Ihr Passwort ist irgendwo . 16 Milliarden Zugangsdaten in einem einzigen Leak. Die Frage ist nicht mehr «Werde ich betroffen?», sondern «Wie viele Konten fallen auf einmal?» Wir alle haben denselben Reflex: ein «stark genuges» Passwort, überall wiederverwendet, weil man sich vierzig unmöglich merken kann. Genau darauf setzen Angreifer. Heute sind es keine Genies mehr, die Ihr Passwort «knacken» — es sind Bots, die bereits anderswo gestohlene Zugangsdaten wiederverwenden. Warum das gemerkte Passwort an seine Grenzen stößt — illustriert anhand realer, aktueller Fälle — und was ein Passwort-Manager in der Praxis ändert. 16 Mrd. Zugangsdaten in einer einzigen im Juni 2025 entdeckten Sammlung 6 167 Datenlecks, die die CNIL 2025 erfasste, +10 % gegenüber dem Vorjahr 88 % der Webangriffe nutzen gestohlene Zugangsdaten (Verizon 2025) Die Gefahr ist kein schwaches Passwort. Es ist ein wiederverwendetes Passwort. Im Juni 2025 deckten Cybernews-Forscher eine Sammlung von 16 Milliarden Zugangsdaten auf, zusammengeführt aus rund dreißig verschiedenen Datenbanken — betroffen waren Google-, Apple-, VPN-Konten und sogar Regierungswebsites. Das alarmierendste Detail : Es handelte sich nicht um recycelte alte Leaks, sondern um frische, sofort nutzbare Daten — einschließlich Cookies und Sitzungstoken. Und dieses Volumen ist keine Ausnahme. Der CNIL-Bericht 2025 listet 6 167 Datenlecks , ein Anstieg von 10 % gegenüber dem Vorjahr. Statistisch gesehen zirkulieren bereits einige Ihrer Zugangsdaten. Solange ein Passwort nur für einen Dienst einzigartig ist, bleibt ein Leak ein isolierter Vorfall. Wird es auf zehn Websites wiederverwendet, wird es zum Hauptschlüssel. Credential Stuffing — wie ein Leak zehn weitere auslöst Aus Sicht des Angreifers ist das Prinzip erschreckend einfach. Ein auf Website A gestohlenes Passwort wird automatisch von Bots auf Hunderte anderer Dienste wiederverwendet: Banking, E-Mail, soziale Netzwerke, E-Commerce. Wie die CNIL es formuliert: ein Schlüssel, der alle Türen öffnet. Laut dem Verizon-Bericht 2025 sind gestohlene oder erzwungene Zugangsdaten an 88 % der Webangriffe beteiligt. Für Verteidiger ist es der Angriff mit dem besten Aufwand-Nutzen-Verhältnis: keine Schwachstelle zu finden, kein ausgeklügelter Exploit. Eine günstige Liste mieten, Bots von Tausenden IPs starten — und eine geringe Erfolgsquote bei Millionen von Konten reicht zur Rentabilität. 14 000 Konten kompromittiert → 6,9 Millionen betroffen Zwischen April und September 2023 erlangten Angreifer über Credential Stuffing Zugang zu rund 14 000 Konten. Über Datenaustauschfunktionen erreichten sie 5,5 Millionen weitere Profile und 1,4 Millionen Stammbäume. Ergebnis: eine Vergleichssumme von 30 Mio. $ und Insolvenzschutz 2025. Sensible Daten in 3 Tagen abgezogen Im Dezember 2022 erlitt PayPal einen massiven Credential-Stuffing-Angriff. Vollständige Namen, Steuer- und Sozialversicherungsnummern, Kartendaten wurden offengelegt — nicht wegen einer PayPal-Schwachstelle, sondern weil wiederverwendete Kundenzugangsdaten bereits anderswo geleakt waren. Pariser Nahverkehr im Visier Ein Credential-Stuffing-Angriff mit gestohlenen Logins verschaffte sich betrügerisch Zugang zu Nutzerkonten des Pariser Verkehrsbetreibers — eine lokale, aktuelle Erinnerung daran, dass niemand außer Reichweite ist. Der Mythos vom «komplexen Passwort» Ein Bericht, der über eine Milliarde von Malware gestohlene Passwörter analysiert, bestätigt es: Viele übertrafen die regulatorischen Anforderungen an Länge und Komplexität. Gegen einen Infostealer, der Ihr Passwort im Klartext auf Ihrem Gerät liest, schützt Komplexität nichts. Entscheidend sind Einzigartigkeit und ein zweiter Faktor. Merken ist das Problem. Delegieren ist die Lösung. Die Ursache ist nicht technisch, sondern menschlich: Ein Gehirn kann 40 einzigartige, zufällige Passwörter weder erzeugen noch behalten. Also wiederverwenden wir. Ein Passwort-Manager beseitigt diesen Kompromiss an der Wurzel — Sie merken sich nur ein Master-Geheimnis; er erledigt den Rest. Der Anti-Phishing-Vorteil wird unterschätzt: Ein Manager füllt Zugangsdaten nur auf der gespeicherten exakten Domain aus. Auf einer gefälschten «paypa1.com»-Seite weigert er sich einfach — wo ein voreiliger Mensch in die Falle tappen würde. Ihre nächsten 5 Minuten Ein letzter Sicherheitsreflex: Wenn Sie eine Leak-Warnung für einen bestimmten Dienst erhalten, klicken Sie niemals auf den E-Mail-Link. Öffnen Sie die App selbst oder geben Sie die Adresse manuell ein, und ändern Sie das Passwort von dort aus. Leak-Benachrichtigungen sind idealer Phishing-Köder. Prüfen Sie die Exposition Ihrer Adressen auf Have I Been Pwned — kostenlos und vertrauenswürdig. Installieren Sie einen Passwort-Manager und erstellen Sie ein langes, einzigartiges Master-Passwort (eine Passphrase ist ideal). Aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA/MFA) : Microsoft schätzt, dass sie über 99,9 % der Kontoübernahmen blockiert. Ändern Sie zuerst wiederverwendete Passwörter auf kritischen Konten: primäre E-Mail, dann Banking. Lassen Sie den Manager den Rest schrittweise neu generieren, eine Website nach der anderen. Hören Sie auf zu merken. Fangen Sie an zu schützen. Erstellen Sie Ihren QubKey-Tresor: einzigartige Passwörter auf allen Geräten generieren, speichern und ausfüllen — in Minuten. Dieser Artikel dient Informationszwecken. Die zitierten Fälle (23andMe, PayPal, Île-de-France Mobilités, Cybernews-Leak Juni 2025) basieren auf Fachpresse und Behörden wie der CNIL. Bei einer Leak-Benachrichtigung folgen Sie immer den offiziellen Anweisungen des betroffenen Dienstes.