Eine frei zugängliche Datenbank mit knapp 150 Millionen Zugangsdaten zeigt erneut, wie groß das Risiko durch Schadsoftware auf privaten Rechnern ist. Betroffen sind Konten zahlreicher bekannter Online-Dienste, darunter E-Mail-Anbieter, soziale Netzwerke und sogar Finanzplattformen.
Darum geht es
- Eine ungeschützte Datenbank mit rund 149 Millionen Login-Daten war zeitweise frei im Internet erreichbar.
- Die Zugangsdaten stammen vermutlich von Infostealer-Malware auf den Geräten der Nutzer.
- Betroffen sind unter anderem Gmail, Outlook, iCloud, Facebook sowie Finanz- und Krypto-Dienste.
- Sicherheitsforscher warnen vor konkreten Risiken für Privatpersonen und Unternehmen.
Eine Datenbank, die jeder einsehen konnte
Immer wieder tauchen im Netz offen zugängliche Server auf, die sensible Nutzerdaten enthalten. Im aktuellen Fall ging es um eine besonders große Sammlung: Rund 96 Gigabyte an Rohdaten, darunter E-Mail-Adressen, Benutzernamen und Klartext-Passwörter, lagen offenbar über längere Zeit ohne Schutz im Internet.
Die Datensätze verteilen sich auf nahezu alle großen Online-Dienste. Allein auf Google-Konten entfallen rund 48 Millionen Einträge. Facebook folgt mit etwa 17 Millionen betroffenen Accounts, Instagram mit rund 6,5 Millionen und Yahoo mit etwa vier Millionen. Auch Zugänge zu Cloud-Diensten wie iCloud sowie zu Outlook-Konten sind Teil der Sammlung.
Besonders brisant ist, dass sich darunter auch Login-Daten aus sensiblen Bereichen befinden. Dazu zählen Konten mit .gov-Domains, also Zugänge zu Regierungsnetzwerken, ebenso wie Daten von Finanzdienstleistern und Krypto-Plattformen wie Binance.
Keine Server-Hacks, sondern Infostealer auf Nutzergeräten
Wichtig ist die Einordnung: Es handelt sich nicht um einen Einbruch bei den Anbietern selbst. Weder Google noch Meta oder Apple wurden direkt kompromittiert. Stattdessen stammen die Daten offenbar aus sogenannten Infostealern. Das sind Schadprogramme, die unbemerkt auf dem Rechner oder Smartphone der Nutzer landen und dort gespeicherte Zugangsdaten abgreifen.
Typische Infostealer-Familien wie RedLine oder Vidar gelangen häufig über Phishing-Mails, manipulierte Anhänge oder gefälschte Software-Downloads auf die Geräte. Einmal aktiv, durchsuchen sie Browser nach gespeicherten Passwörtern, Cookies und Formularinhalten. Gerade weil viele Menschen ihre Logins bequem im Browser speichern, ist die Erfolgsquote hoch.
Die gestohlenen Informationen werden anschließend in Log-Dateien gebündelt und an zentrale Server übertragen. Die nun entdeckte Datenbank war offenbar ein solcher Sammelpunkt und laut Analyse wuchs der Datenbestand sogar noch weiter an, während sie bereits öffentlich erreichbar war.
Entdeckt von einem Sicherheitsforscher
Aufgespürt wurde die Sammlung von dem Sicherheitsforscher Jeremiah Fowler. Er stieß im Rahmen seiner Arbeit für ExpressVPN auf das offene Repository. Laut Fowler war die Datenbank weder verschlüsselt noch durch ein Passwort geschützt. Jeder, der die IP-Adresse kannte, konnte die sensiblen Informationen einsehen und herunterladen.
Ein besonders beunruhigender Aspekt seiner Beobachtungen ist die Dynamik der Datenbank. Während der Analyse kamen fortlaufend neue Datensätze hinzu. Das spricht dafür, dass die Infrastruktur aktiv genutzt wurde, um frisch abgegriffene Zugangsdaten nahezu in Echtzeit zu speichern.
