FBI warnt: Residential-Proxys treiben Credential-Stuffing-Angriffe an
Das FBI und neue Forschungsergebnisse machen Residential-Proxys als Motor hinter groß angelegtem Credential Stuffing im Jahr 2026 aus. So funktioniert der Angriff, und so erkennt man ihn anhand der IP.
Diese Woche rückte die Bedrohungslage etwas in den Fokus, worüber wir häufig sprechen: Residential-Proxys. Das FBI hat gewarnt, dass Cyberkriminelle sie zunehmend nutzen, um groß angelegte Credential-Stuffing-Angriffe durchzuführen, ohne aufgespürt oder blockiert zu werden. Neue Forschung, veröffentlicht Anfang Juni 2026, zeigt zudem, dass der Großteil des beobachteten Residential-Proxy-Verkehrs Missbrauch gegen Banken, Werbenetzwerke und E-Commerce-Plattformen ermöglicht.
Wer Logins betreibt, für den ist das heute relevant. Hier ist, was tatsächlich passiert und wie man es erkennt.
Was Credential Stuffing ist
Angreifer knacken keine Passwörter, sie kaufen sie. Milliarden von Benutzername-Passwort-Paaren aus früheren Datenlecks werden gegen andere Seiten ausprobiert, in der Erwartung, dass Nutzer Zugangsdaten mehrfach verwenden. Jeder Treffer bedeutet ein gekapertes Konto. Die Technik ist billig, automatisiert und wird durch verbreitete Tools zunehmend auch für wenig versierte Akteure zugänglich.
Warum Residential-Proxys das Spiel verändert haben
Die klassische Abwehr gegen Credential Stuffing ist Rate-Limiting pro IP: zu viele Login-Versuche von einer Adresse, und sie wird blockiert. Residential-Proxys hebeln diese Abwehr aus.
Indem jeder Login-Versuch über eine andere echte Heim-IP geleitet wird, siehe was ist ein Residential-Proxy, lässt ein Angreifer eine Million Versuche wie eine Million verschiedene gewöhnliche Nutzer aussehen. Keine einzelne IP überschreitet das Rate-Limit. Blocklisten für Hosting-Bereiche schlagen nie an, weil es sich um echte ISP-Adressen handelt.
Prüfen, ob eine IP Residential-Proxy-Signale zeigt
Wie man es erkennt
ASN-Prüfungen oder statische Listen reichen dagegen nicht aus. Wirksam sind diese Signale:
- Residential-Proxy-Erkennung: die IP gegen bekannte Proxy-Pools abgleichen und Muster wie gemeinsame Nutzung und Rotation gewichten, nicht nur die Zugehörigkeit. Genau dafür ist Residential Proxy Detection gebaut.
- Anonymisierungskontext: eine VPN- oder Tor-Zuordnung beim Login ist ein zusätzliches Risikosignal.
- Reputation: Adressen mit früherer Missbrauchshistorie erhalten einen höheren Wert, siehe IP-Reputation.
- Velocity auf Konto- und Geräteebene: weil die IP rotiert, sollte man das Konto und den Geräte-Fingerabdruck begrenzen, nicht nur die IP.
Eine praktische Verteidigung für Logins
| Ebene | Was sie bewirkt |
|---|---|
| IP-Bewertung | Residential-Proxy-/Anonymisierungs-Logins über die Proxy Detection API markieren |
| Step-up-Authentifizierung | MFA oder E-Mail-/Telefon-Verifizierung ab einem Risikoschwellenwert verlangen |
| Konto-Velocity | Versuche pro Konto und pro Gerät begrenzen, nicht nur pro IP |
| Prüfung geleakter Passwörter | Bekannt geleakte Passwörter bei Login und Reset ablehnen |
Die entscheidende Umstellung: nicht mehr "schlechte IPs blockieren", sondern "jeden Login bewerten und bei hohem Risiko Reibung hinzufügen". Zum breiteren Trend hin zu login-basierten Angriffen siehe Angreifer brechen nicht ein, sie loggen sich ein.
Fazit
Die Warnung des FBI bestätigt, was die Daten zeigen: Residential-Proxys sind der Motor hinter modernem Credential Stuffing, weil sie IP-basierte Abwehrmaßnahmen aushebeln. Erkennen lassen sie sich mit Pool-Wissen und Reputation, dazu jeden Login bewerten und Konten sowie Geräte begrenzen, statt rotierenden IPs hinterherzujagen.
Quellen: FBI-Warnung via BleepingComputer, Synthient-Forschung.