Meistgeleakte Passwörter 2025/2026: Alarmbericht, Zahlen & Schutzmaßnahmen

Die meistgeleakten Passwörter 2025/2026 – Alarmbericht zur globalen Passwort-Sicherheitskrise

Stand: 26. Januar 2026

2025/2026 hat die Passwort-Sicherheitslage einen Kipppunkt erreicht. Was früher als individuelles Fehlverhalten einzelner Nutzer galt, ist heute ein systemisches Risiko für Privatpersonen, Unternehmen und Behörden. Der Fund einer 96 GB großen, ungeschützten Datenbank mit rund 149,4 Millionen eindeutigen Login-Kombinationen im Januar 2026 ist kein Ausreißer, sondern ein verdichteter Beweis dafür, dass Identitätsdiebstahl längst industrialisiert ist: Infostealer-Malware sammelt Zugangsdaten im großen Stil, Datensätze werden als Ware gehandelt, und automatisierte Angriffe wie Credential Stuffing übernehmen Accounts in Serie. Dieser Bericht bündelt die wichtigsten Zahlen, Mechanismen und Schutzmaßnahmen aus 2025/2026 – technisch sauber eingeordnet und mit klaren Handlungsempfehlungen.

Zum Inhaltsverzeichnis ➜

Zwei Entwicklungen verschärfen die Lage zusätzlich: Erstens werden Passwörter nicht mehr nur „geraten“, sondern direkt durch Malware aus Browsern, Apps und Systemen abgezogen. Zweitens stehlen moderne Infostealer häufig Session-Cookies und Tokens – damit lassen sich Konten teils sogar trotz aktivierter Zwei-Faktor-Authentifizierung übernehmen, weil Angreifer eine bereits gültige Sitzung „kapern“. Die Folge: Wer Passwörter wiederverwendet oder im Browser speichert, spielt 2026 unfreiwillig „Account-Lotto“. Die gute Nachricht: Mit Passwortmanager + MFA (preferiert FIDO2/Passkeys) + sauberer Gerätehygiene lässt sich das Risiko drastisch senken.

1) Das 149-Millionen-Leak im Januar 2026: Warum dieser Fund so gefährlich ist

Am 21. Januar 2026 wurde eine öffentlich zugängliche Datenbank entdeckt, die etwa 149,4 Millionen eindeutige Login-Kombinationen enthielt – eine Rohsammlung, wie sie typischerweise aus Infostealer-Kampagnen entsteht. Die Brisanz lag nicht nur in der schieren Menge, sondern in der Struktur: Zu vielen Datensätzen war die jeweilige Login-URL gespeichert. Das klingt banal, ist aber in der Angriffslogik ein Turbo: Statt dass Kriminelle erst herausfinden müssen, wo ein Login „hingehört“, können Bots automatisiert die Zielseite ansteuern, Zugangsdaten eintragen und – bei Erfolg – sofort Kontoaktionen ausführen (Passwort ändern, Recovery-Mail anpassen, Zahlungsdaten ergänzen, Sessions erweitern). In der Praxis bedeutet das: Ein Leak wird nicht „irgendwann“ gefährlich, sondern sofort – weil er maschinenfähig ist.

Ein weiteres Alarmzeichen: Solche Datensätze werden häufig nicht als „öffentlicher Leak“ geplant, sondern als Ware. Die ungeschützte Ablage deutet auf mangelhafte Operational Security der Täter hin – nicht auf Harmlosigkeit. Im Gegenteil: In vielen Fällen existieren bereits Kopien; sobald ein Datensatz einmal in der Szene kursiert, entsteht eine Kettenreaktion: Erstverkauf → Weiterverkauf → Kombination mit älteren Leaks → „Fresh-Combo“-Pakete → massenhafte Login-Tests. Die betroffenen Dienste lesen sich wie das digitale Leben selbst: Mail-Provider (Gmail/Outlook), Social (Facebook/Instagram), Streaming (Netflix) und sogar Krypto-Börsen (Binance). Wer sein E-Mail-Konto verliert, verliert im schlimmsten Fall alles, weil Mail der zentrale Reset-Kanal für nahezu jeden Dienst ist.

2) Weltweit: Die meistgeleakten Passwörter 2025 – und warum sie immer noch gewinnen

Dass in Leak-Rankings weiterhin Passwörter wie „123456“, „password“ oder „admin dominieren, ist kein Meme – es ist ein Sicherheitsdesaster. Diese Passwörter sind nicht nur „schwach“, sie sind vorhersagbar und stehen an den allerersten Stellen jeder Wörterbuchliste, die Angreifer nutzen. Moderne Angriffswerkzeuge arbeiten nicht „blind“: Sie testen zuerst die häufigsten Muster (Zahlenfolgen, Tastaturmuster, Standardwörter, Kombinationen mit Jahreszahlen), bevor sie überhaupt in aufwendige Brute-Force-Bereiche gehen. Wenn ein Passwort wie „123456“ millionenfach vorkommt, bedeutet das in der Praxis: Ein Angreifer kann mit minimalem Aufwand maximalen Ertrag erzielen – perfekte Ökonomie aus Täterperspektive. Dazu kommt: Viele Systeme begrenzen Login-Versuche pro IP, aber Täter umgehen das über Botnetze, Residential Proxies und verteilte Infrastruktur. Das Ergebnis ist, dass selbst „simple“ Passwortlisten in der realen Welt weiterhin enorme Erfolgschancen haben.

