24 Milliarden Datensätze geleakt: Was tun, wenn das eigene Passwort auch dabei ist?
Ein Fund von Sicherheitsforschern im Sommer 2026 sorgt weltweit für Unruhe. Auf einem offen zugänglichen Elasticsearch-Server, einem Speichersystem für große Datenmengen, lagen mehr als 24 Milliarden Datensätze mit Benutzernamen, E-Mail-Adressen und unverschlüsselten Passwörtern. Das Volumen der Sammlung lag bei über 8,3 Terabyte und damit weit über allem, was bisherige Leaks an Ausmaß erreicht hatten. Betroffen sind Zugänge zu Diensten wie Google, Apple und Facebook ebenso wie zu kleineren Plattformen und sogar Regierungsportalen.
Die Meldung trifft auf eine ohnehin angespannte Lage bei der digitalen Sicherheit vieler Privatpersonen und Unternehmen. Millionen Menschen nutzen dasselbe Passwort für mehrere Konten gleichzeitig. Dadurch ermöglicht ein einzelner Fund im schlimmsten Fall den Zugriff auf E-Mail-Postfach, Onlinebanking und soziale Netzwerke gleichzeitig. Genau diese Kombination aus Größe und Wiederverwendungsproblem macht den aktuellen Fall zu einem Thema, das jeden Internetnutzer betrifft und konkrete Schritte erfordert.
Das Ausmaß des aktuellen Datenlecks
Cybernews-Rechercheure stießen auf den ungesicherten Cluster und konnten die Daten stichprobenartig auswerten, bevor der Zugriff gesperrt wurde. Die Sammlung enthielt neben Zugangsdaten auch Login-URLs, über die sich einzelne Datensätze konkreten Diensten zuordnen ließen, was das Risiko für Betroffene zusätzlich erhöht. Ein im Datensatz gefundener Nachrichtenartikel aus dem Februar 2026 legt nahe, dass der oder die Betreiber den Cluster fortlaufend mit neuen Funden aktualisiert hatten. Das geschah, bevor die Entdeckung publik wurde.
Frühere Vorfälle wie das 16-Milliarden-Leak vom Januar desselben Jahres belegen, dass solche Sammlungen meist über Monate oder Jahre aus vielen einzelnen Quellen zusammengetragen werden. Bei der aktuellen Sammlung wurden allein über 1,7 Milliarden Einträge in einschlägigen Telegram-Kanälen entdeckt, in denen Kriminelle Zugangsdaten handeln und austauschen. Die schiere Menge macht eine gezielte Zuordnung zu einzelnen ursprünglichen Datenlecks kaum noch möglich. Für Betroffene bleibt damit meist unklar, welcher Dienst die eigenen Daten ursprünglich verloren hat. Sicherheitsforscher gehen davon aus, dass viele Einträge mehrfach in verschiedenen Paketen kursieren.
Woher die gestohlenen Zugangsdaten stammen
Ein Großteil der Datensätze geht nach Einschätzung der Analysten weniger auf einen klassischen Hackerangriff auf einen einzelnen Anbieter zurück als auf sogenannte Infostealer. Diese Schadprogramme nisten sich unbemerkt auf infizierten Geräten ein und greifen gespeicherte Passwörter, Browser-Cookies sowie Autofill-Daten direkt vom Rechner oder Smartphone ab. Solche Programme verbreiten sich häufig über manipulierte Software-Downloads, gefälschte Updates oder Anhänge in Phishing-Mails, die auf den ersten Blick seriös wirken.
Ergänzt wird die Sammlung durch klassische Breach-Compilations, also Zusammenschnitte aus zahlreichen älteren, teils Jahre zurückliegenden Datenlecks unterschiedlicher Dienste. Kriminelle Marktplätze und Foren fügen solche Fragmente laufend zu größeren Paketen zusammen und verkaufen oder veröffentlichen sie anschließend erneut. Für Betroffene bedeutet das, dass auch ein längst geändertes Passwort in einer neuen Sammlung wieder auftauchen kann. Das gilt, wenn es zum Zeitpunkt des ursprünglichen Diebstahls noch aktiv war.
Das eigene Passwort gezielt überprüfen
Der Dienst Have I Been Pwned gilt seit Jahren als zuverlässige erste Anlaufstelle, um die eigene Betroffenheit einzuschätzen. Über die Eingabe der eigenen E-Mail-Adresse gleicht die Plattform den Account mit bekannten Leak-Datenbanken ab. Sie zeigt an, in welchen Vorfällen die Adresse aufgetaucht ist. Eine aktivierte Benachrichtigungsfunktion informiert automatisch, sobald künftige Datensätze die eigene Adresse enthalten, ohne dass die Seite dafür manuell erneut aufgesucht werden muss.
