Estimated reading time: 6 Minuten
Ein neues Mega-Datenleck sorgt 2025 für Aufsehen: Rund zwei Milliarden eindeutige E-Mail-Adressen und 1,3 Milliarden Passwörter sind im Rahmen eines massiv zusammengetragenen „Credential-Stuffing“-Datensatzes öffentlich aufgetaucht. Der Sicherheitsforscher Troy Hunt hat das Material in seine Plattform „Have I Been Pwned“ (HIBP)integriert – es ist das bislang größte Update, das der Dienst je verarbeitet hat. (Focus)
Besonders kritisch: Hundertmillionen der Passwörter waren bislang in keiner öffentlichen Leak-Liste zu finden, tauchen also erstmals auf. Für Angreifer sind solche Sammlungen Gold wert – für Nutzer dagegen ein massives Risiko. (SmartDroid.de)
In diesem Artikel lesen Sie, was genau passiert ist, warum das Thema auch dann brisant ist, wenn Sie „schon lange nichts mehr gehört haben“ – und wie Sie konkret prüfen, ob Ihre Zugangsdaten betroffen sind.
Was genau passiert ist
Die jetzt ausgewerteten Daten stammen von der Threat-Intelligence-Plattform Synthient. Dort wurden über einen längeren Zeitraum hinweg Zugangsdaten aus vielen unterschiedlichen Leaks und Quellen zusammengeführt. Nach Bereinigung und Dublettenprüfung bleiben knapp zwei Milliarden einzigartige E-Mail-Adressen und 1,3 Milliarden Passwörter, die nun in HIBP und dem zugehörigen Dienst „Pwned Passwords“ durchsuchbar sind. (SmartDroid.de)
Wichtig: Es handelt sich nicht um einen gezielten Hack von Gmail oder einem einzelnen großen Anbieter. Zwar sind hunderte Millionen Gmail-Adressen in dem Datensatz enthalten, sie verteilen sich aber auf zig Millionen unterschiedlicher Domains. Über 80 Prozent der Einträge haben nichts mit Gmail zu tun – betroffen sind zahllose Dienste quer durch das Netz. (Focus)
Der eigentliche Skandal: Stichproben von Hunt zeigen, dass viele der geleakten Passwörter von Nutzern noch aktiv verwendet werden – teilweise seit zehn Jahren oder länger. (SmartDroid.de)
Credential Stuffing: Warum dieses Leak so gefährlich ist
Das Leck ist vor allem deshalb brisant, weil es sich perfekt für Credential-Stuffing-Angriffe eignet:
- Angreifer nehmen Listen aus E-Mail-Adressen und Passwörtern
- Sie probieren diese automatisiert bei großen Diensten (Mail, Shops, Streaming, Social Media) aus
- Nutzer, die dasselbe Passwort mehrfach verwenden, sind dann mit hoher Wahrscheinlichkeit kompromittiert
Genau für solche Angriffe werden die jetzt geleakten Listen von Cyberkriminellen genutzt – nicht nur im Darknet, sondern zunehmend auch über einfach zugängliche Foren und Plattformen. (Focus)
Warum auch „alte“ Passwörter noch ein Problem sind
Viele Nutzer wiegen sich in falscher Sicherheit: „Das Passwort ist ewig alt, das nutze ich heute sicher nicht mehr.“ Die Realität sieht häufig anders aus:
- Alte Passwörter ähneln oft den aktuellen (zum Beispiel nur andere Ziffern am Ende)
- Viele Konten wurden nie umgestellt, vor allem bei alten Shops und Foren
- Sicherheitsabfragen („Sicherheitsfrage“, Zweit-Mailadresse) basieren manchmal auf sehr alten Daten
Dass Troy Hunt bei Stichproben auf noch aktive Passwörter gestoßen ist, zeigt: Dieses Leak betrifft nicht nur längst vergessene Altlasten, sondern teilweise hochkritische Zugänge, die Nutzer bis heute verwenden. (SmartDroid.de)
So prüfen Sie, ob Ihre E-Mail-Adresse betroffen ist
Der erste Schritt ist ein Check Ihrer Mailadressen bei Have I Been Pwned:
- Öffnen Sie im Browser die Seite von Have I Been Pwned (HIBP). (Futurezone)
- Geben Sie nacheinander Ihre wichtigsten E-Mail-Adressen ein (privat, Arbeit, ggf. Alias-Adressen).
- HIBP zeigt Ihnen an, ob und in welchen bekannten Datenlecks Ihre Adresse auftaucht.
