Sicherheitsforscher von Cybernews haben einen offen zugänglichen Elasticsearch-Cluster mit 24 Milliarden Datensätzen entdeckt, eines der größten je aufgedeckten Datenlecks. Fast alle Einträge stammen aus Infostealer-Logs, also Protokollen von Schadsoftware, die Zugangsdaten direkt von infizierten Geräten abgreift.

Was ist passiert

Am 12. Juni 2026 entdeckte das Cybernews-Team einen öffentlich erreichbaren Elasticsearch-Cluster mit einem Gesamtvolumen von über 8,3 Terabyte. Enthalten waren 24 Milliarden Datensätze mit Benutzernamen, E-Mail-Adressen, Passwörtern im Klartext und den Login-URLs der jeweiligen Dienste. Der Server stand mehrere Tage offen im Internet, ohne Passwort oder sonstige Zugangsbeschränkung, bevor er am 15. Juni 2026 abgeschaltet wurde.

Es handelt sich nicht um den Hack eines einzelnen Unternehmens. Die Daten wurden von Infostealer-Malware auf einzelnen Geräten gesammelt und anschließend in einer zentralen Sammlung zusammengeführt. Wie viele Einträge doppelt vorkommen und wie viele Personen tatsächlich betroffen sind, lässt sich derzeit nicht zuverlässig feststellen. Bei dieser Größenordnung ist aber davon auszugehen, dass es sich um deutlich mehr als nur einige wenige Konten handelt.

Woher die Daten stammen

Die Forscher identifizierten 36 verschiedene Quellen. Mehr als 30 davon waren Telegram-Kanäle, die mit Hacking-Aktivitäten in Verbindung stehen. Allein aus diesen Kanälen stammen über 1,7 Milliarden Einträge, knapp 260 Millionen davon aus Kanälen mit Bezug zur ehemaligen Ransomware-Gruppe Darkside.

Den größten Block bilden mit 22,6 Milliarden Einträgen sogenannte Collections, vorab zusammengestellte Sammlungen aus früheren Infostealer-Funden. Weitere 150 Millionen Einträge tragen die Bezeichnung Local Database Dumps und stammen offenbar direkt von kompromittierten Servern. Eine kleinere Quelle mit 146 Millionen Einträgen wird als Breach Compilation Combo bezeichnet und enthält vermutlich wiederverwendete Zugangsdaten aus älteren Leaks.

Auffällig war zusätzlich eine Teilmenge von rund 17.000 Dokumenten mit CVE-Einträgen, GitHub-Links und Verlaufsdaten aus Nachrichtenartikeln zu aktuellen Sicherheitsvorfällen, darunter ein Artikel von Februar 2026 über einen Lieferkettenangriff auf PyPI. Das deutet darauf hin, dass der Betreiber der Datenbank die Sammlung aktiv und fortlaufend pflegt. Wer hinter dem Cluster steckt, ist weiterhin unklar.

Warum das Ausmaß zählt

Ein einzelner Datensatz mit gestohlenen Zugangsdaten ist für sich genommen schon ein Risiko. Bei 24 Milliarden Einträgen aus 36 Quellen erhalten Angreifer aber eine enorm breite Grundlage für Credential Stuffing, also das automatisierte Ausprobieren bekannter Zugangsdaten auf anderen Plattformen. Wer ein Passwort mehrfach verwendet, ist dadurch besonders gefährdet, selbst wenn der ursprüngliche Dienst, bei dem das Passwort gestohlen wurde, gar nicht bekannt ist.

Da die Daten von Infostealer-Malware stammen und nicht aus dem Hack eines bestimmten Anbieters, lässt sich der Vorfall auch nicht durch ein einzelnes Passwort-Reset bei einem Dienst beheben. Wer auf einem infizierten Gerät unterwegs war, muss grundsätzlich alle dort genutzten Zugangsdaten als kompromittiert behandeln.