24 Milliarden Zugangsdaten offen im Netz: Was Admins jetzt prüfen sollten
Eine riesige Sammlung aus Infostealer-Logs macht klar: Passwortwechsel allein reicht nicht. Admins sollten MFA, Sessions, Tokens und Anmeldeprotokolle prüfen.
Eine zeitweise offen erreichbare Datenbank mit rund 24 Milliarden Datensätzen zeigt erneut, warum Passwort-Wiederverwendung, fehlende Mehrfaktor-Authentifizierung und unkontrollierte Browser-Speicherung im Unternehmensalltag ein reales Risiko bleiben. Nach Berichten von WinFuture auf Basis von Cybernews bestand die Sammlung überwiegend aus Infostealer-Protokollen. Solche Protokolle entstehen, wenn Schadsoftware auf Endgeräten Browser, Passwortspeicher, Cookies, Tokens und gespeicherte Zugangsdaten ausliest.
Was bekannt ist
Laut Bericht war eine Datenbank mit mehr als 8,3 Terabyte Umfang zeitweise öffentlich erreichbar. Enthalten waren demnach rund 24 Milliarden Datensätze. Die Datenbank ist inzwischen nicht mehr erreichbar, doch der Zwischenfall bleibt relevant: Wenn Zugangsdaten einmal in solchen Sammlungen landen, verschwinden sie nicht zuverlässig. Kopien können in privaten Archiven, Telegram-Kanälen, Malware-Foren oder Credential-Stuffing-Werkzeugen weiterleben.
Die Forscher ordnen den größten Teil der Informationen sogenannten Infostealer-Logs zu. Diese unterscheiden sich von klassischen Einzellecks. Während ein normaler Plattform-Datenabfluss oft nur einen Dienst betrifft, enthalten Infostealer-Protokolle häufig Zugangsdaten zu vielen Diensten derselben Person oder desselben Geräts: E-Mail, Cloudspeicher, Onlineshops, Social Media, Admin-Portale, Git-Repositories, VPN-Zugänge oder interne Webdienste.
Warum Infostealer-Logs so gefährlich sind
Infostealer sammeln nicht nur Benutzername und Passwort. Je nach Schadsoftware können auch Browser-Cookies, Autofill-Daten, Session-Tokens, Wallet-Daten, Geräteinformationen und besuchte Domains ausgelesen werden. Damit entsteht für Angreifer ein deutlich besseres Lagebild als bei einem isolierten Passwort-Leak.
| Risiko | Warum es kritisch ist | Admin-Maßnahme |
|---|---|---|
| Wiederverwendete Passwörter | Ein gestohlenes Passwort funktioniert oft bei mehreren Diensten. | Passwortwechsel erzwingen und Passwortmanager einführen. |
| Gestohlene Sessions | Cookies oder Tokens können MFA teilweise umgehen, wenn sie noch gültig sind. | Sitzungen invalidieren und Conditional Access prüfen. |
| Private Geräte | Infektionen entstehen häufig außerhalb kontrollierter Unternehmensgeräte. | BYOD-Regeln, Gerätezustand und Zugriffskonzepte prüfen. |
| Admin-Zugänge | Ein einziges kompromittiertes Admin-Konto kann Folgeangriffe ermöglichen. | MFA, Rollenmodell, Break-Glass-Konten und Login-Alerts prüfen. |
Was in der Sammlung stecken soll
Nach Angaben im Bericht enthielt die Datenbank unter anderem E-Mail-Adressen, Benutzernamen, Klartext-Passwörter und die zugehörigen Dienste oder Domains. Die Informationen sollen aus 36 verschiedenen Quellen stammen. Dazu zählen ältere Leaks, Telegram-Kanäle mit Bezug zu Cyberkriminalität und direkt exportierte Datenbestände. Allein mehr als 1,7 Milliarden Einträge sollen aus Telegram-Kanälen stammen. Rund 22,6 Milliarden Datensätze wurden offenbar in größeren Collections zusammengeführt, deren genaü Herkunft nicht vollständig geklärt ist.
Wichtig ist die Einordnung: 24 Milliarden Datensätze bedeuten nicht automatisch 24 Milliarden betroffene Personen. In solchen Sammlungen sind Dubletten, alte Einträge, gleiche Zugangsdaten in mehreren Quellen und maschinell zusammengeführte Datensätze üblich. Für die Praxis ändert das wenig. Wenn reale Zugangsdaten enthalten sind, können sie für Credential Stuffing, Phishing, Erpressung, Identitätsdiebstahl oder gezielte Unternehmensangriffe genutzt werden.