Neben Have I Been Pwned bieten auch andere Institutionen wie der Leak-Checker der Universität Bonn eine vergleichbare Prüfung an. Teils liegt dabei ein zusätzlicher Fokus auf deutschen Adressen und Diensten. Wichtig ist dabei, ausschließlich offizielle und bekannte Anbieter zu nutzen. Gerade rund um große Leak-Meldungen tauchen regelmäßig gefälschte Prüfseiten auf, die selbst Zugangsdaten abgreifen wollen. Eine kurze Recherche zum Anbieter vor der Eingabe der eigenen Adresse schützt vor diesem zusätzlichen Risiko.
Sofortmaßnahmen nach einem positiven Treffer
Taucht die eigene Adresse in der Trefferliste auf, sollte das betroffene Passwort umgehend geändert werden. Das gilt bei allen Diensten, bei denen dasselbe oder ein sehr ähnliches Passwort im Einsatz war. Viele Nutzer unterschätzen, wie oft ein einzelnes Passwort über Jahre hinweg für mehrere Konten parallel verwendet wurde. Sie beschränken die Änderung fälschlicherweise auf den vermeintlichen Ursprungsdienst. Genau diese Wiederverwendung macht aus einem einzelnen Leak ein Kettenrisiko für das gesamte digitale Leben.
Bei E-Mail-Konten empfiehlt sich zusätzlich ein Blick in die Kontoeinstellungen. Angreifer richten nach einem erfolgreichen Zugriff gelegentlich unbemerkte Weiterleitungsregeln ein, um künftige Nachrichten mitzulesen. Auch ein Check der zuletzt angemeldeten Geräte und Standorte gehört in diesem Moment zur Routine. Darüber lassen sich unbekannte Sitzungen aufspüren und sofort beenden. Ein übersprungener Kontrollschritt an dieser Stelle birgt das Risiko, dass ein Angreifer trotz neuem Passwort weiter Zugriff behält.
Zwei-Faktor-Authentifizierung als zusätzliche Absicherung
Ein starkes, individuelles Passwort schützt zuverlässig, solange es nicht in falsche Hände gerät. Die Zwei-Faktor-Authentifizierung fängt genau diesen Fall zusätzlich ab. Bei aktivierter Funktion reicht ein gestohlenes Passwort allein nicht mehr aus. Zusätzlich wird ein Code aus einer App, eine SMS oder ein physischer Sicherheitsschlüssel benötigt. Die meisten großen Anbieter wie Google, Microsoft oder Apple bieten diese Absicherung inzwischen kostenlos und mit wenigen Klicks in den Kontoeinstellungen an.
Besonders wichtig ist die Aktivierung bei zentralen Konten wie dem E-Mail-Postfach, weil sich darüber im Zweifel auch andere Dienste per Passwort-Reset übernehmen lassen. App-basierte Authentifizierung gilt dabei als sicherer als der Versand per SMS. SIM-Karten können unter bestimmten Umständen durch sogenanntes SIM-Swapping auf ein fremdes Gerät umgeleitet werden. Eine einmalig eingerichtete Zwei-Faktor-Absicherung sorgt danach dauerhaft für ein deutlich höheres Schutzniveau bei überschaubarem Mehraufwand.
Passwort-Manager für den langfristigen Schutz
Damit sich das Problem der Wiederverwendung erst gar nicht wiederholt, lohnt sich der Umstieg auf einen Passwort-Manager. Er erstellt für jeden Dienst ein eigenes, zufällig generiertes Passwort und speichert es sicher verschlüsselt. Nutzer müssen sich dabei nur noch ein einziges, dafür besonders starkes Master-Passwort merken, während die eigentlichen Zugangsdaten im Hintergrund automatisch eingesetzt werden. Viele dieser Programme warnen zudem aktiv, sobald ein gespeichertes Passwort in einem neuen Leak auftaucht. Sie erleichtern den Austausch des betroffenen Eintrags mit wenigen Klicks.
Bei der Auswahl eines Anbieters spielt die Verschlüsselungsarchitektur eine wichtige Rolle. Seriöse Programme verschlüsseln Daten bereits auf dem eigenen Gerät, bevor sie in die Cloud gelangen. Kostenlose und kostenpflichtige Varianten unterscheiden sich vor allem im Funktionsumfang, etwa bei der Synchronisation über mehrere Geräte hinweg oder bei integrierten Sicherheitsberichten. Für den Einstieg reicht meist bereits eine kostenlose Version völlig aus, um spürbar sicherer zu werden.
Fazit zum Datenleak