Ein weiterer Grund, warum schwache Passwörter 2025/2026 so sichtbar sind: Viele Daten stammen nicht aus „Knacken“, sondern aus Malware-Exfiltration. Wenn Infostealer Zugangsdaten direkt aus Browsern ziehen, landen auch Passwörter in Leaks, die nie erraten wurden. Und trotzdem sind es im Ranking oft die simplen Passwörter, weil sie überall wiederverwendet werden. Wiederverwendung ist der Multiplikator: Ein Passwort, das einmal kompromittiert wurde, wird anschließend in Credential-Stuffing-Kampagnen dutzendfach auf anderen Diensten getestet. Genau deshalb dominieren Klassiker – sie sind die „Währung“, die bei möglichst vielen Menschen passt. Das ist brutal banal – und genau deshalb so gefährlich.

3) Deutschland: Top 10 der geleakten Passwörter – warum „kaffeetasse“ nicht süß, sondern fatal ist

Die deutschen Top-Rankings zeigen ein typisches Muster: Neben globalen Klassikern („123456“, „password“) tauchen Alltagswörter auf – etwa „passwort“ oder „kaffeetasse“. Das wirkt fast wie ein schlechter Witz, ist aber ein lehrreiches Symptom: Menschen verwechseln „merkbar“ mit „sicher“. Ein Wörterbuchwort ist für Angreifer nicht schwer, sondern leicht. Wörterbuchattacken sind seit Jahren Standard – und sie sind heute nicht einmal mehr „rein deutsch“, weil Tools automatisch Sprachlisten kombinieren. Dazu kommen Muster, die viele Nutzer für clever halten: Vorname + Geburtstag + Sonderzeichen am Ende. Genau diese Muster sind in regelbasierten Angriffslisten längst abgebildet. Angreifer denken nicht wie Menschen – sie denken wie Statistiker: Wenn hunderttausende Nutzer „Sommer2025!“ nutzen, wird dieses Muster getestet, bevor überhaupt Brute Force startet.

Noch kritischer ist der Kontext: Die meisten deutschen Nutzer verwenden ihre E-Mail-Adresse als zentralen Login. Wer das Mailkonto verliert, verliert die Reset-Kette. Deshalb sind besonders E-Mail-Passwörter der „Single Point of Failure“. Die logische Konsequenz ist unbequem, aber klar: Das E-Mail-Passwort muss das stärkste Passwort sein – und darf nirgendwo wiederverwendet werden. Wer hier spart, spart am falschen Ende. Ein modernes Setup betrachtet E-Mail wie den Haustürschlüssel: Du benutzt nicht denselben Schlüssel für Haustür, Fahrradschloss und Büro – und du klebst ihn nicht außen an die Klingel.

4) Infostealer 2025: Die stille Massenproduktion gestohlener Logins

Der größte Treiber hinter den Leak-Zahlen 2025/2026 ist nicht mehr das klassische „Hacken“ von Webseiten, sondern das massenhafte Abgreifen von Zugangsdaten direkt auf Endgeräten. Infostealer-Malware ist darauf spezialisiert, in Sekundenbruchteilen alles Wertvolle aus einem System zu extrahieren: Browser-Passwörter, Autofill-Daten, Cookies, Tokens, Wallets, Messenger-Sessions, VPN-Zugänge. Die Verbreitung erfolgt oft über Phishing, manipulierte Downloads, Fake-Updates oder Browser-Erweiterungen. Der Unterschied zu Ransomware ist perfide: Infostealer arbeitet leise. Viele Betroffene merken monatelang nichts – bis Accounts übernommen, Zahlungsdaten missbraucht oder Social-Profile zum Spammen genutzt werden.

Ein entscheidender Punkt: Selbst „starke“ Passwörter helfen nicht, wenn sie durch Malware direkt aus dem Browser gezogen werden. Genau deshalb ist das 2026-Mantra nicht nur „starkes Passwort“, sondern „starkes Passwort + saubere Geräte + keine Browser-Speicherung + MFA/Passkeys“. Besonders gefährlich sind Session-Cookies: Wenn ein Infostealer einen gültigen Session-Token stiehlt, kann ein Angreifer eine authentifizierte Sitzung übernehmen – in vielen Szenarien ohne dass das Passwort oder ein zweiter Faktor erneut abgefragt wird. Dadurch entstehen Fälle, in denen Nutzer „MFA aktiviert“ haben und trotzdem übernommen werden. Das ist keine Magie, sondern Session-Hijacking.

