Der Sicherheitsforscher Troy Hunt hat diese Daten in seiner Plattform „Have I Been Pwned“ (HIBP) indexiert – es handelt sich um den größten Datensatz, den das Projekt je verarbeitet hat. Besonders alarmierend: 625 Millionen der Passwörter waren bisher völlig unbekannt und tauchten erstmals in den Listen auf.

Die Daten stammen von der Threat-Intelligence-Plattform Synthient und unterscheiden sich grundlegend von den kürzlich aufgetauchten Stealer-Logs, die durch Schadsoftware auf infizierten Rechnern gesammelt werden. Stattdessen wurden hier Zugangsdaten aus verschiedenen, bereits bekannten Datenlecks gebündelt. Kriminelle nutzen solche Listen, um sich durch automatisierte Angriffe in fremde Konten einzuloggen – oft erfolgreich, weil viele Nutzer dasselbe Passwort für mehrere Dienste verwenden.

Ein Nutzer bestätigte beispielsweise, dass ein aktuell verwendetes Passwort in den Listen auftauchte – und änderte daraufhin umgehend alle kritischen Zugänge. Die Passwörter lassen sich nun über den Dienst Pwned Passwords anonym durchsuchen, ohne dass eine Verknüpfung zu den dazugehörigen E-Mail-Adressen hergestellt wird.

Über 80 Prozent der Einträge haben nichts mit Gmail zu tun. Die Daten wurden vielmehr aus einer Vielzahl von Quellen über Jahre hinweg zusammengetragen und von Cyberkriminellen für Credential-Stuffing-Angriffe genutzt.

Von Jörn Schmidt