Ein weiterer SunCloudNew-Stealer-Log mit 5.829 Datensätzen taucht auf

Ein neuer Stealer-Log, der mit dem SunCloudNew-Datensatz in Verbindung steht, hat 5.829 Datensätze mit Klartext-Passwörtern, E-Mail-Adressen und zugehörigen Login-URLs offengelegt, so das Threat-Intelligence-Unternehmen HEROIC. Das DarkHive-Breach-Monitoring-Team des Unternehmens identifizierte die Offenlegung und bietet ein kostenloses Scan-Tool an, das persönliche Daten mit mehr als 400 Milliarden kompromittierten Datensätzen abgleicht, die aus Datenlecks und Malware-Logs gesammelt wurden.

Dies ist nicht die erste mit SunCloudNew verknüpfte Offenlegung, die in den letzten Monaten aufgetaucht ist. Ähnliche Stealer-Logs mit derselben Namenskonvention sind im Laufe des Jahres 2026 wiederholt aufgetaucht, wobei die Datensatzanzahl in früheren Vorfällen von knapp über 3.000 bis zu mehr als 17.000 reichte. Das wiederkehrende Auftreten dieses Namensmusters deutet auf eine aktive Malware-Operation oder eine Gruppe von Bedrohungsakteuren hin, die kontinuierlich gestohlene Zugangsdaten sammeln und weiterverbreiten, und nicht auf ein einmaliges Leak.

Was ein Stealer-Log tatsächlich ist

Anders als bei einem herkömmlichen Datenleck, bei dem Angreifer in die Server eines Unternehmens eindringen und eine Datenbank extrahieren, stammt ein Stealer-Log von etwas Persönlicherem: Malware, die direkt auf dem Gerät des Opfers installiert ist. Informationsdiebstahl-Malware, oft als Infostealer bezeichnet, erntet im Stillen gespeicherte Passwörter, Browser-AutoFill-Daten, Sitzungscookies und sogar Kryptowährungs-Wallet-Zugangsdaten von einem infizierten Computer und sendet diese Informationen dann an den Angreifer.

Die daraus resultierende Datei, bekannt als Stealer-Log, ist typischerweise nach der URL der Website organisiert, zu der ein Passwort gehört, gepaart mit der entsprechenden E-Mail-Adresse und dem Passwort im Klartext. Diese Logs werden häufig auf Untergrundmarktplätze hochgeladen oder zunehmend kostenlos auf Telegram-Kanälen geteilt, auf denen Cyberkriminelle mit gestohlenen Daten handeln. Der SunCloudNew-Log entspricht diesem Muster genau: Berichte beschreiben ihn als eine Datei, die von einem Telegram-Nutzer hochgeladen wurde und Endpunkte, E-Mail-Adressen, API-Host-Informationen und Passwörter enthält – alles im Klartext.

Was Stealer-Logs im Vergleich zu älteren Datenlecks besonders gefährlich macht, ist, dass die Zugangsdaten zum Zeitpunkt des Diebstahls aktuell und unverschlüsselt sind. Es gibt keinen Hash-Algorithmus zu knacken und keinen Salt zu umgehen. Wenn Ihre Zugangsdaten in einem dieser Logs auftauchen, hat ein Angreifer bereits genau das, was er zum Einloggen braucht.

Warum Klartext-Passwörter ein größeres Problem sind, als es klingt

Mit 5.829 Datensätzen ist diese spezielle Offenlegung kleiner als einige der früher im Jahr identifizierten SunCloudNew-Logs, aber die Größenordnung ist hier nicht der einzige entscheidende Faktor. Da die Malware alles erfasst, was der Browser zum Zeitpunkt der Infektion gespeichert hatte, kann ein einziges infiziertes Gerät Zugangsdaten für Dutzende nicht zusammenhängender Dienste liefern: Banking-Portale, geschäftliche E-Mails, soziale Medien und Shopping-Websites – alles gebündelt in derselben Datei.

Genau dieser Bündelungseffekt ist der Grund, warum die Wiederverwendung von Passwörtern ein so hartnäckiges Risiko bleibt. Wenn eines der offengelegten Konten ein Passwort mit einem E-Mail-Konto, einem Finanzdienst oder einem Arbeitsplatz-Login teilt, können Angreifer durch einfaches Ausprobieren von einem einzigen gestohlenen Zugangsdaten-Satz aus in eine viel weitreichendere Kompromittierung vordringen – eine Technik, die als Credential Stuffing bekannt ist.

Was das für Sie bedeutet

Wenn Ihre E-Mail-Adresse in einem Stealer-Log wie diesem auftaucht, bedeutet das in der Regel, dass Malware zu irgendeinem Zeitpunkt auf einem von Ihnen genutzten Gerät vorhanden war, und nicht unbedingt, dass ein Unternehmen, dem Sie vertrauen, gehackt wurde. Diese Unterscheidung ist wichtig, denn die Lösung ist eine andere: Das Ändern eines Passworts nach einem Unternehmens-Leck behebt ein Konto, aber die Bereinigung eines infizierten Geräts und das Ändern jedes darauf gespeicherten Passworts adressiert die eigentliche Quelle des Lecks.

Die praktische Reaktion ist dieselbe, unabhängig davon, in welchem Stealer-Log Ihre Daten auftauchen. Lassen Sie Ihre E-Mail durch ein seriöses Leck-Prüf-Tool laufen, wie etwa den kostenlosen Scanner, den HEROIC für diese Offenlegung bereitgestellt hat, um zu sehen, ob Ihre Informationen unter den 5.829 Datensätzen oder den Milliarden anderer im Umlauf befindlicher Datensätze sind. Wenn Sie einen Treffer erhalten, behandeln Sie jedes zu diesem Zeitpunkt in Ihrem Browser gespeicherte Passwort als kompromittiert, nicht nur das markierte.

Umsetzbare Erkenntnisse

  • Überprüfen Sie Ihre E-Mail-Adresse mit dem kostenlosen Scanner von HEROIC oder einer anderen seriösen Leck-Datenbank, um festzustellen, ob Sie Teil dieser Offenlegung sind.
  • Wenn Sie betroffen sind, ändern Sie das Passwort sofort – nicht nur für das markierte Konto, sondern für jeden anderen Dienst, bei dem Sie es wiederverwendet haben.
  • Führen Sie einen vollständigen Antiviren- und Anti-Malware-Scan auf jedem Gerät durch, auf dem Sie Passwörter im Browser speichern, da Stealer-Logs von infizierten Rechnern stammen, nicht von gehackten Websites.
  • Wechseln Sie zu einem dedizierten Passwort-Manager, anstatt sich auf browser-gespeicherte Passwörter zu verlassen, die ein Hauptziel für Infostealer-Malware sind.
  • Aktivieren Sie die Zwei-Faktor-Authentifizierung überall dort, wo sie angeboten wird, insbesondere bei E-Mail-, Banking- und Arbeitskonten, damit ein gestohlenes Passwort allein nicht ausreicht, um Zugang zu erhalten.

Stealer-Logs wie die SunCloudNew-Offenlegung erinnern daran, dass der Diebstahl von Zugangsdaten zunehmend auf persönlichen Geräten beginnt und nicht auf Unternehmensservern. Dem einen Schritt voraus zu sein bedeutet, Passworthygiene und Gerätesicherheit als fortlaufende Gewohnheiten zu behandeln und nicht als einmalige Maßnahmen nach einer Schlagzeile.