Warum KMU das nicht ignorieren sollten
Für kleine und mittlere Unternehmen ist nicht die absolute Größe der Sammlung entscheidend. Entscheidend ist, ob Mitarbeiter, Administratoren, Dienstleister oder Funktionspostfächer betroffen sind. Ein einziger wiederverwendeter Login kann reichen, um Zugriff auf Microsoft 365, Webhosting, Kundenportale, Buchhaltung, VPN, Passwortmanager oder Remote-Management-Werkzeuge zu erhalten.
Besonders kritisch sind Konten mit administrativen Rechten. Dazu gehören globale Administratoren in Microsoft 365, Hosting-Zugänge, Domain-Registrare, Passwortmanager-Administratoren, Cloud-Konsolen und Konten mit Zugriff auf Kundensysteme. Hier darf ein Passwortwechsel allein nicht als Abschluss gelten. Es müssen Sitzungen beendet, MFA-Methoden geprüft und auffällige Anmeldungen ausgewertet werden.
So sollten Admins jetzt vorgehen
- Passwort-Wiederverwendung aktiv suchen, vor allem bei Admin-Konten, E-Mail-Konten und externen Portalen.
- MFA für alle wichtigen Konten erzwingen, nicht nur empfehlen.
- Bestehende Sessions und Refresh-Tokens für Risikokonten zurücksetzen.
- Anmeldeprotokolle auf ungewöhnliche Länder, IP-Adressen, User-Agents und Uhrzeiten prüfen.
- Browser-Passwortspeicherung auf Firmenendgeräten kritisch prüfen und nach Möglichkeit durch einen verwalteten Passwortmanager ersetzen.
- Endgeräte auf Infostealer-Spuren untersuchen, wenn Konten ohne klare Erklärung betroffen sind.
- Phishing-Schulungen und Meldewege auffrischen, weil solche Sammlungen oft für Folgeangriffe genutzt werden.
MFA ist Pflicht, aber kein Allheilmittel
Mehrfaktor-Authentifizierung reduziert das Risiko massiv, schützt aber nicht gegen jedes Szenario. Wenn Angreifer gültige Session-Cookies oder Tokens stehlen, kann MFA je nach Dienst und Lebensdaür der Sitzung bereits passiert sein. Deshalb sind kurze Sitzungslebensdaürn, risikobasierte Anmelderegeln, Gerätebindung und regelmäßige Überprüfung aktiver Sessions wichtig.
In Microsoft-365-Umgebungen sollten Administratoren insbesondere Legacy-Authentifizierung, anonyme Weiterleitungen, ungewöhnliche OAuth-App-Freigaben und neue Posteingangsregeln prüfen. Bei Hosting- und Serverzugängen gehören SSH-Schlüssel, API-Tokens, Deploy-Keys und externe Dienstleisterkonten ebenfalls in die Kontrolle.
Passende Anleitungen auf S-EDV
- Zwei-Faktor-Authentifizierung richtig einführen – Grundlage, um kompromittierte Passwörter deutlich weniger gefährlich zu machen.
- Microsoft 365 MFA und Conditional Access einrichten – sinnvoll für Unternehmen, die Login-Risiken zentral steuern möchten.
- Phishing erkennen und melden – hilfreich, weil geleakte Zugangsdaten oft für gezielte Folgeangriffe genutzt werden.
Einordnung
Die offene Datenbank ist kein klassischer Einzelfall, bei dem ein Anbieter ein bestimmtes System patchen muss. Sie ist ein Symptom des Infostealer-Ökosystems. Solche Sammlungen entstehen, weil Zugangsdaten auf Endgeräten gespeichert, mehrfach verwendet und später automatisiert zusammengeführt werden. Für Administratoren bedeutet das: Passwortsicherheit ist kein reines Benutzerproblem. Sie braucht technische Leitplanken, zentrale Richtlinien, Protokollauswertung und klare Reaktionsprozesse.
Wer nur einzelne Passwörter ändert, schließt die sichtbare Lücke. Wer MFA, Passwortmanager, Session-Management, Endgeräteschutz und Awareness kombiniert, reduziert das Folgeangriffsrisiko deutlich nachhaltiger.
