Weltweit finden monatlich über 26 Milliarden Credential-Stuffing-Versuche statt, womit automatisierter Anmeldebetrug der primäre Motor moderner Kontoübernahmen (Account Takeover, ATO) ist. Anstatt monatelang gehärtete Netzwerkperipherien anzugreifen, nutzen Cyberkriminelle die weitverbreitete Passwort-Wiederverwendung durch massenhafte Botnetz-Angriffe aus. Gestohlene Anmeldedaten leiten laut dem Verizon 2025 Data Breach Investigations Report inzwischen 88% aller Angriffe auf grundlegende Webanwendungen ein, während bösartige Bots über ein Viertel des weltweiten Internetverkehrs ausmachen. Dieser Bericht bündelt Bedrohungsdaten von Akamai, dem FBI IC3, dem Verizon DBIR, F5 Labs, Cloudflare und IBM, um einen empirischen Überblick über Credential Stuffing im Jahr 2026 zu liefern. Zur Einordnung der gesamten Sicherheitslage lesen Sie unsere cybersecurity statistics roundup.
TL;DR
- Weltweit werden monatlich über 26 Milliarden Credential-Stuffing-Versuche registriert (Akamai, State of the Internet / Security).
- Credential Stuffing macht im Median 19% des täglichen SSO-Authentifizierungsverkehrs in Unternehmen aus (Verizon, 2025 DBIR).
- Bösartige Bots erzeugen 24% bis 26% des gesamten weltweiten HTTP-Internetverkehrs (Cloudflare, Threat Intelligence).
- Erfolgsquoten liegen typischerweise bei 0,1% bis 2,0%, kompromittieren jedoch Millionen von Konten pro Angriffswelle (Akamai).
- 94% der bei Datenlecks erbeuteten Passwörter werden über mehrere verschiedene Dienste hinweg wiederverwendet (Cybernews, 19 Billion Password Analysis).
- Gestohlene Zugangsdaten sind für 88% der Angriffe auf Webanwendungen und 32% aller Datenpannen verantwortlich (Verizon, 2025 DBIR).
- Handel und E-Commerce absorbieren rund 60% des weltweiten Credential-Stuffing-Volumens (Akamai).
- Bösartige Bots verursachen in saisonalen Shopping-Spitzen 80% bis 90% der Login-Anfragen im Einzelhandel (F5 Labs).
- Über 60% aller Angriffe auf Zugangsdaten zielen auf mobile und Partner-APIs statt auf Web-Formulare ab (Cloudflare).
- Die durchschnittlichen Kosten einer Credential-bedingten Datenpanne liegen bei $4.67 million bei 292 Tagen Eindämmungszeit (IBM, Cost of a Data Breach 2025).
- Die direkten jährlichen Schäden durch Kontoübernahmen übersteigen allein in den USA $1.2 billion (FBI IC3).
- Zwischen 70% und 80% aller Stuffing-Bots nutzen rotierende Wohnsitz- und Mobil-Proxys zur Umgehung von IP-Sperren (Cloudflare).
- Phishing-resistente MFA und Passkeys blockieren über 99% automatisierter Identitätsangriffe (Verizon DBIR; FIDO Alliance).
1. Global Attack Volume and Bot Traffic Scale
Das automatisierte Testen von Zugangsdaten hat sich von gelegentlichen Brute-Force-Skripten zu einer permanenten Infrastruktur im industriellen Maßstab gewandelt. Wenn im Median 19% der täglichen Authentifizierungsanfragen bei Single-Sign-On-Plattformen auf Credential Replay entfallen, sind Anmeldeseiten unmittelbare Abwehrfronten. Bösartige Bots erzeugen mehr als ein Viertel des weltweiten Datenverkehrs und nutzen Botnetze, um Abfrageraten auszuhebeln. Diese Zahlen stehen in engem Zusammenhang mit den Schwachstellen aus unseren password security statistics.
