Cyber-Attacken: 16 Milliarden gestohlene Passwörter überschwemmen das Internet

Eine Welle bösartiger Cyber-Angriffe rollt über das Internet hinweg. Kriminelle nutzen Milliarden von Zugangsdaten aus massiven Datenpannen dieses Jahres, um gezielt Konten zu übernehmen. Sicherheitsexperten schlagen Alarm: Automatisierte Tools und ausgeklügelte Taktiken machen es Angreifern so einfach wie nie, die Kontrolle über private und Unternehmenskonten zu erlangen – von sozialen Medien bis hin zu sensiblen Bank- und Finanzdienstleistungen.

Der dramatische Anstieg der Attacken speist sich hauptsächlich aus einem kolossalen Datendiebstahl von über 16 Milliarden Anmeldedaten, der im Juni 2025 bekannt wurde. Diese beispiellose Datenmenge, zusammengetragen durch Infostealer-Malware aus zahlreichen Quellen, bietet Kriminellen eine fertige Blaupause für Massenangriffe. Im Gegensatz zu früheren Datenpannen mit veralteten Informationen enthielten diese Datensätze aktuelle und gültige Zugangsdaten – ein Schatz für sofortige kriminelle Kampagnen.

Die Industrialisierung des Credential Stuffing

Im Zentrum der aktuellen Krise steht die wachsende Bedrohung durch „Credential Stuffing“. Diese automatisierte Angriffstechnik setzt Bots ein, die systematisch gestohlene Nutzername-Passwort-Kombinationen auf unzähligen Websites testen. Da viele Nutzer dieselben Anmeldedaten für mehrere Dienste verwenden, kann ein einziges gestohlenes Passwort ein Dutzend oder mehr Konten entsperren.

Cybersicherheitsanalysten beobachten 2025 eine deutliche Zunahme in Raffinesse und Umfang dieser Angriffe. Was einst saisonale Phishing-Wellen waren, hat sich zu einer industrialisierten Angriffsmethode entwickelt. Kriminelle nutzen nun KI-gestützte Phishing-Kampagnen und automatisierte Bots, die Millionen gestohlener Zugangsdaten pro Stunde testen können.

Diese Automatisierung hat die Einstiegshürden gesenkt. Selbst Cyber-Novizen können mittlerweile groß angelegte Kontoübernahmen starten – dank „Fraud-as-a-Service“-Toolkits, die auf Plattformen wie Telegram bereits für zehn Euro pro Woche verfügbar sind.

Die Auswirkungen sind weitreichend: 2024 fielen Großunternehmen wie Roku, General Motors und Levi’s erheblichen Credential-Stuffing-Angriffen zum Opfer, die Hunderttausende Kundenkonten kompromittierten. Diese Attacken führen oft zu unauthorisierten Käufen, Datendiebstahl und weiteren Betrügereien.

Überraschender Ratschlag von US-Behörden

Eine unerwartete Wendung brachte der August 2025: FBI und die Cybersecurity and Infrastructure Security Agency (CISA) gaben eine gemeinsame Warnung heraus mit einem scheinbar paradoxen Ratschlag. In bestimmten Angriffsszenarien sollten Nutzer nicht sofort ihre Passwörter zurücksetzen.

Diese Empfehlung bezog sich speziell auf Taktiken berüchtigter Hacker-Gruppen wie „Scattered Spider“, die aktiv nach Passwort-Resets nach einem ersten Einbruch Ausschau halten. Dadurch können sie sofort die neuen Zugangsdaten abfangen – oft zusammen mit Multi-Faktor-Authentifizierungs-Token – um dauerhaft im kompromittierten Netzwerk zu verbleiben.

Diese Warnung verdeutlicht die Komplexität moderner Cyber-Bedrohungen. Die Behörden warnten kürzlich auch vor neuen Phishing-Kampagnen, die bösartige QR-Codes in unvermuteten Paketen verwenden, um persönliche und finanzielle Daten zu stehlen.

