Irgendwann bekommt fast jeder eine Nachricht mit dem eigenen alten Passwort im Betreff. Das ist kein Hinweis auf einen gehackten Rechner, sondern fast immer die Spätfolge eines Datenlecks bei einem Anbieter, bei dem man einmal registriert war.
Die Wege nach draußen
- Einbruch beim Anbieter. Der klassische Fall: Eine Datenbank wird kopiert. Betroffen sind alle registrierten Nutzer, unabhängig davon, wie gut ihr eigenes Passwort war.
- Ungeschützte Datenbank. Kein Einbruch nötig – ein Speicher steht offen im Netz und wird von automatischen Scannern gefunden.
- Dienstleister in der Kette. Nicht der Shop selbst, sondern sein Newsletter-Anbieter, sein Versanddienstleister oder ein Auswertungsdienst.
- Schadsoftware auf einem Gerät. Programme, die gespeicherte Zugangsdaten aus dem Browser auslesen.
- Scraping. Adressen, die öffentlich auf Websites, in Foren oder Impressen standen, werden automatisiert eingesammelt.
- Legaler Adresshandel. Eine Zustimmung zur „Weitergabe an ausgewählte Partner" im Kleingedruckten reicht.
Was danach passiert
Die Daten werden zusammengeführt. Aus fünf verschiedenen Lecks entsteht ein Profil: Adresse, Name, Telefonnummer, Wohnort, alte Passwörter, Interessen. Diese kombinierten Sammlungen sind wertvoller als jedes einzelne Leck.
Verwendet werden sie für:
- Credential Stuffing. Bekannte Kombinationen aus Adresse und Passwort werden automatisch bei hunderten anderen Diensten durchprobiert. Wer Passwörter mehrfach nutzt, verliert dabei Konten, die nie selbst betroffen waren.
- Gezieltes Phishing. Eine Nachricht, die deinen Namen, deinen Wohnort und deine letzte Bestellung kennt, wirkt völlig anders als Massenspam.
- Erpressungsversuche. Das alte Passwort im Betreff soll Glaubwürdigkeit erzeugen. Dahinter steckt in aller Regel nichts.
- Schlichten Spam, oft Jahre später. Unsere eigene Auswertung zeigt genau das: Die Adressliste, die uns getroffen hat, war über zehn Jahre alt.
Prüfen, ob du betroffen bist
Es gibt seriöse Dienste, bei denen man eine Adresse gegen bekannte Lecks abgleichen kann; bekannt ist vor allem Have I Been Pwned. Achte darauf, dort niemals ein Passwort einzugeben – nur die Adresse. Und nutze keine Seiten, die dir gegen Bezahlung eine „Entfernung" aus Lecks versprechen. Einmal abgeflossene Daten lassen sich nicht zurückholen.
Was zu tun ist
- Passwort des betroffenen Dienstes ändern – und überall dort, wo du dasselbe verwendet hast. Der zweite Teil ist der wichtigere.
- Für jeden Dienst ein eigenes Passwort. Ohne Passwortverwaltung ist das nicht zu schaffen; mit einer ist es einfacher als vorher.
- Zwei-Faktor-Anmeldung einschalten, mindestens bei Postfach, Bank und den wichtigsten Konten. Ein geleaktes Passwort allein reicht dann nicht mehr.
- Nicht auf Erpressungsmails reagieren. Weder zahlen noch antworten.
- Für Neuanmeldungen künftig eine eigene Adresse je Anbieter. Beim nächsten Leck weißt du sofort, wer es war, und schaltest genau diesen Kanal ab.
Das Postfach zuerst
Ein Punkt wird oft übersehen: Deine E-Mail-Adresse ist der Wiederherstellungsweg für fast alle anderen Konten. Wer Zugriff auf dein Postfach hat, kann sich überall sonst neue Passwörter schicken lassen. Das Postfach ist deshalb das Konto, das die stärkste Absicherung verdient – ein einzigartiges Passwort und ein zweiter Faktor, der nicht wiederum per E-Mail läuft.