Ein kleines Datenleck mit vertrautem Namen

Eine als „Microsoft 42“ bezeichnete Combolist ist kürzlich online aufgetaucht und enthält 140 offengelegte Anmeldedatensätze, wie der Darknet-Leak-Scanner von HEROIC meldet. Das Unternehmen, das eine Datenbank mit mehr als 400 Milliarden geleakten Datensätzen unterhält, hat die Datei im Rahmen seiner fortlaufenden Überwachung von Combolisten entdeckt, die in Untergrundforen und -marktplätzen kursieren.

Verglichen mit Sicherheitsvorfällen, die Millionen von Konten offenlegen, mögen 140 Datensätze unbedeutend klingen. Doch die Größe einer Combolist hat wenig mit der Gefahr zu tun, die sie für die Personen birgt, deren Anmeldedaten sie enthält. Entscheidend ist, ob diese Kombinationen aus E-Mail und Passwort noch funktionieren und wie viele andere Konten dasselbe wiederverwendete Passwort teilen.

Was eine Combolist tatsächlich ist (und warum der Name zählt)

Eine Combolist ist eine einfache Textdatei, die E-Mail-Adressen oder Benutzernamen mit Passwörtern kombiniert – meist gesammelt aus früheren Leaks, Phishing-Kampagnen oder Malware-Infektionen, nicht aus einem einzelnen neuen Hack. Die Bezeichnung „Microsoft 42“ bedeutet nicht unbedingt, dass Microsoft selbst gehackt wurde. Combolisten werden häufig nach einer Marke, einem Dienst oder einem Thema benannt, um Käufern und kriminellen Foren die Organisation gestohlener Daten zu erleichtern – selbst dann, wenn die Anmeldedaten aus ganz anderen Quellen stammen und einfach neu verpackt wurden.

Diese Namenskonvention kann für oberflächliche Betrachter irreführend sein, macht die zugrunde liegenden Daten aber nicht weniger brauchbar. Angreifer laden Combolisten in automatisierte Tools und setzen sie gegen Bankseiten, E-Mail-Anbieter, Streaming-Dienste und Firmen-Logins ein – eine Technik, die als Credential Stuffing bekannt ist. Wenn auch nur eine Handvoll der 140 Datensätze in diesem Leak Passwörter enthält, die anderswo noch aktiv sind, sind diese Konten gefährdet – unabhängig davon, ob Microsofts eigene Systeme jemals berührt wurden.

Dieses Muster der Wiederverwendung von Zugangsdaten ist Teil eines viel größeren Ökosystems. Größere, schlagzeilenträchtige Vorfälle wie der ShinyHunters-Vishing-Angriff, der Charter getroffen und rund 40 Millionen Datensätze offengelegt hat, speisen dieselbe Untergrund-Lieferkette, aus der auch kleine Combolisten wie diese schöpfen. Gestohlene Zugangsdaten bleiben selten auf ein einziges Leck beschränkt; sie werden gebündelt, weiterverkauft und noch Jahre nach dem ursprünglichen Diebstahl zu neuen Listen rekombiniert.

Warum Microsoft-bezogene Bedrohungen immer wiederkehren

Das Microsoft-Ökosystem, das Outlook, Microsoft 365, Azure und Windows umspannt, ist allein aufgrund seiner Größe ein ständiges Ziel. Angreifer wissen, dass funktionierende Microsoft-Zugangsdaten oft gleichzeitig E-Mail, Cloud-Speicher und Geschäftsanwendungen freischalten – ein hochwertiges Ziel sowohl für einzelne Betrüger als auch für organisierte Bedrohungsakteure.

Das ist auch der Grund, warum Microsoft-orientierte Angriffe über einfache Passwortlecks hinaus eskalieren. Andere Berichte haben detailliert beschrieben, wie der als Storm-2949 verfolgte Akteur die Passwort-Zurücksetzungsflüsse von Microsoft 365 ausnutzte, um Cloud-Daten abzugreifen, und zeigen, wie ein einziges wiederverwendetes oder geleaktes Passwort zum Einstiegspunkt für eine weitaus schädlichere Kompromittierung werden kann. Leaks von Zugangsdaten und Kampagnen zur Kontoübernahme verstärken sich gegenseitig: Durchgesickerte Passwörter ermöglichen Zurücksetzungen und Kontozugriffe, und erfolgreiche Eindringversuche erzeugen neue gestohlene Daten, die schließlich in der nächsten Combolist landen.

Man sollte auch nicht vergessen, dass gestohlene Zugangsdaten zunehmend in Erpressungsaktionen einfließen. Untersuchungen haben gezeigt, dass etwa jede Woche eine neue Ransomware-Gruppe entsteht, und viele dieser Gruppen nutzen gekaufte oder geleakte Anmeldedaten, um sich vor der Ransomware-Ausbringung ersten Zugang zu verschaffen. Eine 140 Datensätze umfassende Combolist mag isoliert betrachtet klein erscheinen, doch sie ist Teil des Rohmaterials, das diese breitere kriminelle Wirtschaft am Laufen hält.

Was das für Sie bedeutet

Wenn Sie ein Microsoft-Konto nutzen – oder ein anderes Konto, bei dem Sie ein Passwort wiederverwendet haben – liegt das praktische Risiko nicht im spezifischen Namen der Combolist. Es geht darum, ob Ihr aktuelles Passwort in irgendeinem geleakten Datensatz auftaucht. Tools wie der kostenlose Leak-Scanner von HEROIC existieren genau aus diesem Grund: Sie erlauben die Suche über Milliarden offengelegter Datensätze hinweg, um zu sehen, ob Ihre E-Mail-Adresse oder Ihr Passwort in einem Leck aufgetaucht ist – ohne dass Sie jeden einzelnen Vorfall selbst aufspüren müssen.

Die sicherste Annahme ist, dass jedes Passwort, das Sie mehr als einmal verwendet haben – besonders auf einer älteren oder weniger sicheren Website – bereits irgendwo kompromittiert wurde. Combolisten wie diese sind nur der jüngste Beleg dafür, dass wiederverwendete Anmeldedaten nach wie vor einer der einfachsten Wege für Angreifer sind, um einzudringen.

Konkrete Maßnahmen für jetzt

  • Überprüfen Sie Ihre E-Mail-Adresse mit einem seriösen Leak-Scan-Tool, um zu sehen, ob sie in bekannten Lecks oder Combolisten auftaucht.
  • Ändern Sie jedes Passwort, das auf mehreren Websites wiederverwendet wurde – zuerst bei E-Mail-, Banking- und Cloud-Konten.
  • Aktivieren Sie Multi-Faktor-Authentifizierung, wo immer verfügbar, insbesondere bei Microsoft-, Google- und Finanzkonten.
  • Nutzen Sie einen Passwort-Manager, um einzigartige, komplexe Passwörter zu generieren, damit ein einzelnes geleaktes Zugangsdatum nicht mehrere Konten öffnen kann.
  • Überprüfen Sie Ihre Konten regelmäßig, statt anzunehmen, eine einmalige Prüfung sei genügend – neue Combolisten tauchen ständig auf.

Kleine Lecks wie die Combolist „Microsoft 42“ machen selten große Schlagzeilen, erinnern aber daran, dass der sorgsame Umgang mit Zugangsdaten genauso wichtig ist, nachdem ein Leak bekannt wurde, wie in Zeiten, in denen scheinbar gar nichts passiert.