Anzeige: Übrigens: Wer sich vor QR-Phishing, Datendieben und Schadsoftware auf dem Smartphone schützen möchte, sollte jetzt die Basics sauber umsetzen. Ein kostenloser Ratgeber erklärt die 5 wichtigsten Schutzmaßnahmen für Android – mit klaren Schritt-für-Schritt-Anleitungen für WhatsApp, Online‑Banking und PayPal. Ideal für Einsteiger, ganz ohne Zusatz‑Apps. Jetzt das kostenlose Android‑Sicherheitspaket sichern

Alarmierender Anstieg bei Kontoübernahmen

Die direkte Folge massiver Datenlecks ist der Anstieg erfolgreicher Kontoübernahmen. Laut einem Bericht der Sicherheitsfirma Sift stiegen die ATO-Angriffsraten im zweiten Quartal 2024 um 24 Prozent im Vergleich zum Vorjahreszeitraum. Fast jeder vierte Verbraucher war im vergangenen Jahr Opfer einer Kontoübernahme.

Angreifer loggen sich nicht nur ein – sie monetarisieren den Zugang. Nach einer erfolgreichen Kompromittierung können Kriminelle Geld abziehen, den Kontozugang auf Darknet-Marktplätzen verkaufen oder die gekaperte Identität für weitere Betrügereien nutzen.

Besonders besorgniserregend ist der Anstieg des Session-Hijackings. Dabei stehlen Angreifer aktive Session-Cookies über Infostealer-Malware. Diese Technik umgeht Multi-Faktor-Authentifizierung vollständig und gewährt vollen Kontozugang ohne Passwort oder Sicherheitsalarm.

Der perfekte Sturm der Verwundbarkeit

Die aktuelle Bedrohungslage stellt einen perfekten Sturm dar. Das rekordverdächtige Datenleck von 16 Milliarden Zugangsdaten Mitte 2025 lieferte die Munition, während die zunehmende Verfügbarkeit ausgeklügelter, automatisierter Angriffstools die Feuerkraft bereitstellte.

Dieser Trend wird durch anhaltend schlechte Passwort-Hygiene in der Bevölkerung verschärft. Trotz jahrelanger Aufklärungskampagnen bleibt die Wiederverwendung von Passwörtern weitverbreitet. Diese grundlegende Schwachstelle macht Credential Stuffing so effektiv und profitabel für Cyberkriminelle.

Ausblick: Auf dem Weg in eine passwortlose Zukunft

Als Reaktion auf diese eskalierende Krise drängen Sicherheitsexperten und Regierungsbehörden energisch auf stärkere Authentifizierungsmethoden. Der Konsens ist klar: Passwörter allein reichen nicht mehr aus. CISA und die NSA befürworten nachdrücklich die breite Einführung von Multi-Faktor-Authentifizierung, vorzugsweise durch Phishing-resistente Methoden wie Hardware-Sicherheitsschlüssel oder Authentifizierungs-Apps.

Die Branche beschleunigt ihren Übergang in eine passwortlose Zukunft. Technologien wie Passkeys, die kryptographische Prinzipien nutzen und Nutzern erlauben, sich mit ihrem Gerät anzumelden – verifiziert durch Biometrie wie Fingerabdruck oder Gesichtsscan – werden von Tech-Riesen wie Google, Apple und Microsoft vorangetrieben.

Der Übergang wird jedoch Zeit brauchen. In der Zwischenzeit müssen Organisationen ihre Abwehr mit Bot-Erkennung, Anomalie-Detection und robusten Identitäts- und Zugriffsmanagementsystemen stärken. Für Verbraucher ist die sofortige Priorität klar: Stopp der Passwort-Wiederverwendung, Aktivierung von Multi-Faktor-Authentifizierung für alle kritischen Konten und die Nutzung eines seriösen Passwort-Managers für einzigartige, komplexe Zugangsdaten bei jedem Online-Dienst.

Anzeige: Für alle, die ihre Konten schnell besser absichern wollen: Diese 5 Android‑Maßnahmen schließen die häufigsten Lücken – ohne teure Security‑Pakete. Der Gratis‑Leitfaden zeigt Schritt für Schritt, wie Sie Ihr Gerät und sensible Apps wirkungsvoll härten. Kostenlosen Sicherheits‑Guide für Android anfordern