Passwortsicherheit und Credential-Stuffing HIBP indexiert 1,3 Milliarden Passwörter und fast 2 Milliarden E-Mail-Adressen

Anbieter zum Thema

Fsas Technologies GmbH

FTAPI Software GmbH

Have I Been Pwned erweitert Pwned Passwords um 1,3 Milliarden Pass­wör­ter, 625 Millionen davon erstmals sichtbar. Zusammen mit 1,957 Milliarden eindeutigen E-Mail-Adressen steigt das Risiko durch Wiederverwendung und Credential-Stuffing spürbar.

Der Sicherheitsdienst Have I Been Pwned (HIBP) stellt einen deutlich erweiterten Passwort-Korpus bereit. Kern sind 1,3 Milliarden Passwörter, davon 625 Millionen bislang nicht erfasst, ergänzt um 1,957 Milliarden eindeutige E-Mail-Adressen. Ein großer Teil der Sammlung stammt aus Credential-Stuffing-Listen, die aus vielen Datenlecks zusammengeführt wurden. Diese Breite erhöht die Wirksamkeit automatisierter Kontoübernahmen, weil wiederverwendete Kennwörter dienstübergreifend funktionieren.

Die neuen Datensätze stammen aus einer Sammlung des US-Anbieters Synthient, der im April 2025 Milliarden Zeilen sogenannter „Stealer-Logs“ aus öffentlich zugänglichen Quellen zusammengetragen hatte. Nach dem Bereinigen und Entfernen von Dubletten blieben 183 Millionen Kombinationen aus E-Mail-Adressen, Passwörtern und besuchten Webseiten übrig.

Redline-Infostealer verbreitet sich extrem schnell

Zunahme von Infostealer-Infektionen um fast 650 Prozent

Pwned Passwords ohne Personenbezug

Die Passwörter liegen in HIBPs Dienst Pwned Passwords ohne Verknüpfung zu E-Mail-Adressen vor. Das schützt Betroffene vor Deanonymisierung und erlaubt eine anonyme Prüfung über k-Anonymität. Dabei sendet der Prüfer nur Hash-Teilbereiche und erhält Treffer, ohne einzelne Personen offenzulegen.

Diensteanbieter blocken so bereits bei der Registrierung oder beim Reset bekannte Kom­pro­mit­tie­rung­en. Wichtig: Viele neu sichtbare Passwörter erfüllen formale Komplexitätskriterien. Doch durch die Wiederverwendung derselben Passwörter über mehrere Dienste erhöht sich das Risiko dennoch deutlich.

Kein einzelner Gmail-Vorfall

Die Sammlung umfasst rund 32 Millionen unterschiedliche E-Mail-Domains. Gmail ist dabei zwar die größte Domain, aber daraus folgt kein spezifischer Sicherheitsvorfall bei Google. Die Daten stammen aus vielen Quellen und Zeiträumen und bilden aggregierte Exponierungen ab.

Zweiter Schritt nach der ersten Analyse

Der frühere Schritt markierte die Vorstufe: HIBP-Betreiber Troy Hunt ließ die Daten im ersten Schritt stichprobenartig von betroffenen Nutzerinnen und Nutzern verifizieren. In mehreren Fällen deckten sich Passwörter und besuchte Webseiten mit den Nutzungsprofilen der Betroffenen, was die Echtheit der Sammlung stärkt. Ein Abgleich zeigte laut den Ausführungen auf dem Blog von Troy Hunt, dass rund 16,4 Millionen der Adressen in keinem anderen HIBP-Datensatz aufgetaucht waren.

Die jetzige Erweiterung hebt die Passwortdimension in den Mittelpunkt und ergänzt einen großvolumigen Credential-Stuffing-Korpus. Ergebnis der Analyse von Troy Hunt: deutlich mehr treffsichere Blocklisten für Passwörter sowie höhere Relevanz für operative Kontrollen in Registrierungs-, Reset- und Login-Strecken.

Wie wurde die Echtheit der Daten geprüft?

Die Sammlung besteht aus Zugängen, die durch Infostealer-Malware abgegriffen wurden. Diese Schadprogramme zeichnen Anmeldedaten direkt auf infizierten Rechnern auf und senden sie an externe Server. Von dort gelangen sie häufig in Telegram-Kanäle, Cloudspeicher und Foren, wo andere Akteure sie erneut bündeln, anreichern und in der Regel dann verkaufen. Synthient fasste diese verstreuten Quellen zusammen und übergab die vollständige Sammlung anschließend an HIBP.

122 GB neue Daten auf Have I Been Pwned

Telegramm-Kanäle offenbaren 360 Millionen E-Mail-Adressen

Wie kann ich prüfen, ob ich betroffen bin?

Auf der HIBP-Webseite kann man durch Eingabe der E-Mail-Adresse sehen, ob man betroffen ist. Ab sofort sind die Datensätze über die Webseite unter folgenden Kriterien abruf­bar:

• Eine Anzeige der Domains wird unterdrückt, wenn sie sensible Inhalte preisgeben könnte;

• Registrierte Nutzer erhalten über den „Notify-Me“-Service eine ausführliche Auskunft;

• Pwned Passwords integriert den Datensatz. So lassen sich verwendete Passwörter anonym prüfen.

Warum ist die Sammlung relevant?

Stealer-Logs unterscheiden sich von klassischen Datenlecks: Sie entstehen nicht durch einen einzelnen Sicherheitsvorfall, sondern durch eine kontinuierliche Erfassung von Zugangsdaten auf kompromittierten Endgeräten. Hunt beschreibt dieses Phänomen als ein „Datenfeuerwerk“, das dauerhaft neue Anmeldedaten produziert. Für Unternehmen und Privatpersonen bedeutet das, dass Passwörter deutlich früher im Umlauf sein können. Infostealer sind für Unternehmen gefährlich, weil sie einzelne Zugänge kompromittieren, und ganze Au­then­ti­fi­zie­rungs­um­ge­bung­en mit Tokens, Cookies und Sitzungsschlüsseln ausleiten.

HIBP empfiehlt den Betroffenen, ihre Passwörter zu ändern und Mehrfaktor-Authentifizierung zu aktivieren. Besonders kritisch sei die Mehrfachnutzung von Passwörtern, da sie das Risiko von Credential-Stuffing-Angriffen erhöht. Es handelt sich hierbei um einen Angriff bei dem gestohlene Anmeldeinformationen verwendet werden, um zu versuchen, in Konten für verschiedene andere Dienste zu gelangen.

Quellcode und Backups ebenfalls erbeutet

Daten von bis zu 200.000 Europcar-Kunden aus Repositories gestohlen

(ID:50606750)