183 Millionen gehackte Zugangsdaten im Darkweb entdeckt

Ein massives Daten-Leck mit 183 Millionen gestohlenen E-Mail- und Passwort-Kombinationen wurde diese Woche in kriminellen Untergrund-Kanälen entdeckt. Das 3,5 Terabyte große Datenpaket markiert einen der größten Credential-Diebstähle des Jahres 2025 und verschärft die Bedrohungslage für Unternehmen und Privatnutzer erheblich.

Die alarmierenden Zahlen stammen aus der Analyse der Cybersicherheitsfirma Synthient und des Breach-Dienstes Have I Been Pwned. Besonders brisant: Die Daten wurden nicht durch den Hack eines einzelnen Unternehmens wie Google erbeutet, sondern über Monate hinweg von individuellen Computern abgesaugt – mittels sogenannter Infostealer-Malware.

Neue Hacker-Strategie: Der große Raubzug bei Privatnutzern

Die Entdeckung beleuchtet einen gefährlichen Strategiewandel bei Cyberkriminellen. Statt aufwendiger Angriffe auf Unternehmensserver setzen sie verstärkt auf die stille Kompromittierung privater Geräte. Diese Schadsoftware läuft unbemerkt im Hintergrund und sammelt systematisch alle gespeicherten Login-Daten, Browser-Cookies und Authentifizierungs-Token.
Anzeige: Übrigens: Wer sich vor Infostealern und massenhaftem Credential Stuffing schützen möchte – besonders auf dem Smartphone –, sollte jetzt die wichtigsten Basics prüfen. Ein kostenloses Sicherheitspaket zeigt die 5 entscheidenden Schutzmaßnahmen für Android – ohne teure Zusatz-Apps, mit klaren Schritt-für-Schritt-Anleitungen für WhatsApp, Online‑Shopping, PayPal und Online‑Banking. Praktisch: Tipp 3 schließt eine oft unterschätzte Lücke, die Infostealer ausnutzen. Jetzt kostenloses Android-Sicherheitspaket sichern

Troy Hunt, Gründer von Have I Been Pwned, bestätigte die Echtheit des Datensatzes und integrierte ihn am 21. Oktober 2025 in seinen Benachrichtigungsdienst. Die Analyse offenbarte: Obwohl 91 Prozent der Zugangsdaten bereits aus früheren Datenlecks bekannt waren, enthielt das Paket 16,4 Millionen völlig neue E-Mail-Adressen.

Google stellte umgehend klar, dass es sich nicht um einen direkten Angriff auf die eigenen Systeme handelte. „Berichte über eine Gmail-Sicherheitslücke sind falsch”, erklärte das Unternehmen. Die Daten stammten von infizierten Nutzergeräten, nicht von Google-Servern.

Das Geschäft mit gestohlenen Identitäten boomt

Das erbeutete Material wird bereits aktiv in der Cyberkriminal-Szene gehandelt. Die Hauptgefahr liegt im sogenannten Credential Stuffing – automatisierte Angriffe, bei denen die gestohlenen Login-Kombinationen massenhaft bei anderen Diensten getestet werden. Da viele Nutzer identische Passwörter für mehrere Accounts verwenden, wird aus einem kompromittierten Zugang schnell der Generalschlüssel für Banking, Shopping und Arbeitskonten.

Für Unternehmen ist die Lage besonders prekär: Ein gehacktes Mitarbeiter-Passwort kann Angreifern Zugang zu sensiblen Firmennetzwerken, Cloud-Diensten und internen Anwendungen verschaffen. Diese Erstinfektion dient dann als Sprungbrett für Ransomware-Attacken, Datendiebstahl oder Industriespionage.

Millionenfacher Identitätsklau als Dauerzustand

Der aktuelle Vorfall verdeutlicht das Ausmaß der globalen Passwort-Krise. Milliarden gestohlener Zugangsdaten zirkulieren bereits in kriminellen Netzwerken – ein sich selbst verstärkender Kreislauf aus alten und neuen Datenlecks, der immer raffiniertere automatisierte Angriffe befeuert.

Besonders perfide: Selbst starke, einzigartige Passwörter bieten keinen Schutz, wenn das Gerät mit Infostealer-Malware infiziert ist. Diese Programme gelangen meist durch Phishing-E-Mails, manipulierte Downloads oder ungepatchte Software-Schwachstellen auf die Rechner.

Sofortmaßnahmen und Zukunftstechnologien

Sicherheitsexperten raten zu schnellem Handeln. Erste Anlaufstelle: Der kostenlose Check bei Have I Been Pwned, um herauszufinden, ob die eigene E-Mail-Adresse betroffen ist. Bei einem Treffer sollten umgehend alle Passwörter geändert werden – beginnend mit den kritischsten Konten für E-Mail, Banking und Gesundheitsdienste.

Der wirksamste Langzeitschutz liegt jedoch jenseits herkömmlicher Passwörter. Multi-Faktor-Authentifizierung (MFA) sollte überall aktiviert werden, wo verfügbar. Noch sicherer sind Passkeys, die statt Passwörtern auf kryptografische Verifikation vom Smartphone oder Computer setzen.

Unternehmen müssen ihre Endpoint-Überwachung verstärken, MFA flächendeckend einführen und Mitarbeiter intensiver für Phishing-Angriffe sensibilisieren. Denn eines ist sicher: Der Strom gestohlener Zugangsdateströmt ungebremst weiter.