Dateien einer Freelance-Plattform tauchen in einem Hacker-Forum auf

Ein Datenleck bei Paidwork hat mehr als 23 Millionen Nutzerdatensätze in die Hände von Kriminellen gelangen lassen, wie Berichte über den Vorfall bestätigen. Hacker veröffentlichten fast 11 GB an Daten von Paidwork, einer Plattform, die Freelancer mit bezahlten Aufgaben verbindet, und legten so E-Mail-Adressen, Bankdaten und bcrypt-gehashte Passwörter von Millionen Konten offen. Das Leck tauchte im Juli 2026 auf und wurde über Have I Been Pwned gemeldet, den Benachrichtigungsdienst für Datenpannen, der kompromittierte Zugangsdaten im gesamten Web verfolgt.

Was diesen Vorfall besonders macht, ist nicht nur die schiere Menge – 23 Millionen Datensätze sind zwar eine beachtliche Zahl –, sondern die Art der betroffenen Daten. Freelance- und Gig-Work-Plattformen erfassen häufig Bankdaten, um Auszahlungen abzuwickeln, sodass ein Leck hier neben den üblichen Risiken des Identitätsdiebstahls auch ein finanzielles Risiko birgt. Wenn Bankdaten zusammen mit E-Mail-Adressen und Passwörtern in derselben geleakten Datei auftauchen, ist diese Kombination für Kriminelle weit wertvoller als jede einzelne Information für sich.

Welche Daten offengelegt wurden und warum das wichtig ist

Laut den vorliegenden Berichten enthält der geleakte Datensatz E-Mail-Adressen der Nutzer, Bankdaten und mit bcrypt-Hashing geschützte Passwörter. Bcrypt ist ein weithin anerkannter Hashing-Algorithmus, und sein Einsatz ist ein kleiner Lichtblick: Bei korrekter Implementierung macht er Passwörter deutlich schwerer zu knacken als ältere oder schwächere Hash-Verfahren. Dennoch sind gehashte Passwörter nicht dasselbe wie verschlüsselte Passwörter. Mit genügend Zeit, Rechenleistung und schwachen oder wiederverwendeten Passwörtern auf Nutzerseite wird ein Teil dieser Hashes früher oder später geknackt.

Die Bankdaten sind hier das größere Problem. Anders als ein Passwort lässt sich eine Bankkontonummer nicht einfach zurücksetzen, wenn sie in einem Leck auftaucht. Je nachdem, was genau offengelegt wurde (Kontonummern, Auszahlungsdetails oder verknüpfte Finanzkennungen), droht den betroffenen Nutzern ein längerfristiges Risiko – von gezielten Phishing-Versuchen bis hin zu versuchten nicht autorisierten Transaktionen. Dieses Muster ähnelt dem, was beim ADT-Datenleck geschah, bei dem offengelegte persönliche Daten Millionen von Kunden noch lange nach den ersten Schlagzeilen einem dauerhaften Risiko aussetzten.

E-Mail-Adressen sind unterdessen das Bindeglied, das Datenpannen noch lange nach dem Vorfall gefährlich macht. Eine bestätigte, gültige E-Mail-Adresse, die mit einem echten Plattformkonto verknüpft ist, ist für Betrüger, die Phishing-Kampagnen aufbauen, Gold wert. Wir haben dies bereits erlebt, als geleakte Reisebuchungsdaten eine Phishing-Welle gegen Reisende antrieben, bei der Angreifer echte, kompromittierte Informationen nutzten, um ihre Nachrichten weit überzeugender zu machen als eine gewöhnliche Spam-E-Mail.

Die Auswirkungen auf die Privatsphäre gehen über eine einzelne Plattform hinaus

Es ist verlockend, jeden Datenschutzvorfall isoliert zu betrachten, doch die eigentliche Gefahr von Vorfällen wie dem Paidwork-Leck ist kumulativ. Jeder Datensatz, der online durchsickert, wird zu einem weiteren Puzzleteil, das Angreifer mit zuvor gestohlenen Informationen kombinieren können. Eine E-Mail-Adresse, gepaart mit einem Teil der Bankdaten aus einem Leck und einem Passwortmuster aus einem anderen, kann ausreichen, um Konten bei völlig anderen Diensten zu kompromittieren – insbesondere dann, wenn ein Nutzer Zugangsdaten wiederverwendet hat.

Das erinnert auch daran, dass keine Nutzerbasis zu klein oder zu nischig ist, um nicht ins Visier zu geraten. Plattformen der Gig Economy verarbeiten sensible Finanzdaten von Millionen Menschen, die sich vielleicht nicht als hochwertige Ziele sehen, doch die schiere Anzahl der Konten macht diese Plattformen für Angreifer attraktiv – unabhängig davon, wer sie nutzt. Wie es in Sicherheitskreisen immer häufiger heißt, und wie sich selbst auf höchster Ebene zeigte, als die E-Mail des FBI-Direktors gehackt wurde, ist niemand immun, nur weil man annimmt, kein Ziel zu sein.

Was das für Sie bedeutet

Wenn Sie ein Paidwork-Konto besitzen oder besessen haben, sollten Sie diesen Vorfall als bestätigte Offenlegung Ihrer E-Mail-Adresse und möglicherweise auch Ihrer Bankdaten und des Passwort-Hashes betrachten. Die praktischen Schritte sind einfach, aber wichtig. Ändern Sie sofort Ihr Paidwork-Passwort und ändern Sie es überall dort, wo Sie dasselbe oder ein ähnliches Passwort verwendet haben könnten. Aktivieren Sie, sofern angeboten, die Zwei-Faktor-Authentifizierung. Überwachen Sie Ihr Bankkonto und Ihre Auszahlungsmethode auf ungewöhnliche Aktivitäten und ziehen Sie in Betracht, Ihre Bank zu kontaktieren, falls Ihnen etwas Ungewöhnliches auffällt.

Sie können mithilfe von Have I Been Pwned auch überprüfen, ob Ihre E-Mail-Adresse in diesem oder anderen Vorfällen aufgetaucht ist – der Dienst ist kostenlos und wird genau für diesen Zweck vielfach genutzt.

Umsetzbare Handlungsempfehlungen

  • Aktualisieren Sie jetzt Ihr Paidwork-Passwort und vermeiden Sie die Wiederverwendung auf anderen Websites.
  • Aktivieren Sie die Zwei-Faktor-Authentifizierung, wo immer verfügbar, insbesondere für Konten, die mit Bankgeschäften oder Auszahlungen verknüpft sind.
  • Überwachen Sie Ihre Kontoauszüge in den nächsten Wochen genau auf nicht autorisierte Transaktionen.
  • Seien Sie skeptisch bei unerwarteten E-Mails, die sich auf Paidwork, Auszahlungen oder Kontoverifizierung beziehen; behandeln Sie sie als potenzielle Phishing-Versuche.
  • Nutzen Sie einen Passwort-Manager, um für jedes Konto einzigartige Passwörter zu generieren und so den Schaden zu begrenzen, den ein einzelnes Datenleck verursachen kann.

Das Paidwork-Datenleck erinnert daran, dass die Offenlegung von Finanzdaten nicht auf Banken und Zahlungsdienstleister beschränkt ist. Jede Plattform, die Auszahlungen abwickelt, ist ein Ziel, und die Verantwortung für die eigene Sicherheit liegt zunehmend bei den Nutzern selbst – durch gute Passwort-Hygiene und wachsame Aufmerksamkeit gegenüber nachfolgenden Betrugsversuchen.