Infostealer vs. Combolist: Die Quelle macht das Risiko

„Ihre Zugangsdaten sind im Darknet aufgetaucht" – dieser Satz kann zwei völlig verschiedene Dinge bedeuten. Fund A: eine E-Mail-Passwort-Kombination aus einer jahrealten, tausendfach kopierten Sammelliste. Fund B: ein frisches Infostealer-Log von einem aktuell infizierten Gerät, inklusive gespeicherter Firmen-Logins und Session-Cookies. Fund A ist Passwort-Hygiene, Fund B ein laufender Sicherheitsvorfall. Wer Darknet-Funde bewerten will, muss diesen Unterschied kennen.

Ein Infostealer ist eine Schadsoftware, die auf einem infizierten Gerät gezielt gespeicherte Zugangsdaten, Browser-Daten, Session-Cookies und Krypto-Wallets absammelt und an die Angreifer sendet. Eine Combolist ist dagegen eine zusammengestellte Liste von E-Mail-Passwort-Kombinationen aus alten Datenlecks – oft über Jahre aggregiert, dedupliziert und immer wieder neu verpackt. Beides landet „im Darknet", beides erzeugt Monitoring-Treffer – aber Risiko und richtige Reaktion unterscheiden sich fundamental.

Das Massenphänomen in Zahlen

Beide Quellen sind riesig, wachsen aber unterschiedlich: Der Threat-Intelligence-Anbieter KELA zählte in seinem Lagebericht rund 2,86 Milliarden kompromittierte Zugangsdaten binnen eines Jahres – aus Marktplätzen, geleakten Archiven und Login-Listen; davon stammten etwa 347 Millionen Datensätze von rund 3,9 Millionen Infostealer-infizierten Rechnern (Borncity, 29.04.2026). Flashpoint wiederum meldete allein für das erste Halbjahr 2026 rund 1,7 Milliarden per Infostealer erbeutete Zugangsdaten von 7,4 Millionen infizierten Geräten – ein Anstieg von 27 Prozent gegenüber dem Vorhalbjahr; die aktivsten Familien: Vidar, StealC und Lumma (Infosecurity Magazine, 17.08.2026).

Die Zahlen stammen aus verschiedenen Erhebungen und sind nicht addierbar – aber der Trend ist eindeutig: Der Anteil frischer Stealer-Daten wächst rasant. Und genau diese Kategorie ist die gefährliche.

Combolist: Alt, massenhaft, aber nicht harmlos

Woher Combolists kommen

Combolists entstehen aus alten Breaches (etwa Shop- und Forenlecks), werden zusammengeführt, umbenannt und immer wieder „neu" veröffentlicht – teils als Milliarden-Einträge-Pakete, die zu großen Teilen Recycling sind. Ein Treffer bedeutet: Irgendwann war diese Kombination in irgendeinem Leck.

Wie gefährlich ist ein Combolist-Treffer?

Das hängt an einer einzigen Frage: Gilt das Passwort noch irgendwo? Wurde es längst geändert und nirgendwo wiederverwendet, ist der Treffer Rauschen. Wird es aber weiterbenutzt – im Firmenkonto, im VPN –, ist es Munition für Credential Stuffing: das automatisierte Durchprobieren solcher Listen gegen Microsoft 365, VPN-Gateways und Webmail. Credential Stuffing: Vom Shop-Leak zum Firmeneinbruch

Richtige Reaktion: Passwort-Status prüfen, bei Wiederverwendung überall ändern, MFA sicherstellen – und die Zahl der künftigen Treffer durch Passwortmanager und das Verbot privater Registrierungen mit Firmen-Adressen senken.

Infostealer-Logs: Frisch, vollständig, akut

Was in einem Stealer-Log steckt

Ein Infostealer-Log ist der Datenabzug eines konkreten infizierten Geräts – typischerweise mit allen im Browser gespeicherten Logins samt Klartext-Passwörtern und zugehörigen URLs, Session-Cookies aktiver Anmeldungen, Autofill-Daten und Systeminformationen (Gerätename, Nutzer). Verbreitet werden die Stealer über Phishing, gecrackte Software und bösartige Werbung; die Logs werden in Telegram-Kanälen und Marktplätzen teils binnen Stunden nach der Infektion gehandelt.