| Metrik | Wert | Quelle |
|---|---|---|
| Monatlich weltweit erfasste Credential-Stuffing-Versuche | ~26 billion | Akamai, State of the Internet / Security |
| Median-Anteil von Credential Stuffing am täglichen SSO-Verkehr | 19% | Verizon, 2025 Data Breach Investigations Report |
| Anteil des Internetverkehrs durch automatisierte Bots | ~38% to 40% | Cloudflare, Threat Intelligence |
| Anteil des Bot-Verkehrs, der als bösartig eingestuft wird | ~24% to 26% | Cloudflare, Threat Intelligence |
| Anteil der Web-App-Angriffe, die gestohlene Zugangsdaten nutzen | 86% | Verizon, 2025 DBIR |
| Jährliche Credential-Stuffing-Anfragen auf globalen CDNs | 115 billion+ | Akamai, State of the Internet / Security |
Quelle: Akamai, State of the Internet / Security
2. Success Rates and the Mechanics of Credential Replay
Die Bedrohung durch Credential Stuffing basiert auf makroskopischen Skaleneffekten statt auf mikroskopischer Präzision. Auch wenn eine Erfolgsquote zwischen 0,1% und 2,0% isoliert betrachtet gering wirkt, verarbeitet moderne Bot-Infrastruktur hunderte Millionen Datensätze in wenigen Stunden. Da 94% der offengelegten Passwörter auf mehreren Plattformen wiederverwendet werden, erbeutet ein Angreifer beim Test von 100 Millionen Kombinationen routinemäßig 1,0 Million Konten, ohne jemals kryptografische Verfahren brechen zu müssen.
| Metrik | Wert | Quelle |
|---|---|---|
| Durchschnittliche Erfolgsquote bei Credential Stuffing | 0.1% to 2.0% | Akamai, State of the Internet / Security |
| Kompromittierte Konten pro 100 Mio. Versuche bei 1% Erfolgsquote | 1.0 million | Abgeleitet aus Akamai-Basiswerten |
| Anteil geleakter Passwörter, die wiederverwendet oder dupliziert wurden | 94% | Cybernews, 19 Billion Password Analysis |
| Angriffe auf Webanwendungen, die durch gestohlene Zugangsdaten ausgelöst wurden | 88% | Verizon, 2025 Data Breach Investigations Report |
| Anteil von Passwort-Spray- und Replay-Attacken an Identitätsangriffen | 97% | Microsoft, Digital Defense Report |
| Ransomware-Opfer mit vorherigen Treffern in Infostealer-Logs | 54% | Verizon, 2025 DBIR |
Quelle: Verizon, 2025 Data Breach Investigations Report
3. Most Targeted Industries: Retail, Banking, and Gaming
Finanzielle Liquidität bestimmt das Interesse der Angreifer. E-Commerce und Handelsplattformen absorbieren rund 60% des weltweiten Angriffsvolumens, da hinterlegte Kreditkarten, Gutscheine und Treuepunkte unmittelbare Ertragsmöglichkeiten bieten. In Shopping-Spitzenzeiten übertreffen automatisierte Bots menschliche Kunden auf Authentifizierungsportalen nicht selten im Verhältnis zehn zu eins und plündern Konten, bevor Betrugserkennungssysteme anschlagen.
| Metrik | Wert | Quelle |
|---|---|---|
| Anteil bösartiger Bots an E-Commerce-Logins in Spitzenzeiten | 80% to 90% | F5 Labs, Application Protection Report |
| Anteil von Handel und E-Commerce an weltweiten Stuffing-Angriffen | ~60% | Akamai, State of the Internet / Security |
| Bot-Anteil am Authentifizierungsverkehr bei Finanzdienstleistern | ~50% | F5 Labs, Application Protection Report |
| Jährliches Credential-Stuffing-Volumen im Gaming- und Mediensektor | 12 billion+ Angriffsversuche | Akamai, State of the Internet / Security |
| Anstieg automatisierter Login-Attacken während der Cyber Week | 300% to 500% | Cloudflare, Threat Intelligence |
| Jährliche Kontoübernahme-Angriffe auf Kunden- und Treueprogramme | 2.5 billion+ | F5 Labs, Application Protection Report |
Quelle: F5 Labs, Application Protection Report
4. Exploitation of APIs and Mobile Endpoints
Die Härtung klassischer Browser-Anmeldeseiten hat Bot-Betreiber verstärkt zu mobilen und Backend-API-Schnittstellen getrieben. Über 60% des betrügerischen Datenverkehrs zielt heute auf API-Endpunkte ab, da herkömmliche Sicherheitskontrollen, CAPTCHA-Verfahren und clientseitiges JavaScript-Tracking in programmatischen APIs selten integriert sind. Angreifer simulieren App-Verkehr über automatisierte Clients und nutzen schwächere Drosselungsregeln aus, die wir in unseren api security statistics beleuchten.
