Ein Crunchbase-Datenleck-Eintrag bei Have I Been Pwned hat 559.908 E-Mail-Adressen in eine durchsuchbare öffentliche Datenbank eingetragen. Laut einem Bericht von TechNadu wurden die Daten am 14. Oktober 2026 in den Datenschutzverletzungs-Benachrichtigungsdienst aufgenommen, und die Adressen gehören größtenteils zu Leads und Geschäftskontakten. Der Eintrag folgt einem „Zahlen oder Leaken"-Erpressungsversuch der Gruppe ShinyHunters im Januar 2026.

Wenn Sie sich jemals bei Crunchbase angemeldet haben, in dessen Vertriebspipeline aufgenommen wurden oder E-Mails mit jemandem ausgetauscht haben, der dort arbeitet, lohnt sich eine kurze Überprüfung.

Was geleakt wurde und wie ShinyHunters hierher kam

Crunchbase ist ein Privatunternehmen, das für seine Datenbank mit Geschäfts- und Startup-Informationen bekannt ist. Laut dem Bericht gehören die 559.908 E-Mail-Adressen, die sich jetzt bei Have I Been Pwned (HIBP) befinden, größtenteils zu Leads und Geschäftskontakten, nicht zu gewöhnlichen Verbraucherkonten. HIBP listet in seinem Eintrag zu dem Vorfall auch zusätzliche Datentypen auf. Der von uns eingesehene Auszug führt nicht jedes Feld auf, daher ist der HIBP-Eintrag selbst der beste Ort, um genau zu sehen, was offengelegt wurde.

Der zeitliche Ablauf ist wichtig. Im Januar 2026 zielte ShinyHunters mit dem, was der Bericht einen „Zahlen oder Leaken"-Erpressungsversuch nennt, auf Crunchbase. Die Gruppe gab an, dass die angeblich erlangten Daten mehr als 2 Millionen Datensätze umfassten. Der Eintrag vom Oktober deutet darauf hin, dass der Streit damit endete, dass die Daten kursierten, wobei der Auszug des Berichts nicht im Detail erläutert, wie oder wo sie veröffentlicht wurden.

Beachten Sie die Diskrepanz zwischen den Zahlen. Die 559.908 Adressen in HIBP sind nicht dasselbe wie die Behauptung der Gruppe von über 2 Millionen Datensätzen. Datensätze und eindeutige E-Mail-Adressen sind verschiedene Dinge, und HIBPs Zählung spiegelt wider, was in seine Datenbank geladen wurde. Erpressergruppen erheben oft große Behauptungen, daher sollten die Zahlen getrennt betrachtet werden, bis weitere Details bekannt werden.

Dies ist ein bekanntes Muster. Unsere Berichterstattung darüber, wie die Gentlemen-Ransomware-Gruppe Ansprüche zu MoneyGram, Deloitte und KFC auflistete, zeigt, wie Lösegeldfristen und öffentliche Behauptungen als Druckmittel eingesetzt werden, und warum das Fehlen oder Vorhandensein von Datenproben wichtig ist, wenn beurteilt wird, ob eine Behauptung echt ist.

So überprüfen Sie, ob Ihre E-Mail in Have I Been Pwned ist

Die Überprüfung dauert weniger als eine Minute:

  1. Gehen Sie zur Website von Have I Been Pwned und geben Sie Ihre E-Mail-Adresse in das Suchfeld ein.
  2. Überprüfen Sie die Liste der angezeigten Datenschutzverletzungen. Wenn Crunchbase darunter ist, war Ihre Adresse in den geleakten Daten enthalten.
  3. Öffnen Sie den Crunchbase-Eintrag, um zu sehen, welche Datentypen neben Ihrer Adresse offengelegt wurden.
  4. Wiederholen Sie die Suche für jede Adresse, die Sie verwenden, insbesondere Arbeitsadressen und ältere Adressen aus früheren Jobs.

Ein Detail, das viele Menschen übersehen: Da dieses Leck größtenteils aus Geschäftskontakten besteht, ist es wahrscheinlicher, dass Ihre Arbeits-E-Mail darunter erscheint als eine private. Überprüfen Sie beide. Sie können auch die Benachrichtigungsfunktion von HIBP nutzen, damit Sie alarmiert werden, falls Ihre Adresse in zukünftigen Datenschutzverletzungen auftaucht.

