Automatisierte Angriffe auf Ihre Online-Konten bedeuteten früher, dass ein einzelner Hacker ein Skript gegen eine Anmeldeseite laufen ließ und auf das Beste hoffte. Dieses Modell hat sich geändert. KI-Bots, die Anmeldedaten stehlen, operieren jetzt in einem Umfang und mit einer Geschwindigkeit, mit der ältere Erkennungsmethoden kaum mithalten können. Sie testen gestohlene Benutzernamen und Passwörter innerhalb von Minuten auf Tausenden von Websites, passen sich an, wenn sie blockiert werden, und ernten stillschweigend alle Leaks, die sie dabei finden können. Das Beunruhigende daran ist, dass Sie möglicherweise nicht einmal wissen, dass Ihre Zugangsdaten in einer öffentlichen Datenbank offenliegen, in einem öffentlichen Code-Repository schlummern oder gerade in einen Prompt-Injection-Versuch eingespeist werden – es sei denn, Sie überprüfen dies aktiv.

Wie KI-Bots Anmeldedaten ernten

Die Mechanik des Diebstahls von Anmeldedaten hat sich nicht so sehr verändert wie die Automatisierung dahinter. Bots stützen sich nach wie vor auf gestohlene Daten – sei es ein Stapel geleakter Passwörter aus einem alten Datenleck, aus falsch konfigurierten Datenbanken ausgelesene Zugangsdaten oder versehentlich in öffentlichen Code-Repositories veröffentlichte Geheimnisse. Der Unterschied besteht darin, wie effizient KI-gestützte Tools diese Rohdaten verarbeiten, sie mit Anmeldeportalen abgleichen und ihr Vorgehen spontan anpassen können, wenn eine Website mit Ratenbegrenzungen oder CAPTCHAs reagiert.

Dies ist Teil eines breiteren Musters, das Sicherheitsforscher im vergangenen Jahr verfolgt haben. Wöchentliche Vorfallübersichten zeigten, dass Instagram, Spotify und Passwort-Tresore in einer Woche betroffen waren, und veranschaulichen, wie Credential-Stuffing-Kampagnen selten nur eine einzelne Plattform ins Visier nehmen. Angreifer verteilen gestohlene Login-Listen gleichzeitig über Dutzende von Diensten und setzen darauf, dass sich die Wiederverwendung von Passwörtern irgendwo auszahlt. Ebenso zeigt die Berichterstattung über Hotel-WLAN-Angriffe und einen Zimbra-Zero-Day in derselben Woche, wie vielfältig die Einstiegspunkte für den Diebstahl von Anmeldedaten geworden sind – von ungesicherten Netzwerken bis hin zu ungepatchten E-Mail-Servern.

Die drei Hauptangriffspunkte, die Ihre Daten gefährden

Die Offenlegung von Anmeldedaten geht in der Regel auf eine Handvoll wiederkehrender Quellen zurück. Erstens gibt es öffentliche Datenbanken, oft das Ergebnis eines Unternehmens, das einen Server nicht richtig absichert und Benutzernamen, E-Mails und Passwörter offen einsehbar für jedermann (einschließlich automatisierter Scraper) hinterlässt. Zweitens sind öffentliche Code-Repositories ein hartnäckiges Problem. Entwickler committen gelegentlich API-Schlüssel, Token oder hartcodierte Passwörter in öffentliche Repositories, und Bots sind speziell darauf ausgelegt, kontinuierlich nach solchen Fehlern zu suchen.

Drittens, und zunehmend relevant, ist Prompt Injection. Da immer mehr Menschen und Unternehmen mit KI-Chatbots und -Assistenten interagieren, haben Angreifer Wege gefunden, diese Tools so zu manipulieren, dass sie sensible Informationen preisgeben oder Nutzer sogar auf gefälschte Anmeldeseiten lenken. Diese Taktik erfordert überhaupt keinen Einbruch in eine Datenbank. Sie nutzt das Vertrauen aus, das Nutzer in KI-generierte Antworten setzen, was sie schwerer erkennbar macht als eine herkömmliche Phishing-E-Mail.

Jeder dieser Angriffspunkte funktioniert unabhängig, weshalb die Überwachung auf mehreren Ebenen erfolgen muss, anstatt sich auf eine einzige Schutzmaßnahme zu verlassen.