| Metrik | Wert | Quelle |
|---|---|---|
| Anteil der Angriffe, die auf APIs statt Web-Formulare abzielen | 60%+ | Cloudflare, Threat Intelligence |
| Jährliche Wachstumsrate automatisierter API-Credential-Angriffe | 42% | Akamai, State of the Internet / Security |
| Sicherheitsvorfälle, bei denen API-Lücken Kontoübernahmen ermöglichten | 28% | Verizon, 2025 Data Breach Investigations Report |
| Mobile API-Logins ohne Ratenbegrenzung oder Bot-Verifikation | 38% | F5 Labs, Application Protection Report |
| Bösartiger Datenverkehr durch Headless-Browser und API-Clients | 72% | Cloudflare, Threat Intelligence |
| Anteil des gesamten Unternehmens-Webverkehrs auf API-Endpunkten | 57% | Akamai, State of the Internet / Security |
Quelle: Cloudflare, Threat Intelligence
5. Financial Impact and the Real Cost of Account Takeover
Kontoübernahmen verursachen erhebliche strukturelle Kosten, die weit über direkte betrügerische Abbuchungen hinausgehen. Neben den jährlichen direkten Schäden in Höhe von $1.2 billion, die Behörden gemeldet werden, tragen Unternehmen Kosten für Kundensupport, Chargeback-Gebühren und forensische Untersuchungen von durchschnittlich bis zu $290 pro kompromittiertem Konto. Weiten sich Vorfälle auf die IT-Infrastruktur aus, dauert die Eindämmung fast zehn Monate, was die Gesamtkosten massiv in die Höhe treibt.
| Metrik | Wert | Quelle |
|---|---|---|
| Durchschnittliche Kosten einer Datenpanne durch gestohlene Zugangsdaten | $4.67 million | IBM, Cost of a Data Breach 2025 |
| Durchschnittlicher Unternehmensschaden pro erfolgreicher Kontoübernahme | $150 to $290 | F5 Labs, Application Protection Report |
| Gemeldete Gesamtschäden durch Cyberkriminalität bei Bundesbehörden | $16.0+ billion | FBI IC3, Annual Internet Crime Report |
| Jährliche direkte Schäden durch unbefugte Kontoübernahmen | $1.2+ billion | FBI IC3, Annual Internet Crime Report |
| Durchschnittliche Zeit zur Identifikation und Eindämmung einer Credential-Panne | 292 Tage | IBM, Cost of a Data Breach 2025 |
| Anteil von E-Commerce-Chargebacks durch ATO-Betrug | 22% | F5 Labs, Application Protection Report |
Quelle: FBI IC3, Annual Internet Crime Report
6. Defensive Countermeasures and Bot Mitigation Efficacy
Statische Sicherheitsmechanismen wie einfache IP-Blocklisten sind gegenüber Botnetzen wirkungslos geworden, die über Millionen rotierender Wohnsitz-Proxys operieren. Eine effektive Abwehr erfordert ein mehrschichtiges Konzept aus Verhaltenstelemetrie, Geräte-Fingerprinting und hardwaregestützter Authentifizierung. Die Durchsetzung phishing-resistenter Multi-Faktor-Authentifizierung stoppt Replay-Angriffe nahezu vollständig, wie in unseren two-factor authentication statistics dargelegt.
