„Ihr Passwort wurde im Darknet gefunden“ – was das wirklich bedeutet

Was „im Darknet gefunden“ konkret heißt

Hinter der Formulierung steckt meist ein nüchterner Vorgang: Ein Onlinedienst wurde angegriffen, die dort gespeicherten Zugangsdaten wurden kopiert und anschließend in einschlägigen Foren gehandelt oder als Sammlung veröffentlicht. Ihre Adresse taucht in einer dieser Sammlungen auf – zusammen mit einem Passwort, das Sie bei diesem Dienst verwendet haben.

Das Wort „Darknet“ suggeriert dabei mehr Dramatik, als angebracht ist. Viele dieser Sammlungen kursieren längst frei zugänglich; der Handel im engeren Sinn betrifft eher frische, noch nicht veröffentlichte Datensätze. Für die Einschätzung Ihres Risikos ist die Frage nach dem Fundort ohnehin zweitrangig. Wichtiger sind drei andere Fragen:

• Wurde ein Passwort mitveröffentlicht? Nur die Adresse bedeutet vor allem mehr Phishing. Adresse plus Passwort ist eine andere Kategorie.
• Lag das Passwort im Klartext vor? Manche Dienste speichern Passwörter nur als kryptografischen Hash. Bei veralteten Verfahren lassen sich diese jedoch häufig zurückrechnen.
• Ist dieses Passwort heute noch irgendwo im Einsatz? Das ist die eigentlich entscheidende Frage.

Warum alte Funde nicht harmlos sind

Ein häufiger Trugschluss lautet: „Der Leak ist von 2019, das ist doch längst erledigt.“ Angreifer sehen das anders. Sie nehmen erbeutete Kombinationen aus Adresse und Passwort und probieren sie automatisiert bei hunderten anderen Diensten durch – ein Verfahren namens Credential Stuffing. Ein Passwort von 2019, das ein Mitarbeiter heute noch fürs Firmenpostfach nutzt, ist damit ein tagesaktuelles Risiko. Datensätze verlieren nicht an Wert, solange Menschen Passwörter wiederverwenden.

Hinzu kommt: Auch reine Adresslisten haben Nutzen für Angreifer. Wer weiß, dass buchhaltung@ihre-firma.de existiert und bei welchem Buchhaltungsdienst diese Adresse registriert war, kann sehr überzeugende Phishing-Mails schreiben.

Echte und gefälschte Warnungen unterscheiden

Rund um dieses Thema hat sich eine eigene Betrugsmasche etabliert. Sie erhalten eine Mail, die behauptet, Ihr Rechner sei gehackt und Ihre Webcam mitgeschnitten worden – als „Beweis“ steht ein tatsächlich einmal von Ihnen genutztes Passwort in der Nachricht, verbunden mit einer Geldforderung in Kryptowährung.

In aller Regel ist an dieser Geschichte nichts dran außer dem Passwort selbst, das schlicht aus einem öffentlich bekannten Datenleck stammt. Zahlen Sie nichts, antworten Sie nicht, klicken Sie keine Links an. Nehmen Sie den Fund aber als das ernst, was er ist: ein Hinweis, dass dieses Passwort verbrannt ist und gewechselt gehört.

Ebenso unterwegs sind gefälschte „Sicherheitswarnungen“ mit Anmeldelinks. Grundregel wie immer: Anmeldeseiten nie über einen Link in einer Mail aufrufen, sondern über ein Lesezeichen oder die selbst eingetippte Adresse. Mehr dazu im Ratgeber Auf einen Phishing-Link geklickt – was jetzt zu tun ist.

Was Sie jetzt tun sollten

1. Das betroffene Passwort überall ändern

Nicht nur bei dem Dienst, aus dem der Leak stammt – dort ist es ohnehin verbrannt. Entscheidend ist jedes andere Konto, bei dem dasselbe oder ein leicht abgewandeltes Passwort verwendet wurde. Fragen Sie betroffene Mitarbeiter direkt und ohne Vorwurf danach; ehrliche Antworten bekommen Sie nur, wenn niemand Konsequenzen fürchtet.

2. Zwei-Faktor-Authentifizierung aktivieren

Die wirksamste Einzelmaßnahme: Ein geleaktes Passwort allein bringt den Angreifer dann nicht mehr weiter. Priorität haben E-Mail-Konten, danach Cloud-Dienste, Banking und Fernzugriff.

3. Betroffene Konten auf Spuren prüfen

Kontrollieren Sie Anmeldeverlauf, Weiterleitungs- und Filterregeln sowie verbundene Apps. Wurde ein Konto bereits übernommen, finden sich dort meist Hinweise. Eine Anleitung dazu steht im Ratgeber E-Mail-Konto gehackt? Diese 9 Anzeichen verraten es.

4. Nicht auf Löschversprechen hereinfallen

Anbieter, die versprechen, Ihre Daten „aus dem Darknet zu entfernen“, versprechen etwas technisch Unmögliches. Verbreitete Datensätze sind vielfach kopiert. Wirksam ist ausschließlich, die Daten wertlos zu machen – durch geänderte Passwörter und einen zweiten Faktor.

5. Klären, ob eine Meldepflicht besteht

Wurde lediglich ein fremder Dienst gehackt, liegt die Meldepflicht nach Art. 33 DSGVO bei dessen Betreiber. Kam es über die erbeuteten Daten jedoch zu einem Zugriff auf Ihre Systeme und damit auf Daten Ihrer Kunden oder Mitarbeiter, sind Sie in der Pflicht – mit 72-Stunden-Frist. Die Abgrenzung gehört im Einzelfall mit dem Datenschutzbeauftragten geklärt.

Der Punkt, den die meisten Unternehmen übersehen

Eine einmalige Prüfung beantwortet nur die Frage von heute. Neue Datenlecks werden laufend veröffentlicht, und niemand im Team wird die Prüfung monatlich manuell wiederholen. In der Praxis erfahren Unternehmen deshalb meist erst dann von kompromittierten Zugangsdaten, wenn bereits etwas passiert ist.

Genau diese Lücke schließt ein dauerhaftes Monitoring: Sie erfahren von einem Treffer, wenn er auftaucht – nicht Monate später. Für Geschäftsführer kommt hinzu, dass ein dokumentiertes Monitoring belegt, dass hingesehen wurde. Warum das bei Haftungsfragen zählt, steht im Ratgeber Haftung des Geschäftsführers bei IT-Sicherheit.

Häufige Fragen

Dieser Beitrag gibt allgemeine Hinweise und ersetzt keine individuelle Beratung. Bei einem konkreten Sicherheitsvorfall ziehen Sie Ihren IT-Dienstleister und – bei Betroffenheit personenbezogener Daten – Ihren Datenschutzbeauftragten hinzu.