Aktuelle Datenleaks I: Offene Credential-Sammlung mit fast 150 Mio. Log-ins
Eine ungeschützte Datenbank mit 149.404.754 Nutzer‑/Passwort‑Kombinationen wurde öffentlich zugänglich aufgefunden. Die Datensätze stammen überwiegend aus Infostealer‑Malware (historische Stealer‑Logs) und enthalten u. a. ca. 48 Mio. Gmail‑Konten. Es besteht eine hohe Gefahr für Credential‑Stuffing und Folgeangriffe; der Hoster nahm die Daten nach Hinweis offline.
https://www.wired.com/story/149-million-stolen-usernames-passwords/
https://cybernews.com/security/credential-leak-facebook-instagram-passwords-exposed/
Aktuelle Datenleaks II: Update zum Panera-Bread-Leak
Am 27. Januar 2026 behauptete die Gruppe ShinyHunters, in das System von Panera Bread eingedrungen zu sein. Panera Bread ist eine große amerikanische Kette von Fast-Casual-Restaurants mit Bäckerei-Cafés. Angeblich umfassten die kompromittierten Daten mehr als 14 Millionen Einträge. Die Webseite „Have I Been Pwned“ beziffert das Leck am 02.02.2006 jedoch auf „nur“ noch 5,1 Mio. eindeutige Accounts. Laut der Darstellung von ShinyHunters erfolgte der Zugang über SSO‑Missbrauch (Microsoft Entra) und Voice Phishing (Vishing).
https://dailydarkweb.net/panera-bread-data-breach-shinyhunters-claims-14-million-records-stolen/
Aktuelle Datenleaks III: Schwachstelle im Browser-Game
Das browserbasierte Regierungssimulationsspiel NationStates hat einen Datenvorfall bestätigt und die Website vorübergehend abgeschaltet. Ein Spieler mit Bug-Hunter-Historie konnte beim Testen einer kritischen Schwachstelle in der neuen „Dispatch Search“-Funktion unbefugt Code auf dem Produktionsserver ausführen und Quellcode sowie Nutzerdaten kopieren. Dabei wurden unter anderem E-Mail-Adressen, als MD5-Hashes gespeicherte Passwörter (MD5 gilt schon seit sehr langem als unsicher für Passwörter), Log-in-IP-Adressen und Browser-User-Agent-Strings offengelegt. Außerdem gilt es als wahrscheinlich, dass Teile der internen „Telegram“-Nachrichten betroffen sind.
Es gilt weiter hin
- Nutzen Sie nie das gleiche Passwort bei unterschiedlichen Diensten. Wird ein Dienst kompromittiert, bleiben die Auswirkungen auf die anderen Dienste gering.
- Es ist nie zu spät, aber auch nie zu früh, um seine Identitäten zu härten. Verwenden Sie phishing‑resistente MFA (FIDO2/WebAuthn), eliminieren Sie SMS/Telefon‑MFA, nutzen Sie Conditional Access für riskobasierte Prüfungen und härten Sie SSO (Token‑Widerruf, Geo/ASN‑Kontrollen).
BfV und BSI warnen vor Phishing über Messengerdienste
Aktuell warnen das BfV und das BSI vor einer laufenden Kampagne eines mutmaßlich staatlich gesteuerten Akteurs. Über den Messenger Signal führt dieser gezielte Phishing-Angriffe auf hochrangige Personen aus Politik, Militär und Diplomatie sowie auf Investigativjournalisten und -journalistinnen in Deutschland und Europa aus. Auffällig ist, dass weder Malware noch Zero-Days zum Einsatz kommen. Stattdessen werden legitime Sicherheitsfunktionen der Apps mit Social Engineering verknüpft. Besonders gefährlich sind das Abfragen von PIN/Verifizierungscodes durch angebliche „Signal-Support“-Konten (was zur vollständigen Kontoübernahme führt) sowie das Ausnutzen der Gerätekopplung via QR-Code (was unbemerktes Mitlesen inkl. Zugriff auf Nachrichten der letzten 45 Tage ermöglicht). Diese Taktiken sind auch auf WhatsApp übertragbar, da die App eine vergleichbare Funktionsweise aufweist. Aus sicherheitstechnischer Sicht ist die Kampagne besonders heikel, da der erfolgreiche Zugriff nicht nur Einzelchats, sondern auch ganze Kommunikationsnetze über Gruppenchats und Kontaktlisten kompromittiert. Dadurch ist es möglich, Kontaktstrukturen zu kartieren und glaubwürdige Folgeangriffe zu starten. Die geringen technischen Hürden könnten zur Nachahmung durch Cyberkriminelle führen.
Die Behörden empfehlen als pragmatische Gegenmaßnahmen: Nicht auf vermeintliche Support-Chats reagieren, keine PINs oder SMS-Codes herausgeben, die Registrierungssperre (Registration Lock) in Signal aktivieren, QR-Codes nur bei eigener Gerätekopplung scannen, verknüpfte Geräte regelmäßig prüfen und unbekannte entfernen sowie Sicherheitsnummer-Änderungen out-of-band verifizieren. Bei Anzeichen einer Kompromittierung sollen Betroffene das BfV/BSI umgehend kontaktieren.
Ähnlich wie beim „Signalgate” erfolgen Angriffe auf sichere Messenger-Dienste nicht an den Stellen, an denen die Hersteller technische Sicherheitsmaßnahmen implementiert haben, sondern an den Stellen, für die die Anwender die Verantwortung tragen. Bei „Signalgate” fehlte beispielsweise die Überprüfung durch den Benutzer, ob der Gesprächspartner tatsächlich die Person ist, die er in die Chatgruppe einladen wollte. Bei den neuen Angriffen liegt es in der Verantwortung der Benutzer, nur die Geräte zu koppeln, die sich unter ihrer Kontrolle befinden, bzw. die PIN für die Accountwiederherstellung nicht weiterzugeben.
https://research.hisolutions.com/2025/04/signalgate/
Bedrohte Sicherheitsforschende
Zack Whittaker hat gemeinsam mit DataBreaches eine Umfrage unter Sicherheitsforschenden und Journalisten über Drohungen aufgrund ihrer Arbeit durchgeführt.
Dabei geht es einerseits um rechtliche Drohungen, beispielsweise im Rahmen des sogenannten „Hackerparagraphen“ § 202c StGB, aber auch um Drohungen von Kriminellen, welche die Forschenden einzuschüchtern versuchen.
Diese Umfrage ermöglicht einen Einblick in das bisher noch recht unerforschte Feld und ist als Startpunkt einer tieferen, empirischen Untersuchung gedacht.
https://databreaches.net/wp-content/uploads/security-researcher-journalist-threats-survey-2026.pdf
Der Streit um die Chatkontrolle in der EU
Seit mehreren Jahren wird das Thema Chatkontrolle innerhalb der EU diskutiert. Wir berichteten im Oktober 2025, dass die umstrittene verpflichtende Chatkontrolle verworfen wurde. Davon nicht betroffen ist jedoch die 2021 eingeführte und 2024 verlängerte freiwillige Chatkontrolle. Diese ermöglicht das verdachtsunabhängige Durchsuchen von Medien und insbesondere Chats durch Anbieter wie Microsoft und Google. Diese freiwillige Kontrolle gilt trotz Kritik zur Verhältnismäßigkeit aufgrund einer Ausnahme, die nun wieder verlängert werden soll.
https://www.heise.de/news/Freiwillige-Chatkontrolle-EU-Parlament-plant-naechste-Frist-Verlaengerung-11169062.html
