"Collection #1" Datensatz mit Millionen gestohlenen Passwörtern im Netz

Ein Datensatz mit hunderten Millionen gestohlenen Log-in-Informationen wie E-Mail-Adressen und Passwörtern ist im Internet aufgetaucht. Betroffen sind Nutzer aus der ganzen Welt. Auch Deutsche sind dabei.

Im Internet ist ein gewaltiger Datensatz mit gestohlenen Log-in-Informationen von Millionen Nutzern aufgetaucht. Wie der australische IT-Sicherheitsexperte und Microsoft-Mitarbeiter Troy Hunt in einem Blogeintrag mitteilte, enthält die Sammlung mit dem Namen "Collection #1" knapp 773 Millionen verschiedene E-Mail-Adressen und über 21 Millionen im Klartext lesbare Passwörter. Insgesamt umfasse der Datensatz mehr als eine Milliarde Kombinationen.

Auch Deutsche betroffen

Illustration - Computersicherheit - Passwor/Barcode
Experten empfehlen bei Passwörtern eine Zwei-Faktor-Authentifizierung. Bildrechte: imago/Panthermedia

Nach Angaben von Hunt bündelt die 87 Gigabyte umfassende Sammlung Informationen "aus vielen einzelnen Datendiebstählen und Tausenden verschiedenen Quellen". Dem IT-Experten zufolge handelt es sich um den größten einzelnen Datensatz dieser Art, mit dem er je zu tun gehabt habe. Betroffen seien Internetnutzer weltweit, darunter auch Anwender aus Deutschland. Die Sammlung tauchte den zufolge zuerst auf der Cloud-Plattform Mega auf, wo sie laut Medienberichten zufolge inzwischen wieder gelöscht wurde. Wie aktuell der Datensatz ist, war zunächst unklar.

Eigene E-Mail-Adresse überprüfen

Wer überprüfen will, ob seine E-Mail-Adresse in der Sammlung auftaucht, kann Hunts Dienst haveibeenpwned.com nutzen. In der Datenbank wird die Adresse mit zig Millionen Informationen aus Datenlecks abgeglichen. Auch die jüngsten Daten "Collection #1" habe er dort eingepflegt, erklärte der Australier.

Linus Neumann vom Chaos Computer Club empfiehlt Nutzern, spätestens dann über ein neues Passwort nachzudenken, wenn die eigene Mail-Adresse bei haveibeenpwned.com auftaucht. Wenn möglich sollte auch eine sogenannte Zwei-Faktor-Authentifizierung, also ein Identitätsnachweis mittels zweier unabhängiger Komponenten, erwogen werden.

Gefahr von "Credential Stuffing"

Laut Hunt können die gestohlenen Datensätze besonders für das sogenannte "Credential Stuffing" missbraucht werden. Bei dieser Methode nutzen die Angreifer die Kombination aus E-Mail und Passwort, um sich auch bei anderen Diensten wie Sozialen Netzwerken oder Shopping-Plattformen einzuloggen. Die Hacker gleichen dabei lange Listen mit Log-in-Daten automatisch mit den Zugangssystemen ab.

Dieses Thema im Programm MDR AKTUELL RADIO | 17. Januar 2019 | 10:00 Uhr

Zuletzt aktualisiert: 18. Januar 2019, 08:03 Uhr

Aktuelle Themen von MDR JUMP