5) Das Geschäftsmodell: Credential Stuffing, Combo-Listen und die Realität der MFA-Umgehung

Sobald große Datensätze existieren, folgt der zweite Schritt: Credential Stuffing. Dabei werden gestohlene Login-Kombinationen automatisiert auf unzähligen Diensten getestet. Der Angriff ist so erfolgreich, weil Menschen Passwörter wiederverwenden. Aus Angreiferperspektive ist das genial simpel: Wenn ein Nutzer sein Passwort bei einem Forum verliert, probiert der Bot dasselbe Passwort bei Mail, Streaming, Social, Shops, Cloudspeichern. Erfolgschancen sind hoch genug, um daraus ein Business zu bauen – inklusive Tooling, Proxy-Netzen, Captcha-Bypass-Diensten, „Fresh Combo“-Marktplätzen und Erfolgs-Reporting. Das Ganze funktioniert wie Performance-Marketing – nur eben kriminell.

Und dann kommt die Stufe, die viele unterschätzen: Session Hijacking. Moderne Leak-Pakete enthalten nicht nur „Username+Password“, sondern auch Cookies. Damit wird nicht „eingeloggt“, sondern eine bestehende Sitzung übernommen. MFA schützt primär den Login-Prozess – nicht zwangsläufig jede Session. Dienste, die starke Re-Auth-Mechanismen (z.B. bei sensiblen Aktionen) nutzen, sind besser geschützt; viele sind es nicht. Genau deshalb wird 2026 eine klare Empfehlung immer lauter: Passkeys/FIDO2 dort nutzen, wo möglich, weil sie phishing-resistent sind und Login-Flows deutlich härter absichern. Gleichzeitig bleiben Gerätehygiene und Session-Management Pflicht: Wo möglich, regelmäßig aktive Sessions prüfen und unbekannte Geräte abmelden.

6) Lösungen 2026: Passwortmanager, MFA und Passkeys – was wirklich wirkt

Die wirksamste Antwort auf die Krise ist nicht „noch mehr Disziplin“, sondern Systemwechsel. Menschen sind keine Passwortmaschinen – und genau darauf setzen Angreifer. Deshalb braucht es Mechanismen, die menschliche Schwächen ausgleichen: Passwortmanager generieren zufällige, einzigartige Passwörter; MFA reduziert Schaden bei Leaks; Passkeys verschieben das Modell von „Wissen“ (Passwort) zu „Besitz/Biometrie“ (kryptografischer Schlüssel). In der Praxis heißt das: Ein Passwortmanager ist 2026 keine Luxus-App, sondern Grundausstattung wie ein Rauchmelder.

Wichtig ist die Reihenfolge: Zuerst E-Mail absichern, dann die Konten, die Geld bewegen (Banking, PayPal, Krypto), dann Social/Shopping/Streaming. Parallel: Browser-Passwortspeicher leeren, weil er der primäre Beuteort für Infostealer ist. MFA sollte möglichst nicht per SMS laufen, sondern via Authenticator-App oder – ideal – via Security Key/Passkey. Passkeys gelten als besonders robust, weil sie nicht einfach „abgetippt“ und nicht auf Fake-Seiten abgegriffen werden können. Das nimmt Phishing den größten Hebel. Aber: Passkeys sind kein Zauberstab gegen Malware – wenn das Gerät kompromittiert ist, bleibt Risiko. Deshalb ist die Kombination entscheidend: Passkeys + sauberes Gerät + Session-Management.

7) Notfallplan: Was tun, wenn Logins geleakt sind? (Sofort – 24h – 7 Tage)

Wenn du vermutest, dass deine Zugangsdaten betroffen sind, zählt Geschwindigkeit – aber ohne Panik. Der erste Schritt ist immer: E-Mail-Konto sichern, denn darüber laufen Passwort-Resets. Danach: alle Konten mit Zahlungsbezug (Banking/PayPal/Krypto) und anschließend Social/Shopping/Cloud. Parallel musst du Sessions killen: Viele Dienste bieten „Von allen Geräten abmelden“. Genau das ist der Unterschied zwischen „Passwort geändert“ und „Angreifer rausgeworfen“. Wenn ein Infostealer im Spiel war, gilt: Passwortänderungen auf dem kompromittierten Gerät sind riskant – besser ein sauberes Zweitgerät nutzen.

8) FAQ

9) Fazit: Passwortsicherheit braucht 2026 einen Systemwechsel

Weitere aktuelle News-Beiträge

• PS5 SSD nachrüsten: Kompatibilität, Größe und Einbau
• Switch 2 Speicherkarte: Welche microSD Express passt?
• PlayStation Portal ohne PS5: So klappt Cloud-Streaming
• Steam Machine kaufen: Warteliste und Verfügbarkeit
• PlayStation 6: Was Sony bestätigt hat und was offen ist
• DJI Matrice 5T vorgestellt: 1K-Wärmebild, LiDAR, IP55 und 59 Minuten – Daten, Preis und Vergleich
• GTA 6 Countdown: Live-Timer bis 19.11.2026, Release-Infos & Updates [Wie lange noch?]
• GTA 6 Ultimate Edition: Inhalte, Unterschiede, Preis & lohnt sich das Upgrade?
• Flugzeugabsturz in Florida: Was zum Learjet 60 und den laufenden Ermittlungen bekannt ist (Update 6. November)
• FlexiQuad: ETH Zürich stellt flexible Drohne vor, die Zusammenstöße übersteht