atypischen Ortswechsel und ungewöhnliche Anmeldeeigenschaften4. In Kombination ergeben sie ein belastbares Bild.
Was du tatsächlich auswerten solltest
- Fehlversuche gruppiert nach Quell-IP und Anzahl betroffener Konten, täglich
- Erfolgreiche Anmeldungen von Konten, die seit Monaten inaktiv waren
- Anmeldungen an VPN und Fernzugriff außerhalb der Schichtzeiten
- Sammelkonten mit Anmeldungen von neuen Geräten oder Standorten
- Legacy-Authentifizierung, die den zweiten Faktor umgeht
Wichtig ist die Erkennungsgrenze. Microsoft löst die Risikoerkennung für Kennwortspray erst dann aus, wenn ein Angreifer das Kennwort eines Benutzers erfolgreich überprüft hat, erfolglose Sprayversuche erzeugen keine Erkennung4. Die eigene Auswertung der Fehlversuche bleibt also Pflicht. In der Praxis übernimmt Systempartner Hagen diesen Teil als verwaltete Erkennung und Reaktion, damit die Auswertung auch dann weiterläuft, wenn in deiner IT gerade zwei Leute krank sind.
Gegenmaßnahmen, die Passwort-Spraying wirklich stoppen
Mehr-Faktor-Authentisierung als Fundament
Ein zweiter Faktor entwertet den Treffer. Der Angreifer hat das Passwort geraten und steht trotzdem vor einer verschlossenen Tür. Das BSI führt die Mehr-Faktor-Authentisierung im Baustein ORP.4 als Anforderung bei erhöhtem Schutzbedarf1 und empfiehlt sie in seiner Verbraucherkommunikation als zusätzliche Sicherheitsebene, die es Angreifenden erheblich erschwert, an Konten zu gelangen2. Für jeden Betrieb mit Fertigung und Fernzugriff ist das heute die Grundlinie.
Ein Hinweis aus der Praxis: Der zweite Faktor muss zur Halle passen. Ein Schichtarbeiter ohne Diensthandy braucht eine andere Lösung als ein Vertriebsmitarbeiter im Außendienst. Systempartner Hagen arbeitet hier mit Hardware-Token für Terminals und App-basierten Verfahren für Büroarbeitsplätze, denn ein Verfahren, das den Arbeitsablauf ausbremst, wird nach drei Wochen einfach umgangen.
Gesperrte Passwortlisten
Die zweite Maßnahme setzt am Rohstoff des Angriffs an. Wenn dein Firmenname, dein Ortsname, deine Produktnamen und die vier Jahreszeiten als Passwortbestandteil blockiert sind, verliert Passwort-Spraying seine Trefferquote. Microsoft erlaubt in der benutzerdefinierten Sperrliste bis zu 1.000 Ausdrücke und blockiert über die Fuzzy-Suche automatisch die Varianten dazu6. Das BSI formuliert dieselbe Anforderung ohne Produktbezug: Passwörter, die leicht zu erraten sind oder in gängigen Passwortlisten geführt werden, dürfen nicht verwendet werden1.
Für einen Betrieb im Märkischen Kreis heißt das konkret: Firmenname, Werksstandorte, Straßennamen der Gewerbegebiete, Maschinenbezeichnungen, der Name des Betriebssportvereins. Diese Liste entsteht am besten gemeinsam mit Betriebsrat und Personalabteilung, denn die besten Einträge kommen selten aus der IT.
Conditional Access und Zugriffsregeln
Die dritte Maßnahme entscheidet, wer sich von wo anmelden darf. Anmeldungen aus Ländern, in die dein Betrieb keine Geschäftsbeziehung hat, werden geblockt. Ältere Anmeldeprotokolle, die den zweiten Faktor nicht kennen, werden abgeschaltet. Zugriffe von nicht verwalteten Geräten bekommen zusätzliche Prüfungen. Passwort-Spraying aus einem Rechenzentrum in Übersee endet damit vor der Prüfung des Passworts. Das BSI empfiehlt dafür einen zentralen Authentisierungsdienst, damit die Anmeldepunkte nicht über den halben Betrieb verstreut liegen1.
