Darum gehts
- 124 Millionen Passwörter neu in der Datenbank von Haveibeenpwned
- Daten stammen von infizierten Computern, nicht aus Firmenhacks
- Infostealer-Malware liest oft monatelang unbemerkt mit
Kein Firmen-Hack, kein Leck bei einem Onlinedienst: Dieses Mal lieferte gleich der eigene Computer die Daten direkt an die Cyberkriminellen, Passwort inklusive. Der Onlineprüfdienst Haveibeenpwned hat am 15. Juni seine Datenbank erweitert. Neu hinzugekommen sind 56 Millionen E-Mail-Adressen und 124 Millionen Passwörter.
Diese Daten stammen aus sogenannten Stealer-Logs: Die Zugangsdaten wurden von einer Schadsoftware direkt auf infizierten Geräten abgegriffen. Aus Hunderten Millionen solcher Datensätze filterte der Dienst die neuen Einträge heraus. Welche Malware genau hinter dem Datenabfluss steckt, erklären die Plattformbetreiber nicht. Woher die Daten genau kommen, bleibt also offen.
17 Milliarden Datensätze
Sogenannte Infostealer gehören zu den beliebtesten Werkzeugen der Cyberkriminellen. Die Programme durchsuchen Computer nach gespeicherten Passwörtern, Cookies und Browserdaten. Das Tückische: Viele Opfer merken davon meist nichts. Die Schadsoftware liest manchmal monatelang unbemerkt mit.
Der Dienst Haveibeenpwned wird seit zwölf Jahren vom Australier Troy Hunt betrieben. Wer seine E-Mail-Adresse eingibt, sieht sofort, ob sie in einem Leck auftaucht. In der Datenbank stecken Daten aus bekannten Hacks: etwa von Linkedin, wo 2012 die Zugangsdaten von 164 Millionen Nutzern abflossen und erst Jahre später im Darknet auftauchten. Oder vom Adobe-Hack aus dem Jahr 2013. Insgesamt sind es rund 17 Milliarden Datensätze.
Generell gilt: Ein Passwort sollte mindestens zwölf Zeichen lang sein und Gross- und Kleinbuchstaben, Zahlen und Sonderzeichen enthalten. Wichtiger noch: für jeden Dienst ein eigenes Passwort wählen und wo möglich die Zwei-Faktor-Authentisierung einschalten. Wer sich die vielen Kombinationen nicht merken mag, nutzt einen Passwortmanager. Am heikelsten ist das E-Mail-Konto. Wer dort reinkommt, setzt über die «Passwort vergessen»-Funktion gleich die Zugänge zu allen anderen Diensten zurück.