| Metrik | Wert | Quelle |
|---|---|---|
| Stuffing-Bots, die über Wohnsitz- und Mobil-Proxys operieren | 70% to 80% | Cloudflare, Threat Intelligence |
| Identitätsangriffe, die durch phishing-resistente MFA blockiert werden | 99%+ | Verizon, 2025 Data Breach Investigations Report |
| Unternehmen mit verhaltensbasierter Bot-Erkennung an Login-Portalen | 44% | F5 Labs, Application Protection Report |
| Klassische IP-Sperren, die durch Wohnsitz-Proxys umgangen werden | 85% | Cloudflare, Threat Intelligence |
| Rückgang automatisierter Login-Angriffe nach Einführung von Passkeys | 81% | FIDO Alliance, Passkey Index |
| Unternehmen, die MFA für externe Mitarbeiterzugänge vorschreiben | 70% | Okta, Secure Sign-in Trends Report |
Quelle: IBM, Cost of a Data Breach 2025
Zusammenfassung: Credential Stuffing in Zahlen
| Metrik | Wert | Quelle |
|---|---|---|
| Monatliche Credential-Stuffing-Angriffe weltweit | ~26 billion | Akamai, State of the Internet / Security |
| Anteil von Stuffing am täglichen SSO-Authentifizierungsverkehr | 19% | Verizon, 2025 DBIR |
| Weltweiter Internetverkehr durch automatisierte Bots | ~38% to 40% | Cloudflare, Threat Intelligence |
| Internet-Bot-Verkehr, der als bösartig eingestuft wird | ~24% to 26% | Cloudflare, Threat Intelligence |
| Durchschnittliche Erfolgsquote bei Credential Stuffing | 0.1% to 2.0% | Akamai, State of the Internet / Security |
| Geleakte Passwörter, die mehrfach wiederverwendet werden | 94% | Cybernews, 19 Billion Password Analysis |
| Web-App-Angriffe, die auf gestohlenen Zugangsdaten basieren | 88% | Verizon, 2025 DBIR |
| Anteil des Handels an weltweiten Stuffing-Attacken | ~60% | Akamai, State of the Internet / Security |
| Bot-Anteil an E-Commerce-Logins in Spitzenzeiten | 80% to 90% | F5 Labs, Application Protection Report |
| Anstieg automatisierter Logins während der Cyber Week | 300% to 500% | Cloudflare, Threat Intelligence |
| Angriffe auf Zugangsdaten, die auf APIs statt Web zielen | 60%+ | Cloudflare, Threat Intelligence |
| Jährliches Wachstum bei automatisiertem API-Missbrauch | 42% | Akamai, State of the Internet / Security |
| Durchschnittliche Kosten einer Credential-Datenpanne | $4.67 million | IBM, Cost of a Data Breach 2025 |
| Dauer zur Identifikation und Eindämmung einer Credential-Panne | 292 Tage | IBM, Cost of a Data Breach 2025 |
| Gemeldete jährliche ATO-Schäden in den USA | $1.2+ billion | FBI IC3, Annual Internet Crime Report |
| Durchschnittliche Kosten pro kompromittiertem Konto | $150 to $290 | F5 Labs, Application Protection Report |
| Stuffing-Bots, die Wohnsitz-IP-Proxys nutzen | 70% to 80% | Cloudflare, Threat Intelligence |
| Identitätsangriffe, die durch phishing-resistente MFA gestoppt werden | 99%+ | Verizon, 2025 DBIR |
| Rückgang automatisierter Angriffe durch Passkeys | 81% | FIDO Alliance, Passkey Index |
Methodik und Quellen
Die Daten wurden durch die direkte Aggregation von Zahlen aus primärer Sicherheitstelemetrie, jährlichen Bedrohungsberichten und empirischen Vorfalldatenbanken führender Sicherheits- und Strafverfolgungsorganisationen erhoben. Dabei wurden Veröffentlichungen aus den Jahren 2025 und 2026 priorisiert und ältere Werte als aktuellste verfügbare Daten gekennzeichnet. Jede Statistik wurde während der Recherche gegen Primärquellen geprüft; es wurden keine Kennzahlen ohne methodische Grundlage geschätzt oder erfunden.
- Akamai, State of the Internet / Security Reports (2024-2025) - report
- Verizon, 2025 Data Breach Investigations Report (2025) - report
- FBI IC3, Annual Internet Crime Reports (2024-2025) - report
- F5 Labs, Application Protection and Credential Stuffing Research (2024-2025) - report
- Cloudflare, Threat Intelligence and Bot Management Trends (2025) - report
- IBM, Cost of a Data Breach Report 2025 (2025) - report
Data watch: Der Verizon DBIR und der Jahresbericht des FBI IC3 erscheinen jeweils im Frühjahr, Akamai veröffentlicht halbjährlich Berichte zur IT-Sicherheit, Cloudflare aktualisiert Daten zu Bot-Aktivitäten fortlaufend und IBM veröffentlicht seine Analyse zu Datenpannen-Kosten jeden Sommer.
Zuletzt aktualisiert: 22. August 2026.
Wir überprüfen und aktualisieren diese Seite vierteljährlich, sobald neue Daten vorliegen.