Passkeys als nächster Schritt
Passkeys lösen das Problem an der Wurzel, weil es kein Passwort mehr gibt, das jemand raten könnte. Das BSI bewertet gerätegebundene Passkeys nach FIDO2 als resistent gegen alle betrachteten Angriffsszenarien und stellt auch synchronisierte Passkeys unter bestimmten Bedingungen positiv dar3. SMS-Codes schneiden in derselben Bewertung deutlich schwächer ab, weil sie Echtzeit-Phishing nicht abwehren3. Für Passwort-Spraying bedeutet ein Passkey schlicht das Ende der Methode.
Der realistische Weg für einen Zulieferer aus Südwestfalen führt in Etappen. Zuerst Mehr-Faktor-Authentisierung überall, dann Sperrlisten und Zugriffsregeln, dann Passkeys für Führungskräfte, Buchhaltung und Administratoren. Solche Umstellungen legst du am besten entlang der Schichtpläne, damit sie nicht ausgerechnet in einer Woche mit voller Auslastung landen.
Setz dich mit Systempartner Hagen an euren Schichtplan und leg fest, welche Etappe wann läuft. Der Fahrplan für zweiten Faktor, Sperrlisten und Passkeys steht nach einem Termin von zwei Stunden.
Lieferkette, Nachweise und der Druck aus dem Einkauf
Was Kunden im Märkischen Kreis heute verlangen
Als Geschäftsführer eines Zulieferbetriebs misst du deinen Tag an Lieferterminen und Maschinenstunden. Seit etwa zwei Jahren kommt eine neue Position dazu. Automobilhersteller, Anlagenbauer und Medizintechnikkunden verlangen Auskunft darüber, wie du Identitäten schützt. Im Fragebogen steht dann eine Zeile zu Mehr-Faktor-Authentisierung, eine zum Umgang mit Sammelkonten und eine zur Protokollierung von Anmeldeversuchen. Wer hier keine Antwort hat, verliert Aufträge an Wettbewerber, die eine haben.
Die Zahlen geben dem Einkauf recht. Die Bitkom-Studie zum Wirtschaftsschutz beziffert den jährlichen Schaden durch Datendiebstahl, Industriespionage und Sabotage für die deutsche Wirtschaft auf mehr als 211 Milliarden Euro und nennt Passwortangriffe unter den häufigsten Angriffsarten7. Passwort-Spraying steht in dieser Statistik selten namentlich, es ist aber der Weg, über den viele dieser Fälle beginnen.
Wie Systempartner Hagen den Nachweis aufbaut
Ein Sicherheitsnachweis für die Lieferkette braucht drei Dinge: eine dokumentierte Regelung, eine technische Umsetzung und einen Beleg, dass beides läuft. Das BSI verlangt genau diese Dokumentation und ihre regelmäßige Überprüfung, damit der Papierstand dem tatsächlichen Stand der Rechtevergabe entspricht1. Systempartner Hagen liefert dazu ein Berechtigungskonzept, eine Passwortrichtlinie ohne den überholten Zwangswechsel und einen monatlichen Bericht über Anmeldeanomalien.
Der Nebeneffekt ist angenehm. Ein Betrieb, der seinen Umgang mit Passwort-Spraying sauber dokumentiert hat, beantwortet Kundenfragebögen in zwei Stunden statt in zwei Wochen.
Der nächste Schritt für deinen Betrieb
Ein Fahrplan, der in den Alltag passt
Fang bei der Sichtbarkeit an. Eine vollständige Liste aller Konten in Cloud, Verzeichnisdienst, VPN und Fernwartung. Danach die Frage, welches Konto zu welcher Person gehört und welches keiner mehr braucht. Erst dann folgen die technischen Maßnahmen. Passwort-Spraying gegen 300 Konten ist ein Problem, Passwort-Spraying gegen 180 aktive und sauber geführte Konten ist ein deutlich kleineres.
