Der Datenleck-Prüfdienst Have I Been Pwned (HIBP) hat seine Datenbank um einen neuen Datensatz erweitert. Am 15. Juni 2026 kamen 56,3 Millionen eindeutige E-Mail-Adressen und 124 Millionen Passwörter hinzu. Anders als bei klassischen Leaks stammen diese Daten nicht aus dem Einbruch in einen einzelnen Online-Dienst, sondern aus einer Sammlung von Stealer-Logs, also Protokolldateien, die Infostealer-Malware direkt auf infizierten Geräten erzeugt hat.

Der Unterschied ist wichtig für die Einordnung. Bei einem klassischen Datenbankeinbruch gehen Angreifer gegen einen einzelnen Dienst vor, kopieren die Nutzertabelle und verschwinden wieder. Infostealer arbeiten umgekehrt: Sie landen auf einzelnen Endgeräten und lesen dort alles aus, was an Zugangsdaten gespeichert ist, unabhängig davon, für welchen Dienst es gilt. Betroffen sind damit nicht die Nutzer eines bestimmten Anbieters, sondern alle, deren Rechner irgendwann mit einer entsprechenden Schadsoftware infiziert war.

Was die Daten enthalten

Der neue HIBP-Datensatz besteht laut Betreiber Troy Hunt aus mehreren hundert Millionen einzelnen Stealer-Log-Datenpunkten, aus denen 56 Millionen eindeutige E-Mail-Adressen und 124 Millionen eindeutige Passwörter extrahiert wurden. Die Passwörter wurden zusätzlich in die Pwned-Passwords-Datenbank aufgenommen und sind dort einzeln prüfbar. Von den 124 Millionen Passwörtern waren bereits 86 Prozent zuvor in HIBP erfasst, der Rest, etwa 17 Millionen Passwörter, ist neu im Bestand. Welche konkrete Malware-Familie oder ursprüngliche Quelle hinter der Sammlung steckt, nennt HIBP nicht.

Stealer-Logs enthalten typischerweise mehr als nur Benutzername und Passwort. Infostealer durchsuchen infizierte Windows-Rechner gezielt nach Browserdaten, darunter die lokalen SQLite-Datenbanken, in denen Chrome, Edge und Firefox Passwörter speichern, sowie nach Session-Cookies, Autofill-Feldern und in manchen Fällen Krypto-Wallet-Informationen. Gestohlene Session-Cookies sind besonders heikel, weil sie eine bestehende Anmeldesitzung übernehmen können und damit selbst eine Zwei-Faktor-Authentifizierung umgehen, die beim ursprünglichen Login bereits bestanden wurde.

Die Rolle von Infostealer-Malware im Untergrund

Infostealer gehören aktuell zu den am häufigsten eingesetzten Werkzeugen im Cybercrime-Ökosystem. Verbreitete Familien sind RedLine, Lumma, Vidar, StealC und Raccoon, die fast alle als Malware-as-a-Service vertrieben werden. Das bedeutet, dass auch technisch wenig versierte Angreifer für eine monatliche Gebühr Zugang zu fertiger Stealer-Infrastruktur kaufen können. Die erfassten Logs werden über Untergrundmarktplätze und Telegram-Kanäle weiterverkauft, oft innerhalb von 24 bis 48 Stunden nach der eigentlichen Infektion.

Lumma wurde im Mai 2025 durch eine von Microsoft koordinierte internationale Aktion empfindlich getroffen, erholte sich nach Berichten von Sicherheitsforschern aber innerhalb weniger Wochen und ist seither wieder in vollem Umfang aktiv. Das zeigt ein grundsätzliches Problem bei der Bekämpfung dieser Malware-Kategorie: Eine einzelne Takedown-Aktion gegen eine Familie verschafft selten dauerhafte Entlastung, weil Konkurrenzprodukte schnell nachrücken und Marktanteile übernehmen.

Warum das auch Unternehmen betrifft

Stealer-Logs sind nicht nur ein Konsumentenproblem. Sie enthalten regelmäßig auch Zugangsdaten zu Unternehmenssystemen, etwa VPN-Zugänge, Office-365-Konten oder privilegierte Accounts, sofern Mitarbeiter dieselben Geräte für private und geschäftliche Anmeldungen nutzen oder Zugangsdaten im Firmenbrowser speichern. Sicherheitsanalysten berichten, dass ein erheblicher Teil erfolgreicher Ransomware-Angriffe auf zuvor in Infostealer-Logs aufgetauchte Unternehmenszugangsdaten zurückgeht. Organisationen können betroffene Logs zu ihrer eigenen Domain über die HIBP-Stealer-Logs-API einsehen.