Mittlerweile wurde der Server zwar vom Netz genommen, doch das eigentliche Problem bleibt bestehen. Einmal gestohlene Zugangsdaten verschwinden nicht einfach. Sie werden kopiert, weiterverkauft und in anderen Sammlungen erneut verwendet.
Warum das auch für Unternehmen gefährlich ist
Der Fund betrifft nicht nur private Nutzer. Für Unternehmen ergibt sich daraus ein erhebliches Risiko. Viele Angestellte nutzen private Geräte auch für berufliche Zwecke oder verwenden identische Passwörter für mehrere Dienste. Genau hier setzen Angreifer an.
Beim sogenannten Credential Stuffing werden bekannte Kombinationen aus E-Mail-Adresse und Passwort automatisiert bei zahlreichen Plattformen ausprobiert. Gelingt der Login, haben Kriminelle unter Umständen direkten Zugriff auf Firmenkonten, interne Tools oder Cloud-Dienste.
Besonders kritisch wird es, wenn zusätzlich Session-Cookies abgegriffen wurden. In solchen Fällen können Angreifer aktive Sitzungen übernehmen und unter Umständen sogar die Zwei-Faktor-Authentifizierung umgehen, ohne ein weiteres Passwort eingeben zu müssen.
Was Nutzer jetzt konkret tun sollten
Auch wenn viele der Datensätze bereits in früheren Leaks aufgetaucht sind, ist der Vorfall ein deutlicher Warnhinweis. Sicherheit im Netz beginnt auf dem eigenen Gerät.
Die wichtigste Maßnahme ist die konsequente Nutzung von Zwei-Faktor-Authentifizierung bei allen Diensten, die diese Option anbieten. Selbst wenn ein Passwort kompromittiert wird, verhindert ein zusätzlicher Faktor oft den direkten Zugriff.
Ebenso wichtig ist der Umgang mit Passwörtern selbst. Das Speichern sensibler Zugangsdaten direkt im Browser ist bequem, aber riskant. Dedizierte Passwort-Manager bieten hier deutlich bessere Schutzmechanismen und erleichtern gleichzeitig die Nutzung einzigartiger, starker Passwörter.
Regelmäßige System- und Virenscans sollten ebenfalls selbstverständlich sein. Dazu kommt eine gesunde Skepsis gegenüber unbekannten E-Mail-Anhängen, Downloads aus inoffiziellen Quellen und vermeintlich kostenlosen Tools.
Hinweis: Wer den Verdacht hat, betroffen zu sein, sollte Passwörter umgehend ändern und prüfen, ob ungewöhnliche Login-Aktivitäten im Konto protokolliert wurden.
Ein bekanntes Problem, das nicht kleiner wird
Hand aufs Herz: Solche Meldungen wirken inzwischen fast routiniert. Und genau das ist das eigentliche Problem. Infostealer sind kein Randphänomen mehr, sondern ein fester Bestandteil der digitalen Bedrohungslage. Solange Passwörter mehrfach genutzt und Geräte unzureichend geschützt werden, bleiben solche Datenbanken attraktiv für Kriminelle.
Der aktuelle Fund zeigt vor allem eines: Die größte Schwachstelle sitzt meist nicht in den Rechenzentren großer Konzerne, sondern direkt vor dem Bildschirm.
Häufige Fragen und Antworten (FAQ)
Wurden Gmail oder iCloud direkt gehackt?
Nein. Die Zugangsdaten stammen laut Analyse von Schadsoftware auf Nutzergeräten, nicht aus Server-Einbrüchen bei den Anbietern.
Sind alle betroffenen Passwörter aktuell gültig?
Nicht zwingend. Viele Datensätze sind älter, können aber weiterhin funktionieren, wenn Passwörter nie geändert wurden.
Reicht ein Passwort-Manager als Schutz aus?
Er ist ein wichtiger Baustein, ersetzt aber nicht zusätzliche Maßnahmen wie Zwei-Faktor-Authentifizierung und Virenschutz.
Wie erkenne ich Infostealer auf meinem Rechner?
Oft gar nicht sofort. Regelmäßige Scans, aktuelle Software und Vorsicht bei Downloads reduzieren das Risiko deutlich.
