Rate Limiting und Brute-Force-Schutz: Login- und API-Endpunkte absichern

Rate Limiting begrenzt, wie viele Anfragen ein Client in einem Zeitraum stellen darf. So einfach es klingt, ist es eine grundlegende Abwehr über eine breite Spanne: von Brute-Force-Passwortversuchen über API-Missbrauch bis zu Ressourcenerschöpfung und Scraping. Dieser Artikel behandelt, wo und wie man es anwendet und welche Fallstricke zu vermeiden sind.

Was es schützt

• Brute Force und Credential Stuffing: Das Verlangsamen von Versuchen an Login- und Passwort-Reset-Endpunkten erhöht die Kosten des Angreifers.
• API-Missbrauch: Schutz kostspieliger Operationen (SMS-Versand, Suche, Export) vor übermäßigen Aufrufen.
• Ressourcenerschöpfung: eine grundlegende DoS-Minderung auf Anwendungsebene.
• Scraping: Verlangsamen von Massen-Datenextraktion.

Wie man es anwendet

1. Strengere Limits für sensible Endpunkte. Login, Registrierung, Passwort-Reset und OTP-Verifizierung sollten enger begrenzt sein als allgemeiner Verkehr.
2. Auf den richtigen Bezeichner schlüsseln. Nur nach IP zu begrenzen kann viele legitime Nutzer hinter NAT bestrafen oder einen IP-wechselnden Angreifer verfehlen; wo möglich Konto/Sitzung + IP kombinieren.
3. Abgestuft reagieren. Erst drosseln (Verzögerung), dann temporär sperren; plötzliche dauerhafte Sperren treffen legitime Nutzer.
4. 429 Too Many Requests und Retry-After zurückgeben.
5. In verteilten Setups einen zentralen Zähler nutzen. Bei mehreren Servern müssen die Limits geteilt sein; sonst zählt jeder Server separat und das Limit vervielfacht sich effektiv.

Häufige Fehler

• Nur clientseitige Begrenzung: Echter Schutz ist serverseitig.
• Ein einziges globales Limit: Der Login-Endpunkt sollte kein Limit mit statischen Inhalten teilen.
• Missbrauchbare Sperren: Eine “sperre das Konto nach 5 Fehlern”-Regel lässt einen Angreifer fremde Konten gezielt sperren (Lockout-DoS); abgestufte Verzögerung + MFA ist ausgewogener.

Zusammenfassung

Rate Limiting ist eine gemeinsame, kostengünstige Abwehr gegen viele Angriffe. Wirksame Anwendung: strenge Limits an sensiblen Endpunkten, Schlüsselung auf den richtigen Bezeichner, abgestufte Reaktion (429 + Retry-After) und ein zentraler Zähler in verteilten Umgebungen. Gestalten Sie Sperrmechanismen so, dass sie nicht missbraucht werden können.

Quellen: OWASP: Blocking Brute Force Attacks, MDN: 429 Too Many Requests.

Sind Rate Limits an Ihren Login- und API-Endpunkten korrekt konfiguriert? Die Active Verification von CyberTestify bewertet dies an erkannten Endpunkten.