Die Projekte zwischen Hagen, Iserlohn und dem Ennepe-Ruhr-Kreis zeigen alle dasselbe Bild: Die ersten beiden Schritte kosten wenige Tage. Sie bringen mehr Sicherheit als jede zusätzliche Software. Diese Bestandsaufnahme steht deshalb am Anfang jedes Sicherheitsprojekts, lange bevor jemand über Lizenzen redet.
Was offen bleibt
Eine Frage lässt sich derzeit nicht sauber beantworten. Wenn Angreifer ihre Sprühmuster mit generativer KI an deine Region, deine Branche und deine Belegschaftsstruktur anpassen, verlieren die heutigen Erkennungsschwellen an Wert. Erste Beobachtungen deuten darauf hin, dass Passwort-Spraying sich stärker an lokalen Sprachmustern orientiert, an Vereinsnamen aus dem Sauerland, an Straßennamen aus Hagen, an Begriffen aus der Zerspanung. Ob die klassischen Log-Signaturen dagegen noch reichen, wird sich in den nächsten Monaten zeigen. Systempartner Hagen beobachtet diese Entwicklung eng, und die ehrliche Antwort lautet: Wir wissen es noch nicht.
Was sich heute schon sagen lässt: Ein Betrieb mit Mehr-Faktor-Authentisierung, sauberen Sperrlisten und einem Blick in die Anmeldeprotokolle hat gegen Passwort-Spraying eine gute Ausgangslage. Ein Betrieb mit alten VPN-Zugängen, Sammelkonten und Sommer2026 hat keine.
In welcher der beiden Gruppen steht dein Betrieb gerade? Ruf bei Systempartner Hagen an und vereinbare eine Bestandsaufnahme, dann hast du die Antwort noch in diesem Quartal.
Unsere Buchhaltung hat eine geänderte Bankverbindung von einem Lieferanten bekommen, die so nie verschickt wurde. Wie kommen Fremde an unser Postfach?
Sehr wahrscheinlich hat jemand ein Postfach übernommen. Der häufigste Weg dorthin heißt Passwort-Spraying, also das Durchprobieren weniger sehr wahrscheinlicher Passwörter über die gesamte Belegschaft hinweg. Ein einziger Treffer genügt, danach liest der Angreifer wochenlang mit und schreibt im passenden Moment. Lass sofort die Anmeldeprotokolle prüfen und tausch die Passwörter der betroffenen Konten.
Bei uns heißen die Passwörter fast alle nach dem Firmennamen plus Jahreszahl. Wie schlimm ist das?
Das ist die Variante, die Angreifer als Erstes testen. Beim Passwort-Spraying probiert jemand ein einziges wahrscheinliches Passwort gegen alle eure Konten, und Firmenname plus Jahreszahl steht ganz oben auf dieser Liste. Sperr euren Firmennamen, eure Standorte und eure Produktnamen als Passwortbestandteil. Damit fällt diese ganze Familie in einem Schritt weg.
Unsere Leute müssen alle 90 Tage ein neues Passwort setzen. Bringt das überhaupt noch etwas?
Wenig. Beim erzwungenen Wechsel bauen sich die Leute ein System aus Jahreszeit und Jahr, also Sommer2026 oder Herbst25. Genau diese Muster stehen auf den Listen für Passwort-Spraying, das breite Durchprobieren gängiger Passwörter über viele Konten. Das BSI hat den pauschalen Wechsel deshalb aufgegeben. Setz auf lange, einmalige Passwörter und eine zweite Anmeldebestätigung.
Im Anmeldeprotokoll stehen jeden Tag ein paar hundert Fehlversuche, gesperrt wird trotzdem nie ein Konto. Ist das normal?
