Eine nach Proton benannte Combolist taucht auf Telegram auf

Eine Datei, die unter dem Namen "protonmail.de - 17.570 emails" auf Telegram kursiert, hat die Aufmerksamkeit von Forschern erregt, die den Untergrund-Datenhandel verfolgen. Laut Analysten von HEROIC tauchte die Combolist am 10. Juni auf und enthält 17.570 gestohlene Zugangsdaten, die mit der Domain protonmail.de verknüpft sind. Combolists wie diese sind zusammengestellte Listen von Benutzernamen und Passwörtern, die häufig aus älteren Datenlecks, Schadsoftware-Infektionen oder Credential-Stuffing-Versuchen stammen und dann für den Wiederverkauf oder die kostenlose Verbreitung in Darknet-Foren und auf Messenger-Plattformen neu verpackt werden.

Es lohnt sich, bei der Domain selbst innezuhalten. Der Haupt-E-Mail-Dienst von Proton läuft hauptsächlich unter protonmail.com und proton.me, nicht unter protonmail.de. Dieser Unterschied ist wichtig, denn er beeinflusst, wie ernst Nutzer das Leck einstufen sollten. Eine Combolist, die einen Domain-Namen trägt, bedeutet nicht automatisch, dass die Server dieser Domain kompromittiert wurden. In vielen Fällen werden diese Dateien aus anderswo erbeuteten Zugangsdaten zusammengestellt und dann von den Angreifern entsprechend dem Dienst gekennzeichnet, für den die Anmeldung angeblich gilt. Ob die protonmail.de-Zugangsdaten von einem direkten Einbruch, einer Phishing-Kampagne oder wiederverwerteten Daten aus Stealer-Malware-Protokollen stammen – das praktische Risiko für betroffene Nutzer ist dasselbe: offengelegte Passwörter, die gegen andere Konten getestet werden können.

Warum Combolists gefährlicher sind, als sie klingen

Eine Liste mit 17.570 Zugangsdaten mag im Vergleich zu Datenlecks, die mit Millionen von Datensätzen Schlagzeilen machen, klein wirken. Doch Combolists sind gerade wegen ihrer Verwendungsweise besonders gefährlich. Angreifer füttern diese Dateien routinemäßig in automatisierte Credential-Stuffing-Tools ein, die jede Kombination aus Benutzername und Passwort auf Dutzenden anderer Websites und Dienste ausprobieren. Wenn jemand sein protonmail.de-Passwort für eine Bankseite, ein Shopping-Konto oder einen Arbeits-Login wiederverwendet hat, kann dieser einzelne geleakte Zugang gleich mehrere Türen öffnen.

Genau deshalb sind Tools zur Überwachung von Datenlecks wichtig. Dienste wie der kostenlose Breach-Scanner von HEROIC gleichen E-Mail-Adressen mit einer Datenbank ab, die nach eigenen Angaben mehr als 400 Milliarden kompromittierte und geleakte Datensätze aus Combolists, Stealer-Protokollen und anderen Untergrundquellen enthält. Wenn Sie Ihre E-Mail-Adresse mit einem solchen Scanner überprüfen, können Sie schnell herausfinden, ob Ihre Zugangsdaten in einem bekannten Leck auftauchen – auch in solchen, die mit kleineren oder weniger bekannten Domains zusammenhängen und nie in die Mainstream-Nachrichten gelangen.

E-Mail-Sicherheit nach einem Leck wie diesem neu denken

Für jeden, dessen E-Mail-Adresse in diesem oder einem ähnlichen Leck aufgetaucht ist, sollte die Reaktion einfach sein: Passwort sofort ändern – und es überall dort ändern, wo es wiederverwendet wurde. Die Wiederverwendung von Passwörtern ist nach wie vor einer der häufigsten Gründe, warum ein einzelner geleakter Zugang zu einer umfassenderen Kompromittierung führt. Wenn Sie sich auf Ihr Gedächtnis oder einen Zettel verlassen, anstatt einen Passwort-Manager zu nutzen, können Tools wie Proton Pass für jedes Konto einzigartige Zugangsdaten generieren und speichern – und nehmen so den Anreiz, Passwörter über verschiedene Dienste hinweg wiederzuverwenden.

Dieser Vorfall ist auch ein guter Zeitpunkt, um zu prüfen, welchem E-Mail-Anbieter Sie Ihren Posteingang anvertrauen. Datenschutzorientierte Dienste unterscheiden sich durch ihre Verschlüsselungsstandards, Richtlinien zur Datenaufbewahrung und wie schnell sie Vorfälle gegenüber Nutzern offenlegen. Anbieter wie Tuta, Mailfence und StartMail verfolgen jeweils leicht unterschiedliche Ansätze bei der Ende-zu-Ende-Verschlüsselung und Kontosicherheit. Ein Vergleich kann Ihnen helfen zu entscheiden, ob Ihr aktueller Anbieter noch Ihren Anforderungen entspricht.

Was das für Sie bedeutet

Wenn Sie jemals eine E-Mail-Adresse mit der Domain protonmail.de genutzt haben oder einfach nur beruhigt sein möchten, ist der klügste erste Schritt zu überprüfen, ob Ihre Adresse in diesem oder einem anderen Leck auftaucht. Breach-Scanner, die auf große Combolist- und Stealer-Log-Datenbanken zurückgreifen, können Gefährdungen aufdecken, von denen Sie sonst nie erfahren würden, da nicht jedes Leck Medienberichterstattung erhält. Über die Überprüfung hinaus ist dies auch ein nützlicher Anlass, Ihre allgemeine Passwort-Hygiene zu prüfen. Aktivieren Sie die Zwei-Faktor-Authentifizierung, wo immer sie angeboten wird, vermeiden Sie die Wiederverwendung von Passwörtern und behandeln Sie jede E-Mail-Adresse, die mit Finanz- oder Arbeits-Logins verknüpft ist, als besonders schützenswert.

Umsetzbare Erkenntnisse

  • Lassen Sie Ihre E-Mail-Adresse von einem seriösen Breach-Scanner überprüfen, um festzustellen, ob sie vom protonmail.de-Leck oder anderen Combolists betroffen ist.
  • Wenn Ihre Zugangsdaten irgendwo auftauchen, ändern Sie das Passwort sofort und aktualisieren Sie es auf allen anderen Konten, auf denen es wiederverwendet wurde.
  • Nutzen Sie einen Passwort-Manager, um für jeden von Ihnen genutzten Dienst einzigartige, komplexe Passwörter zu generieren.
  • Aktivieren Sie die Zwei-Faktor-Authentifizierung für E-Mail und alle Konten, die sensible persönliche oder finanzielle Daten enthalten.
  • Überprüfen Sie regelmäßig, welchem verschlüsselten E-Mail-Anbieter Sie vertrauen, da sich die Sicherheitsfunktionen und die Reaktion auf Vorfälle von Dienst zu Dienst stark unterscheiden.

Datenlecks mit Combolists werden so bald wohl nicht verschwinden, aber informiert zu bleiben und schnell zu handeln, wenn Ihre Daten in einem solchen Leck auftauchen, bleibt für normale Nutzer die zuverlässigste Verteidigung.