Datenlecks: Was mit Ihren Passwörtern passiert, wenn ein Dienst gehackt wird

Leck, Scraping oder Credential Stuffing?

Bei einem Datenleck werden die Systeme des Dienstes selbst kompromittiert und gespeicherte Daten — manchmal Passwort-Hashes — gestohlen. Beim Scraping werden öffentliche oder halböffentliche Daten über eine offengelegte Schnittstelle abgegriffen; Passwörter sind nicht betroffen. Credential Stuffing läuft in die Gegenrichtung: anderswo geleakte Passwörter werden gegen den Dienst durchprobiert. Schlagzeilen unterscheiden die drei selten — Ihre Reaktion sollte es tun.

Was mit einem geleakten Passwort-Hash passiert

Seriöse Dienste speichern Passwörter gehasht, nicht lesbar. Aber ein geleakter Hash kann offline mit Billionen Versuchen pro Sekunde angegriffen werden, und kurze oder vorhersehbare Passwörter sind binnen Stunden wiederhergestellt. Deshalb zählen Länge und Zufälligkeit auch dann, wenn die gestohlenen Daten „verschlüsselt waren“.

Was tun, wenn ein von Ihnen genutzter Dienst betroffen ist

Ändern Sie das Passwort beim betroffenen Dienst — und überall, wo Sie es wiederverwendet hatten, und hören Sie dann ganz mit der Wiederverwendung auf. Aktivieren Sie Zwei-Faktor-Authentifizierung. Und rechnen Sie danach mit gezieltem Phishing: geleakte E-Mail-Adressen und Namen werden für überzeugende gefälschte „Passwort zurücksetzen“-Mails genutzt.

Dokumentierte Vorfälle bei großen Diensten

• 2026Instagram — 2026 wurden Daten von rund 6,2 Mio. Instagram-Konten über eine offengelegte Schnittstelle abgegriffen (Namen, E-Mail-Adressen, Telefonnummern und Profildaten) — Passwörter wurden nicht gestohlen.
• 2023Discord — 2023 legte ein Vorfall bei einem Drittanbieter eine begrenzte Menge an Discord-Nutzerdaten offen (E-Mail-Adressen).
• 2023Duolingo — 2023 wurden Daten von rund 2,6 Mio. Duolingo-Konten über eine offengelegte Schnittstelle abgegriffen (E-Mail-Adressen, Namen und Profildaten) — Passwörter wurden nicht gestohlen.
• 2023Facebook — 2023 legte ein Vorfall bei einem Drittanbieter eine begrenzte Menge an Facebook-Nutzerdaten offen (E-Mail-Adressen, Namen und Passwörter).
• 2022PayPal — 2022 wurden rund 35.000 PayPal-Konten durch Credential-Stuffing-Angriffe mit aus anderen Leaks wiederverwendeten Passwörtern gekapert.
• 2022Roblox — 2022 legte ein Vorfall bei einem Drittanbieter eine begrenzte Menge an Roblox-Nutzerdaten offen (E-Mail-Adressen und Namen).
• 2022X (Twitter) — 2022 wurden Daten von rund 5,4 Mio. X (Twitter)-Konten über eine offengelegte Schnittstelle abgegriffen (E-Mail-Adressen, Telefonnummern und Profildaten) — Passwörter wurden nicht gestohlen.
• 2021EA (Electronic Arts) — 2021 stahlen Angreifer Quellcode von EA (Electronic Arts) — Nutzerpasswörter waren nicht betroffen.
• 2020Spotify — 2020 wurden rund 300.000 Spotify-Konten durch Credential-Stuffing-Angriffe mit aus anderen Leaks wiederverwendeten Passwörtern gekapert.
• 2019Facebook — 2019 wurden Daten von rund 533 Mio. Facebook-Konten über eine offengelegte Schnittstelle abgegriffen (Telefonnummern, Namen und Profildaten) — Passwörter wurden nicht gestohlen.
• 2019Instagram — 2019 wurden Daten von rund 49 Mio. Instagram-Konten über eine offengelegte Schnittstelle abgegriffen (Profildaten, Telefonnummern und E-Mail-Adressen) — Passwörter wurden nicht gestohlen.
• 2018Facebook — 2018 erlitt Facebook ein Datenleck, von dem rund 50 Mio. Konten betroffen waren (Profildaten).
• 2016Epic Games — 2016 erlitt Epic Games ein Datenleck, von dem rund 251.661 Konten betroffen waren (E-Mail-Adressen und gehashte Passwörter).
• 2016Roblox — 2016 erlitt Roblox ein Datenleck, von dem rund 52.458 Konten betroffen waren (E-Mail-Adressen und Profildaten).
• 2014iCloud Mail — 2014 wurden iCloud Mail-Konten gezielt mit Phishing- und Passwort-Rate-Angriffen attackiert — die Systeme von iCloud Mail selbst wurden nicht kompromittiert.
• 2014Snapchat — 2014 wurden Daten von rund 4,6 Mio. Snapchat-Konten über eine offengelegte Schnittstelle abgegriffen (Benutzernamen und Telefonnummern) — Passwörter wurden nicht gestohlen.
• 2013Ubisoft — 2013 erlitt Ubisoft ein Datenleck (Benutzernamen, E-Mail-Adressen und gehashte Passwörter).
• 2011PlayStation — 2011 erlitt PlayStation ein Datenleck, von dem rund 77 Mio. Konten betroffen waren (Namen, E-Mail-Adressen, gehashte Passwörter und Profildaten).
• 2011Steam — 2011 erlitt Steam ein Datenleck, von dem rund 35 Mio. Konten betroffen waren (E-Mail-Adressen, gehashte Passwörter und Zahlungsdaten).

Kuratiert aus öffentlicher Berichterstattung und Anbieter-Statements; die Vorfallstypen folgen den Definitionen oben. Jeder Dienst verlinkt auf seinen Passwort-Leitfaden.