Das kann harmlos sein, es kann auch Passwort-Spraying sein. Ein Angreifer probiert dabei ein wahrscheinliches Passwort gegen sehr viele Konten, pro Konto genau einmal. Weil jede Sperrregel pro Konto zählt, wird nie eine Schwelle gerissen. Zähl deshalb, wie viele verschiedene Konten von derselben Herkunft innerhalb einer Stunde einen Fehlversuch erzeugen.
In der Halle arbeiten zwölf Leute über ein gemeinsames Konto am selben Bildschirm. Wie kriege ich das sicher?
Gemeinsame Konten sind für Passwort-Spraying das dankbarste Ziel, also für Angreifer, die ein gängiges Passwort gegen die ganze Belegschaft durchprobieren. Das Passwort ändert sich nie, es steht auf einem Zettel neben dem Bildschirm, und niemand fühlt sich zuständig. Gib jedem eine eigene Kennung und melde die Leute am Terminal per Badge oder Steckkarte an.
Ein Schlosser ist vor zwei Jahren gegangen, sein Zugang von zu Hause aus läuft vermutlich noch. Wie finde ich so etwas?
Solche Zugänge laufen oft jahrelang weiter, weil niemand sie beobachtet. Genau darauf zielt Passwort-Spraying, das geduldige Durchprobieren gängiger Passwörter über alle Konten hinweg. Zieh eine vollständige Liste aller Zugänge aus Cloud, Serververwaltung, Fernzugriff und Fernwartung und gleich sie mit der Personalliste ab. Systempartner Hagen macht diese Bestandsaufnahme in wenigen Tagen.
Unser größter Kunde will schriftlich wissen, wie wir unsere Zugänge absichern. Was schreibe ich da rein?
Drei Punkte reichen meistens: eine schriftliche Regel zu Passwörtern und Berechtigungen, der Nachweis einer zweiten Anmeldebestätigung und der Beleg, dass ihr Anmeldeversuche auswertet. Wer seinen Schutz gegen Passwort-Spraying dokumentiert hat, also gegen das massenhafte Durchprobieren gängiger Passwörter, füllt solche Bögen in zwei Stunden aus. Systempartner Hagen liefert dir die passenden Vorlagen.
Meine Leute in der Fertigung haben kein Diensthandy. Wie soll bei denen eine zweite Anmeldebestätigung funktionieren?
Dafür gibt es kleine Sicherheitsschlüssel zum Anstecken und Karten, die am Terminal aufgelegt werden. Beides braucht kein Handy und hält den Ablauf schnell. Der Effekt zählt: Eine zweite Bestätigung entwertet jeden Treffer beim Passwort-Spraying, also beim Durchprobieren gängiger Passwörter über alle Konten. Ein geratenes Passwort allein öffnet dann keine Tür mehr.
Bei uns machen zwei Kollegen die IT nebenbei mit. Wer schaut da eigentlich in die Anmeldeprotokolle?
In vielen Betrieben schaut dort niemand hinein, und genau davon lebt Passwort-Spraying, das langsame Durchprobieren gängiger Passwörter über viele Konten. Es fällt monatelang nicht auf. Wenn eure zwei Kollegen das im Tagesgeschäft nicht schaffen, übernimmt Systempartner Hagen die Auswertung als verwaltete Erkennung und Reaktion und meldet sich, sobald ein Muster auftaucht.
Was kostet mich ein Einbruch über ein geratenes Mitarbeiterpasswort, wenn ich jetzt nichts unternehme?
Die Bitkom rechnet für die deutsche Wirtschaft mit mehr als 211 Milliarden Euro Schaden pro Jahr durch Datendiebstahl, Spionage und Sabotage. Ein erfolgreiches Passwort-Spraying, also ein geratenes Passwort aus deiner Belegschaft, endet oft in einer umgeleiteten Zahlung oder einem Produktionsstillstand. Eine Kontenliste, gesperrte Passwortbegriffe und eine zweite Anmeldebestätigung kosten dagegen wenig.
