Am 12. Juni 2026 entdeckten Forscher des Sicherheitsunternehmens Cybernews einen offen im Internet zug\u00e4nglichen Elasticsearch-Cluster. Darin: 24 Milliarden Datens\u00e4tze<\/strong> mit Benutzernamen, E-Mail-Adressen, Klartext-Passw\u00f6rtern und den dazugeh\u00f6rigen Login-URLs. Das Gesamtvolumen der Datenbank \u00fcberschritt 8,3 Terabyte<\/strong>. Der Besitzer der Datenbank ist bis heute unbekannt. Kurz nach der Entdeckung wurde der Cluster offline genommen, doch das Cybernews-Team hatte bereits genug Daten analysiert, um ein vollst\u00e4ndiges Bild zu zeichnen.<\/p>\n\n\n\n Die Daten stammten aus 36 verschiedenen Quellen<\/strong>: von Telegram-Kan\u00e4len \u00fcber kombinierte Breach-Compilations bis hin zu Datens\u00e4tzen, die direkt von aktiven Zielservern exportiert worden waren. \u00dcber 30 der 36 Quellen<\/strong> waren Telegram-Kan\u00e4le, viele davon offen in Cybercrime-Communities aktiv. 1,7 Milliarden Datens\u00e4tze<\/strong> stammten direkt aus solchen Telegram-Kan\u00e4len, verfasst auf Englisch und Russisch.<\/p>\n\n\n\n Der mit Abstand gr\u00f6\u00dfte Block, 22,6 Milliarden Datens\u00e4tze<\/strong>, war vom unbekannten Besitzer schlicht als “collections” beschriftet worden. Ein absichtlich vager Begriff, hinter dem eine Mischung aus Infostealer-Logs, \u00e4lteren Breach-Daten und selbst gesammelten Credentials steckt. Weitere 150 Millionen Datens\u00e4tze<\/strong> kamen aus sogenannten “Local Database Dumps”, also direkt aus dem Speicher kompromittierter Server. 146 Millionen<\/strong> weitere stammten aus einer “Breach Compilation Combo”, einer Zusammenstellung \u00e4lterer Leaks, die wegen Passwort-Wiederverwendung nach wie vor gef\u00e4hrlich sind.<\/p>\n\n\n\n “Das Credential-Datenleck ist allein wegen seiner enormen Gr\u00f6\u00dfe gef\u00e4hrlich”, schrieb Cybernews in seinem Bericht vom 17. Juni 2026. “Milliarden betroffener Konten sind akut durch Account-Takeovers gef\u00e4hrdet, insbesondere wenn keine Multi-Faktor-Authentifizierung vorhanden ist.”<\/p>\n\n\n\n Das zentrale technische Merkmal dieses Datenlecks ist seine Zusammensetzung. Anders als klassische Datenbankleaks, bei denen Angreifer in ein einzelnes Unternehmen einbrechen und dessen Daten stehlen, handelt es sich hier um aggregierte Infostealer-Logs<\/strong>. Infostealer sind eine Kategorie von Schadsoftware, die auf infizierten Ger\u00e4ten systematisch alle gespeicherten Zugangsdaten extrahieren: Passw\u00f6rter aus Browsern, aktive Session-Cookies und -Tokens, Autofill-Daten, Ger\u00e4te-Fingerprints und in manchen F\u00e4llen auch Krypto-Wallets oder Messenger-Konten.<\/p>\n\n\n\n Ein einziger Infostealer-Log von einem infizierten Heimcomputer kann Zugangsdaten f\u00fcr Dutzende oder Hunderte verschiedene Dienste<\/strong> enthalten. Wer auf einem Computer Passw\u00f6rter in mehreren Browsern gespeichert hat, \u00fcbergibt dem Angreifer mit einem einzigen Infektionsereignis ein vollst\u00e4ndiges Profil seiner digitalen Identit\u00e4t. Die besonderen Risiken aktiver Session-Cookies werden dabei oft untersch\u00e4tzt: Diese Tokens k\u00f6nnen die Zwei-Faktor-Authentifizierung (2FA) vollst\u00e4ndig umgehen, weil sie nach einem bereits erfolgten Login ausgestellt wurden.<\/p>\n\n\n\n Laut SentinelOne-Statistiken f\u00fcr 2026 stiegen die globalen Cyberangriffe im Wochenvergleich auf durchschnittlich 1.968 Angriffe pro Organisation<\/strong>, ein Anstieg von 18 Prozent gegen\u00fcber 2025. Infostealer treiben dieses Wachstum ma\u00dfgeblich an. Ransomware, die h\u00e4ufig Infostealer als erste Stufe des Angriffs einsetzt, ist laut Verizon Data Breach Investigations Report 2025 mittlerweile in 44 Prozent aller Sicherheitsvorf\u00e4lle<\/strong> involviert, ein Sprung von 32 Prozent im Vorjahr.<\/p>\n\n\n\n Die in der entdeckten Datenbank gespeicherten Daten lagen \u00fcberwiegend im Klartext<\/strong> vor. Das bedeutet, wer die Datenbank abgerufen hat, bekam vollst\u00e4ndig lesbare Passw\u00f6rter ohne weitere Entschl\u00fcsselung. Dazu kamen die jeweiligen Login-URLs, also die exakte Webadresse, f\u00fcr die das Passwort gilt. Diese Struktur macht die Daten besonders wertvoll f\u00fcr automatisierte Credential-Stuffing-Angriffe, bei denen gestohlene Username-Passwort-Kombinationen systematisch bei gro\u00dfen Diensten ausprobiert werden.