Warum ein Stealer-Fund ein Alarm ist

Drei Gründe machen den Unterschied:

1. Aktualität: Die Daten sind so frisch wie die Infektion – die Wahrscheinlichkeit, dass Passwörter noch gültig sind, ist hoch.
2. Vollständigkeit: Statt einer einzelnen Kombination liefert das Log alle Logins des Geräts samt URL – der Angreifer sieht sofort, dass „vpn.ihrefirma.de" dabei ist.
3. Session-Cookies: Gestohlene Cookies erlauben die Übernahme aktiver Sitzungen – teils an Passwort und MFA vorbei. Ein Passwort-Reset allein genügt dann nicht; alle Sitzungen und Tokens müssen invalidiert werden.

Ein typisches Praxisbeispiel: Im Log eines privaten Rechners stehen neben Streaming- und Shop-Logins auch „portal.kundenfirma.de" und das Webmail des Arbeitgebers – gespeichert im Browser, abgeschöpft in Sekunden. Für den Käufer des Logs ist sofort erkennbar, welcher Zugang das Geld wert ist.

Dazu kommt die Gerätefrage: Irgendwo läuft ein infizierter Rechner. Taucht in den Logs ein Firmenlaptop auf, ist es ein interner Vorfall. Taucht ein Privatgerät mit gespeicherten Firmen-Logins auf (Homeoffice, BYOD), haben Sie ein Richtlinien-Thema. Und stehen dort Zugänge zu Ihren Systemen aus den Logs eines Partners oder Dienstleisters, ist es ein Lieferketten-Risiko.

Richtige Reaktion: Wie bei jedem akuten Fund – Passwörter zurücksetzen, Sitzungen invalidieren, Anmeldeprotokolle prüfen, das infizierte Gerät identifizieren und bereinigen. Die vollständige Schrittfolge haben wir hier beschrieben. Zugangsdaten im Darknet gefunden: 7-Schritte-Soforthilfe

Was das für die Bewertung von Monitoring-Ergebnissen heißt

Für Entscheider ergibt sich eine einfache Prüfmatrix – und ein Qualitätskriterium für jeden Monitoring-Dienst:

• Quelle ausgewiesen? Ein Bericht, der nicht zwischen Combolist und Stealer-Log unterscheidet, ist für die Priorisierung wertlos. 500 alte Combolist-Treffer können unkritischer sein als ein einziges frisches Stealer-Log.
• Frische ausgewiesen? Funddatum und (bei Stealern) Infektionszeitpunkt gehören in jede Meldung.
• Konten statt Zeilen gezählt? Dieselbe Adresse taucht in Dutzenden Listen auf; relevant ist die Zahl der betroffenen Konten, nicht die Rohzeilenzahl – alles andere bläht Berichte künstlich auf.
• Geräte-Kontext bei Stealern? Interne Geräte, Privatgeräte, Partner? Das entscheidet über die Reaktion.

Genau nach diesen Kriterien bewerten wir Funde im Valyros Darknet Monitoring – inklusive Frische-Einstufung und Konten-zählung statt Zeilen-Schau. Darknet Monitoring von Valyros Einen ersten, kostenlosen Überblick über die eigene Lage liefert der Exposure-Check. Exposure-Check: Wie exponiert sind Ihre Domains?

Fazit: Nicht zählen – einordnen

„Wie viele Treffer haben wir im Darknet?" ist die falsche Frage. Die richtige lautet: Wie viele betroffene Konten, aus welchen Quellen, wie frisch – und was tun wir heute? Combolist-Treffer steuern Ihre Passwort-Hygiene, Stealer-Funde Ihre Vorfalls-Reaktion. Wer beides gleich behandelt, verschwendet entweder Ressourcen oder übersieht den Ernstfall.

Quellen

• Borncity: KELA-Report – fast drei Milliarden Zugangsdaten aufgetaucht (29.04.2026): https://borncity.com/news/kela-report-fast-drei-milliarden-zugangsdaten-im-darknet-aufgetaucht/
• Infosecurity Magazine: Infostealers Harvest 1.7 Billion Credentials in Six Months (Flashpoint Midyear Report 2026, 17.08.2026): https://www.infosecurity-magazine.com/news/infostealers-17-billion/