Tools wie Have I Been Pwned, um Leaks zu überwachen

Die gute Nachricht ist, dass Sie keine spezielle Sicherheitsausbildung benötigen, um zu überprüfen, ob Ihre Zugangsdaten irgendwo aufgetaucht sind, wo sie nicht hingehören. Have I Been Pwned unterhält eine ständig aktualisierte Bibliothek bekannter Datenschutzverletzungen und Info-Stealer-Dumps, die es jedem ermöglicht, seine E-Mail-Adresse zu durchsuchen und zu sehen, ob sie in einem bekannten Leck aufgetaucht ist. Der Dienst ist kostenlos, weithin vertrauenswürdig und einer der einfachsten ersten Schritte, um Ihre tatsächliche Gefährdung zu verstehen, statt zu raten.

Über dieses einzelne Tool hinaus können Passwort-Manager mit integrierter Leck-Überwachung wiederverwendete oder kompromittierte Passwörter automatisch kennzeichnen, und einige Browser bieten mittlerweile native Warnungen, wenn ein gespeichertes Passwort mit bekannten geleakten Zugangsdaten übereinstimmt. Diese Tools regelmäßig zu nutzen, statt sie nur einmalig zu prüfen, ist wichtig, weil ständig neue Datenschutzverletzungen und Leaks auftauchen. Was heute sauber ist, muss es nächsten Monat nicht mehr sein.

Praktische Schritte, um Ihre Konten jetzt abzusichern

Sobald Sie wissen, wo Sie stehen, sind die Lösungen einfach, auch wenn sie etwas Disziplin erfordern. Beginnen Sie damit, die Wiederverwendung von Passwörtern vollständig zu unterbinden. Wenn ein Dienst kompromittiert wird, geben wiederverwendete Zugangsdaten Angreifern den Schlüssel zu jedem anderen Konto, das mit demselben Passwort verknüpft ist. Ein Passwort-Manager macht das Erstellen und Speichern eindeutiger, komplexer Passwörter mühelos.

Aktivieren Sie die Multi-Faktor-Authentifizierung überall dort, wo sie angeboten wird, und bevorzugen Sie nach Möglichkeit App-basierte Authentifikatoren gegenüber SMS-Codes. Seien Sie vorsichtig bei KI-Chatbots und -Assistenten, insbesondere wenn sie Links oder Anleitungen generieren, die Logins betreffen; überprüfen Sie diese unabhängig, anstatt blind zu klicken. Behandeln Sie schließlich jeden Code, den Sie schreiben oder öffentlich teilen, mit derselben Sorgfalt, die Sie einem Passwort entgegenbringen würden, denn offengelegte Geheimnisse in Repositories bleiben eine der stilleren, aber beständigeren Quellen für das Durchsickern von Anmeldedaten.

Was das für Sie bedeutet

KI-Bots, die Anmeldedaten stehlen, sind keine ferne, abstrakte Bedrohung. Sie sind eine Erweiterung von Angriffen, die bereits Mainstream-Plattformen und alltägliche Nutzer getroffen haben. Die zunehmende Automatisierung bedeutet, dass diese Kampagnen schneller und breitflächiger agieren als zuvor, doch die für Einzelpersonen verfügbaren Schutzmaßnahmen – eindeutige Passwörter, Multi-Faktor-Authentifizierung und regelmäßige Leck-Überwachung – bleiben wirksam gegen sie. Die Organisationen, die mit Spionage in Verbindung stehende digitale Operationen verfolgen, einschließlich Forscher, die eine von China unterstützte Spionagekampagne gegen Journalisten und Aktivisten aufgedeckt haben, verweisen immer wieder auf dieselben Grundlagen: Kennen Sie Ihre Angriffsfläche und schließen Sie die Lücken, bevor jemand anderes sie findet.

Umsetzbare Erkenntnisse

Überprüfen Sie noch heute Ihre E-Mail-Adressen mit Have I Been Pwned und wiederholen Sie die Prüfung regelmäßig, nicht als einmalige Aufgabe. Verwenden Sie einen Passwort-Manager, falls Sie noch keinen haben, und nutzen Sie ihn, um wiederverwendete Passwörter auf all Ihren Konten zu beseitigen. Aktivieren Sie die Multi-Faktor-Authentifizierung für jedes Konto, das sie unterstützt. Bleiben Sie skeptisch gegenüber Login-Links oder Anleitungen, die über KI-Chatbots bereitgestellt werden, und überprüfen Sie sie unabhängig. Zusammengenommen werden diese Gewohnheiten Sie nicht unsichtbar für automatisierte Angriffe auf Zugangsdaten machen, aber Sie werden zu einem weit weniger lohnenden Ziel.