Milliarden kompromittierte Zugangsdaten kursieren im Internet. Sie stammen aus Datenlecks, Phishing-Angriffen, Infostealer-Malware und anderen Angriffen und werden teilweise zu riesigen Datensammlungen zusammengeführt.
Besonders viel Aufmerksamkeit erhielt 2025 eine Sammlung von rund 16 Milliarden Login-Datensätzen. Dabei handelte es sich allerdings nicht um einen einzigen neuen Angriff und auch nicht um 16 Milliarden unterschiedliche betroffene Personen. Die Daten stammten aus verschiedenen Quellen und enthielten auch Duplikate.
Für Nutzer und Unternehmen ist die genaue Zahl ohnehin zweitrangig. Entscheidend ist: Gestohlene Zugangsdaten können weiterhin für Angriffe verwendet werden – insbesondere dann, wenn Passwörter mehrfach verwendet werden.
Woher stammen die kompromittierten Zugangsdaten?
Solche Passwort- und Credential-Sammlungen entstehen meist nicht durch einen einzelnen grossen Hackerangriff. Stattdessen werden Daten aus unterschiedlichen Quellen gesammelt und später zusammengeführt.
Typische Quellen sind:
- Datenlecks bei Online-Diensten und Unternehmen
- Phishing-Angriffe auf Nutzer
- Infostealer-Malware auf Computern und anderen Endgeräten
- gestohlene Browser- und Anmeldedaten
- ältere Passwortsammlungen und Datenbanken
Besonders problematisch sind sogenannte Infostealer. Diese Schadprogramme versuchen unter anderem, im Browser oder auf dem Gerät gespeicherte Zugangsdaten auszulesen und an Angreifer zu übertragen.
Warum wiederverwendete Passwörter so gefährlich sind
Ein gestohlenes Passwort muss nicht nur für den ursprünglich betroffenen Dienst gefährlich sein.
Wer dasselbe Passwort für mehrere Konten verwendet, macht aus einem einzigen Datenleck möglicherweise ein Problem für zahlreiche weitere Zugänge.
Angreifer können bekannte Kombinationen aus E-Mail-Adresse, Benutzername und Passwort automatisiert bei anderen Diensten ausprobieren. Diese Angriffsmethode wird als Credential Stuffing qualifié.
Funktioniert beispielsweise dasselbe Passwort beim Webshop, beim Cloud-Dienst und beim E-Mail-Konto, kann ein einzelner kompromittierter Zugang weitreichende Folgen haben.
Warum das E-Mail-Konto besonders geschützt werden sollte
Das E-Mail-Konto gehört zu den wichtigsten digitalen Zugängen überhaupt. Darüber werden Passwörter zurückgesetzt, Bestätigungen verschickt und geschäftliche sowie private Informationen ausgetauscht.
Ein kompromittiertes E-Mail-Konto kann unter anderem:
- den Zugriff auf weitere Benutzerkonten ermöglichen,
- vertrauliche Nachrichten und Dokumente offenlegen,
- für Phishing und Identitätsmissbrauch verwendet werden,
- gefälschte Nachrichten im Namen des Betroffenen versenden.
Gerade für Unternehmen kann daraus schnell ein erhebliches Sicherheitsproblem entstehen. Neben sicheren Zugangsdaten spielen deshalb auch Spam-, Phishing- und Malware-Schutz eine wichtige Rolle. Mehr dazu erfahren Sie bei unseren E-Mail-Sicherheitslösungen.
Was Sie jetzt konkret tun sollten
Sie müssen nicht auf die nächste Meldung über einen grossen Datenfund warten. Mit einigen grundlegenden Massnahmen lässt sich das Risiko kompromittierter Konten deutlich reduzieren.
1. Für jeden Dienst ein eigenes Passwort verwenden
Verwenden Sie niemals dasselbe Passwort für mehrere wichtige Konten. Besonders E-Mail, Hosting, Cloud-Dienste, Zahlungsanbieter und Administrationszugänge sollten jeweils ein eigenes starkes Passwort besitzen.
Ein starkes Passwort können Sie beispielsweise mit unserem kostenlosen Générateur de mots de passe créer.
2. Passwort-Manager verwenden
Ein Passwort-Manager kann lange und einzigartige Passwörter erzeugen und sicher verwalten. Dadurch müssen Sie sich nicht für jeden Dienst ein komplexes Passwort merken.
3. Zwei-Faktor-Authentifizierung aktivieren
Aktivieren Sie nach Möglichkeit die Zwei-Faktor- oder Mehrfaktor-Authentifizierung. Neben dem Passwort wird dann ein weiterer Faktor für die Anmeldung benötigt.
Ein gestohlenes Passwort allein reicht einem Angreifer dadurch in vielen Fällen nicht mehr für den Zugriff auf das Konto.
4. Prüfen, ob die eigene E-Mail-Adresse in einem Datenleck auftaucht
Der Dienst Have I Been Pwned ermöglicht die Überprüfung, ob eine E-Mail-Adresse in bekannten Datenlecks gefunden wurde.
Ein Treffer bedeutet nicht automatisch, dass ein aktuelles Passwort bekannt ist. Er ist aber ein deutlicher Anlass, die betroffenen Konten und Zugangsdaten zu überprüfen.
5. Passkeys nutzen, wenn sie angeboten werden
Immer mehr Dienste unterstützen sogenannte Passkeys. Dabei wird die klassische Anmeldung mit einem Passwort durch ein kryptografisches Anmeldeverfahren ersetzt.
Passkeys sind insbesondere gegen klassische Phishing-Angriffe deutlich robuster und vermeiden Probleme wie schwache oder mehrfach verwendete Passwörter.
Auch Hosting- und Administrationszugänge absichern
Für Unternehmen sind nicht nur persönliche Benutzerkonten relevant. Auch Zugänge zu WordPress, Hosting-Control-Panels, Domainverwaltung, FTP/SFTP und geschäftlichen E-Mail-Konten sollten besonders geschützt werden.
Administratorzugänge sollten nur Personen erhalten, die diese tatsächlich benötigen. Verwenden Sie individuelle Zugangsdaten, aktivieren Sie verfügbare Mehrfaktor-Authentifizierung und entfernen Sie nicht mehr benötigte Benutzerkonten.
Fazit: Ein Passwort allein reicht heute nicht mehr
Milliarden kompromittierte Zugangsdaten zeigen, wie wichtig ein durchdachtes Sicherheitskonzept geworden ist. Entscheidend ist dabei weniger die spektakuläre Zahl eines einzelnen Datenfundes als der richtige Umgang mit den eigenen Zugangsdaten.
Einzigartige Passwörter, ein Passwort-Manager, Mehrfaktor-Authentifizierung und moderne Verfahren wie Passkeys erschweren den Missbrauch gestohlener Zugangsdaten erheblich.
Für Unternehmen kommt eine weitere Ebene hinzu: Hosting, Websites und E-Mail-Systeme müssen ebenfalls sauber abgesichert und laufend gepflegt werden. Sicherheit ist deshalb keine einmalige Einstellung, sondern ein fortlaufender Prozess.