- Notieren Sie sich vor allem „frische“ Einträge oder solche bei Diensten, die Sie noch aktiv nutzen.
Wichtig: HIBP selbst ist ein seriöser Sicherheitsdienst und speichert Ihre Eingaben nicht zur weiteren Nutzung, sondern prüft sie gegen eine bestehende, gehashte Datenbank von Leaks. (Golem.de)
Zusätzlich können Sie mit „Pwned Passwords“ prüfen, ob ein bestimmtes Passwort schon einmal in einem Leak aufgetaucht ist. Dabei wird ein kryptografisches Verfahren („k-Anonymity“) genutzt: Ihr komplettes Passwort verlässt Ihren Rechner nicht im Klartext, trotzdem kann der Dienst prüfen, ob ein Hash davon bekannt ist. (Have I Been Pwned)
Wichtig: Geben Sie dort nach Möglichkeit nur Passwörter ein, die Sie unmittelbar danach sowieso ersetzen – oder nutzen Sie den Dienst nur, um zu testen, ob neu erzeugte, zufällige Passwörter bereits in großen Sammlungen auftauchen.
Was Sie jetzt konkret tun sollten
Unabhängig davon, ob HIBP Ihre Adresse als betroffen listet oder nicht, empfehlen sich jetzt diese Schritte:
- Passwörter ändern – vor allem bei Mail, Cloud, Banking und Shops
Aktualisieren Sie konsequent alle Passwörter, die- in HIBP als kompromittiert gemeldet werden oder
- Sie seit Jahren unverändert nutzen.
- Pro Dienst ein eigenes, starkes Passwort verwenden
Ein Passwort sollte ausschließlich bei einem einzigen Dienst genutzt werden. So verhindern Sie, dass ein Leak bei Anbieter A automatisch den Zugang bei Anbieter B öffnet. - Passwort-Manager einsetzen
Nutzen Sie einen seriösen Passwort-Manager, um lange, zufällige und einzigartige Passwörter zu erzeugen und zu speichern. Dann müssen Sie sich nur noch ein starkes Master-Passwort merken. (Focus) - Zwei-Faktor-Authentifizierung (2FA) aktivieren
Aktivieren Sie überall dort, wo es möglich ist, eine zweite Sicherheitsebene – etwa per Authenticator-App oder Hardware-Token. Selbst wenn ein Passwort geleakt ist, blockiert 2FA viele Angriffe. (Focus) - Besondere Aufmerksamkeit für Ihre Haupt-E-Mail-Adresse
Wer Zugriff auf Ihr Mailpostfach hat, kann oft auch andere Konten übernehmen (Passwort-zurücksetzen-Funktion).- Passwort des Mailkontos priorisiert ändern
- 2FA aktivieren
- Weiterleitungen und Logins regelmäßig prüfen
- Alte Accounts aufräumen
Nutzen Sie alte Foren, Shops oder Dienste nicht mehr?- Passwort ändern
- Nach Möglichkeit Konto löschen oder zumindest stilllegen
Je weniger „Karteileichen“ existieren, desto weniger Angriffsfläche bieten Sie.
Was dieses Leak grundsätzlich zeigt
Datendiebstähle in dieser Größenordnung sind leider kein Ausnahmefall mehr, sondern reiht sich in eine immer länger werdende Liste großer Vorfälle ein. (Wikipedia)
Der aktuelle Rekord-Datensatz macht vor allem eines klar:
- „Ich bin zu unwichtig, um gehackt zu werden“ ist ein gefährlicher Irrtum.
- Angreifer interessieren sich primär für Masse und Automatisierung, nicht für einzelne Personen.
- Wer Passwörter mehrfach verwendet oder 2FA ignoriert, wird über kurz oder lang mit hoher Wahrscheinlichkeit Opfer eines automatisierten Angriffs.
Fazit
Das Rekord-Datenleck 2025 ist ein Weckruf: Passwort-Disziplin ist kein Nerd-Thema mehr, sondern grundlegender Selbstschutz im Alltag.
Wenn Sie jetzt:
- Ihre wichtigsten Konten über HIBP prüfen,
- kompromittierte und alte Passwörter ersetzen,
- konsequent einen Passwort-Manager nutzen und
- 2FA aktivieren,
sind Sie dem Großteil der Angreifer schon einen großen Schritt voraus.
Sei der Erste, der das kommentiert
Kommentare sind geschlossen, allerdings sind Trackbacks und Pingbacks möglich.