Ein sauberes Ergebnis ist keine Garantie für Sicherheit. HIBP deckt nur Datenschutzverletzungen ab, die in es geladen wurden, daher ist es ein nützliches Signal, aber keine vollständige Prüfung Ihrer Exposition.

Warum exponierte Geschäftskontakte gezieltem Phishing ausgesetzt sind

Eine geleakte Liste von Geschäftskontakten ist für Angreifer aus einem bestimmten Grund wertvoll: Sie verrät ihnen, wer wo arbeitet und wer ein Sales-Lead, Käufer oder Entscheidungsträger sein könnte. Dieser Kontext macht Betrug überzeugender als generischer Spam.

Erwarten Sie Nachrichten, die auf Ihre Rolle, Ihre Branche oder eine plausible Anbieterbeziehung verweisen. Eine E-Mail, die von einem Datenanbieter, einem potenziellen Kunden oder einem Finanzkontakt zu stammen scheint, wird eher geöffnet, wenn der Absender Ihr Geschäft zu kennen scheint. E-Mails, die Sie drängen, „Ihr Konto zu verifizieren", eine Rechnung zu öffnen oder ein Gespräch auf einen anderen Kanal zu verlagern, verdienen besondere Skepsis.

Das zweite Risiko ist Credential Stuffing. Wenn exponierte Daten Passwörter enthalten oder Sie ein Crunchbase-Passwort woanders wiederverwendet haben, können Angreifer dieselbe E-Mail- und Passwortkombination bei anderen Diensten ausprobieren. Wiederverwendete Passwörter machen aus einer einzigen Datenschutzverletzung viele.

Erpresserbanden sind auch in ein breiteres kriminelles Ökosystem eingebunden. Jüngste Strafverfolgungsaktivitäten, wie die Beschlagnahmung von Hacking-Plattformen und die Überstellung eines Ransomware-Verdächtigen nach Deutschland, zeigen, dass der Druck auf diese Welt wächst, aber geleakte Daten tendieren dazu, lange weiter zu kursieren, nachdem die ursprüngliche Gruppe zerschlagen wurde.

Was das für Sie bedeutet

Wenn Ihre Adresse in den Crunchbase-Daten enthalten ist, ist Ihre E-Mail allein keine Katastrophe. Das praktische Risiko besteht darin, dass Sie zu einem leichteren Ziel für überzeugende, personalisierte Nachrichten werden. Wenn Sie ein Team leiten, gilt dasselbe für Kollegen, deren Adressen im Leck auftauchen, da Angreifer sich als Sie ausgeben könnten, um sie zu erreichen.

Schritte, die Sie unternehmen sollten, wenn Ihre E-Mail exponiert wurde

  • Ändern Sie Ihr Crunchbase-Passwort, wenn Sie ein Konto haben, und ändern Sie es überall dort, wo Sie es wiederverwendet haben.
  • Verwenden Sie einen Passwort-Manager, um für jeden Dienst ein eindeutiges Passwort zu erstellen, damit eine Datenschutzverletzung nicht eine andere entsperren kann.
  • Aktivieren Sie Multi-Faktor-Authentifizierung, vorzugsweise mit einer Authenticator-App oder einem Hardware-Schlüssel statt SMS.
  • Verifizieren Sie unerwartete Anfragen über einen anderen Kanal. Wenn eine E-Mail nach Zahlung, Anmeldedaten oder sensiblen Dateien fragt, bestätigen Sie dies über eine Telefonnummer oder einen Kanal, dem Sie bereits vertrauen, nicht über einen in der Nachricht angegebenen.
  • Informieren Sie Ihr IT- oder Sicherheitsteam, wenn eine Arbeitsadresse betroffen ist, damit es auf Identitätsbetrugsversuche achten kann.
  • Seien Sie vorsichtig mit Links und Anhängen in Nachrichten, die auf Ihren Job oder Ihr Unternehmen verweisen, selbst wenn der Absender bekannt erscheint.

Das Fazit

Der Crunchbase-Datenleck-Eintrag bei Have I Been Pwned ist eine Erinnerung daran, dass ein Erpressungsversuch Monate später in einem öffentlichen Leck enden kann. Durchsuchen Sie noch heute Ihre privaten und beruflichen E-Mail-Adressen in Have I Been Pwned und arbeiten Sie dann die oben genannten Schutzmaßnahmen durch. Für mehr Kontext dazu, wie sich Druckkampagnen wie diese entfalten, lesen Sie unsere Berichterstattung über die weiter oben in diesem Beitrag verlinkten Gentlemen-Ransomware-Ansprüche.