<\/p>\n\n\n\n Besonders brisant ist ein Fund am Rande der Datenbank: Rund 17.000 Eintr\u00e4ge enthielten CVE-Schwachstellen-IDs mit GitHub-Links<\/strong>, \u00fcber 5.200 Logs enthielten Nachrichtenartikel \u00fcber aktuelle Datenpannen<\/strong> und weitere 2.900 Logs<\/strong> zeigten Social-Media-Posts zu Cyberangriffen. Dies deutet darauf hin, dass der unbekannte Besitzer die Datenbank nicht nur als Credentials-Speicher, sondern als umfassendes Werkzeug f\u00fcr gezielte Angriffe nutzte.<\/p>\n\n\n\n Eines der auff\u00e4lligsten Details in der Cybernews-Analyse: Rund 260 Millionen Datens\u00e4tze<\/strong> stammten aus Telegram-Kan\u00e4len, in deren Namen das Wort “Darkside” vorkam. Darkside war jene Ransomware-Gruppe, die im Mai 2021 die Colonial Pipeline<\/strong> in den USA lahmlegte und damit die Benzinversorgung an der gesamten US-Ostk\u00fcste f\u00fcr mehrere Tage st\u00f6rte. Nach massivem Druck durch US-Beh\u00f6rden l\u00f6ste sich die Gruppe formal auf.<\/p>\n\n\n\n Was diese Verbindung zeigt: Ransomware-Gruppen hinterlassen in ihrer Infrastruktur Spuren, die jahrelang nachhaltig im Cybercrime-\u00d6kosystem weiterverwendet werden. Kan\u00e4le, die sich auf den Darkside-Markennamen beziehen, sammeln und redistribuieren gestohlene Credentials. Ob es sich um direkte Nachfolger, Mitglieder der urspr\u00fcnglichen Gruppe oder schlicht Trittbrettfahrer handelt, lie\u00df sich laut Cybernews nicht zweifelsfrei feststellen.<\/p>\n\n\n\n TechRadar zitierte Cybernews mit den Worten: “Das Datenleck ist gef\u00e4hrlich, weil es schlicht riesig ist.” Die englisch- und russischsprachige Zusammensetzung der Quellen verweist auf das \u00fcbliche Gef\u00fcge des osteurop\u00e4ischen Cybercrime-Markts, der seit Jahren Credential-Handel als eigenst\u00e4ndiges Gesch\u00e4ftsmodell betreibt. Telegram hat sich dabei als De-facto-Handelsplatz etabliert: Kan\u00e4le mit gestohlenen Zugangsdaten werden \u00f6ffentlich beworben, Datenpakete f\u00fcr wenige Dollar pro Tausend Datens\u00e4tze verkauft.<\/p>\n\n\n\n F\u00fcr \u00f6sterreichische Unternehmen ist dieser Aspekt besonders relevant. Viele der in solchen Kan\u00e4len gehandelten Credentials stammen aus Unternehmensumgebungen, kompromittiert \u00fcber phishing-infizierte Ger\u00e4te von Mitarbeitern im Homeoffice. Ein gestohlener VPN-Login oder ein kompromittiertes Microsoft-365-Konto reicht aus, um als Einstiegspunkt in ein Unternehmensnetzwerk zu dienen. Die globale Natur dieser Datenbanksammlungen macht eine geografische Eingrenzung unm\u00f6glich. \u00d6sterreichische Credentials sind mit hoher Wahrscheinlichkeit in einem Datensatz dieser Gr\u00f6\u00dfenordnung vertreten.<\/p>\n\n\n\n Das Leck vom Juni 2026 ist nicht das erste seiner Art, aber eines der gr\u00f6\u00dften dokumentierten F\u00e4lle. Im Januar 2024 entdeckten Forscher die sogenannte “Mother of All Breaches” (MOAB) mit \u00fcber 26 Milliarden Datens\u00e4tzen<\/strong> und einem Volumen von 12 Terabyte<\/strong>. MOAB war eine Zusammenstellung von Hunderten fr\u00fcherer Leaks, darunter prominente Vorf\u00e4lle bei LinkedIn, Twitter und Weibo.<\/p>\n\n\n\n Im Juni 2025 fand Cybernews eine weitere Sammlung mit 16 Milliarden Credential-Datens\u00e4tzen<\/strong> aus \u00fcber 30 Quellen, darunter Logins f\u00fcr Google, Facebook, Apple, Telegram, GitHub und Regierungsportale. Einzelne Datens\u00e4tze in dieser Sammlung enthielten \u00fcber 3,5 Milliarden Eintr\u00e4ge<\/strong>. Diese Sammlung wurde damals als “Blueprint for Mass Cybercrime” bezeichnet, ein Begriff, den Sicherheitsforscher der University of Connecticut pr\u00e4gten.<\/p>\n\n\n\n Der neue Fund vom Juni 2026 ist mit 24 Milliarden Datens\u00e4tzen kleiner als MOAB in absoluten Zahlen, unterscheidet sich aber in einer entscheidenden Dimension: Er ist st\u00e4rker auf frische Infostealer-Logs<\/strong> ausgerichtet als auf \u00e4ltere, statische Breach-Compilations. Frische Infostealer-Logs sind gef\u00e4hrlicher, weil die darin enthaltenen Passw\u00f6rter noch nicht ge\u00e4ndert wurden und aktive Session-Tokens noch g\u00fcltig sein k\u00f6nnen.<\/p>\n\n\n\nInfostealer-Malware: Das Werkzeug hinter dem Rekordleck<\/h2>\n\n\n\n
Die Darkside-Verbindung: 260 Millionen Datens\u00e4tze aus Ransomware-Netzwerken<\/h2>\n\n\n\n
Historischer Vergleich: Die gr\u00f6\u00dften Credential-Leaks seit 2024<\/h2>\n\n\n\n