Gigantisches Datenleck: Hacker stehlen über 124 Millionen Passwörter

Cyberkriminelle haben einen gewaltigen Datensatz mit Zugangsinformationen erbeutet. Der Prüfdienst HaveIBeenPwned nahm am 15. Juni 124 Millionen gestohlene Passwörter sowie 56,3 Millionen E-Mail-Adressen in seine Datenbank auf. Die Herkunft dieser Daten unterscheidet sich von üblichen Datenlecks bei großen Onlinediensten. Statt eines Angriffs auf Unternehmen wie Google oder Facebook wurden die Informationen direkt von den Computern der Nutzer abgegriffen. Die Zugangsdaten stammen aus sogenannten Stealer-Logs – Sammlungen, die spezielle Schadsoftware auf befallenen Geräten erstellt.

Laut HaveIBeenPwned basiert der aktuelle Eintrag auf Hunderten Millionen einzelner Datensätze aus solchen Protokollen. Welche konkrete Malware dahintersteckt und ob die Daten bereits im Darknet kursieren, gab der Dienst bislang nicht bekannt.

Mehr über Cybersicherheit findest du am Ende dieses Beitrags.

Unsichtbare Gefahr auf dem eigenen Rechner

Infostealer zählen derzeit zu den gefährlichsten Werkzeugen im Arsenal von Cyberkriminellen. Diese Schadprogramme durchforsten infizierte Computer systematisch nach gespeicherten Passwörtern, Browser-Daten und Zugangstokens. Die gesammelten Informationen werden anschließend an die Angreifer übermittelt. Das Tückische: Viele Betroffene bemerken überhaupt nicht, dass sich Malware auf ihrem Gerät eingenistet hat. Dadurch können Zugangsdaten über längere Zeiträume unbemerkt abfließen.

Die Schadsoftware gelangt typischerweise über zwei Wege auf die Geräte:

• Einerseits über Phishing-Mails, bei denen zum Klicken auf einen Link aufgefordert wird. Kommt der Empfänger der Aufforderung nach, wird ein Download ausgelöst
• Andererseits kommt sie, getarnt als App (oft im Format APK) außerhalb von offiziellen Appstores, auf das Gerät

So lässt sich die eigene Betroffenheit prüfen

Wer wissen möchte, ob die eigenen Zugangsdaten in der Sammlung auftauchen, kann dies kostenlos auf der Webseite von HaveIBeenPwned überprüfen. Dort lassen sich sowohl E-Mail-Adressen als auch Passwörter eingeben und mit der Datenbank abgleichen. Der Dienst zeigt nach der Eingabe an, ob und in welchen Datenlecks die Informationen aufgetaucht sind. Registrierte Nutzer erhalten zusätzlich Einblick, was kriminelle Akteure möglicherweise bereits mit den gestohlenen Daten angestellt haben. Unternehmen können über eine Schnittstelle prüfen, ob Adressen ihrer Domain betroffen sind.

Sofortiges Handeln schützt vor weiteren Schäden

Wer feststellt, dass eigene Passwörter kompromittiert wurden, sollte diese umgehend ändern. Besonders dringend ist dies bei Kennwörtern, die für mehrere Dienste gleichzeitig verwendet werden. Genau auf solche Mehrfachnutzung setzen Kriminelle bei sogenannten Credential-Stuffing-Angriffen. Die Aktivierung der Zwei-Faktor-Authentifizierung bietet zusätzlichen Schutz. Bei dieser Methode reicht ein gestohlenes Passwort allein nicht mehr aus, um Zugang zu einem Konto zu erhalten. Stattdessen ist ein zweiter Nachweis erforderlich – etwa ein Code auf dem Smartphone.

Grundsätzlich empfiehlt sich für jeden Onlinedienst ein eigenes, möglichst langes Kennwort. Ein Passwortmanager kann dabei helfen, solche sicheren Zugangsdaten zu erstellen und zu verwalten. So lässt sich verhindern, dass ein einzelner Diebstahl gleich mehrere Konten gefährdet.

Hier liest du mehr über Datenschutz und Cybersecurity:

• Sicherheitslücke Mitarbeiter: Mehr Bewusstsein für Cybersecurity in KMU
• Cybersecurity: 6 Geheimnisse, die du der KI besser nicht verrätst
• Datenlecks im New-Work-Zeitalter: Die 10 häufigsten Fehler im Umgang mit Firmendaten
• ChatGPT soll Zugriff auf Bankdaten bekommen – doch meine will es nicht haben
• DSGVO-Checkliste für KMU: So vermeidest du teure Datenschutzverstöße