Erneute Credential-Stuffing-Welle: alte Passwörter im Umlauf

Immer wieder tauchen große Sammlungen alter Zugangsdaten aus früheren Datenlecks neu auf und werden automatisiert gegen zahlreiche Dienste durchprobiert. Diese Masche heißt Credential Stuffing, und sie funktioniert aus einem einzigen Grund so gut: Viele Menschen nutzen dasselbe Passwort bei mehreren Konten.

Was dahintersteckt

Angreifer besitzen lange Listen aus Kombinationen von E-Mail-Adresse und Passwort, die über die Jahre aus verschiedenen Lecks zusammengekommen sind. Statt ein einzelnes Konto gezielt anzugreifen, lassen sie Programme laufen, die diese Kombinationen bei hunderten Diensten der Reihe nach ausprobieren. Überall dort, wo du ein Passwort wiederverwendet hast, kann ein alter Leck-Datensatz plötzlich ein aktuelles Konto öffnen.

Typischerweise nehmen solche Wellen zu, nachdem größere Datensammlungen neu in Umlauf geraten. Die verwendeten Passwörter sind oft Jahre alt, aber genau deshalb gefährlich: Wer sein Passwort seit einem alten Leck nicht geändert hat, ist weiter angreifbar.

Woran du einen Versuch erkennst

• Benachrichtigungen über Anmeldungen oder Anmeldeversuche, die du nicht warst.
• E-Mails über Passwort-Rücksetzungen, die du nicht angefordert hast.
• Konten, die dich plötzlich zur erneuten Anmeldung auffordern.

Was du jetzt tun solltest

1. Vergib für jedes Konto ein eigenes Passwort. Das ist der wirksamste Schutz, denn er begrenzt jedes Leck auf genau einen Dienst. Wie der Umstieg gelingt, steht in Passwort-Manager einrichten.
2. Aktiviere einen zweiten Faktor. Dann reicht ein gestohlenes Passwort allein nicht mehr aus. Anleitung: Zwei-Faktor-Authentifizierung.
3. Erneuere zuerst die wichtigen Konten, allen voran E-Mail und Bezahldienste.

Falls du den Verdacht hast, bereits betroffen zu sein, hilft die Schritt-für-Schritt-Anleitung Dein Konto in einem Datenleck? dabei, schnell und in der richtigen Reihenfolge zu reagieren.