Zugangsdaten im Darknet gefunden: Was jetzt zu tun ist

Ein Dienstleister, ein Versicherer oder ein Exposure-Check meldet: Zugangsdaten Ihrer Firma sind im Darknet aufgetaucht. Kein Grund zur Panik – aber ein klarer Arbeitsauftrag mit Zeitdruck. Denn zwischen Leak und Missbrauch liegt ein Zeitfenster, das Sie nutzen können: Passwörter zurücksetzen, Konten überwachen, Einfallstore schließen. Hier die sieben Schritte in der richtigen Reihenfolge.

Vorweg zur Einordnung: Ein Fund ist der Normalfall, kein Ausnahmeereignis. Laut dem Credential Risk Report 2026 von Enzoic entdeckten 73 Prozent der Unternehmen binnen eines Jahres gestohlene Zugangsdaten von Mitarbeitenden oder Partnern (Börse Express, 30.07.2026); allein im ersten Halbjahr 2026 sammelten Infostealer laut Flashpoint rund 1,7 Milliarden Zugangsdaten von 7,4 Millionen infizierten Geräten ein (Infosecurity Magazine, 17.08.2026). Entscheidend ist nicht, dass etwas gefunden wurde – sondern was Sie in den nächsten 48 Stunden tun.

Schritt 1: Den Fund bewerten – nicht jeder Treffer ist ein Notfall

Drei Fragen entscheiden über die Dringlichkeit:

• Wie frisch ist der Fund? Ein Eintrag aus einer alten, vielfach kopierten Leak-Sammlung von 2019 ist ein Hygiene-Thema. Infostealer-Daten von letzter Woche sind ein Alarm – sie stammen von einem aktuell infizierten Gerät. Den Unterschied erklären wir ausführlich im Beitrag zu Infostealern und Combolists. Infostealer vs. Combolist: Die Quelle entscheidet über das Risiko
• Was genau ist enthalten? Nur die E-Mail-Adresse? E-Mail plus Passwort (Klartext oder Hash)? Oder komplette Stealer-Logs mit Session-Cookies und gespeicherten Logins? Je vollständiger der Datensatz, desto höher die Priorität.
• Welche Konten betrifft es? Ein Admin-Konto oder die Geschäftsführung wiegt schwerer als ein Funktionspostfach. Prüfen Sie auch: Gilt das geleakte Passwort möglicherweise noch – oder wurde es ohnehin längst geändert?

Ein seriöser Monitoring-Anbieter liefert diese Bewertung mit (Frische, Quelle, Konten-Ebene). Haben Sie nur eine Rohliste, ist die Bewertung Ihr erster Arbeitsschritt. Bei vielen Treffern gilt für die Abarbeitung eine einfache Reihenfolge: zuerst Admin- und Geschäftsführungskonten, dann Konten mit Zugriff auf extern erreichbare Dienste (VPN, M365, Fernwartung), dann der Rest – und frische Stealer-Funde immer vor alten Combolist-Treffern.

Schritt 2: Passwörter zurücksetzen – gezielt und sofort

Für alle betroffenen Konten: Passwort ändern und aktive Sitzungen beenden (Session-Invalidierung – sonst bleibt ein Angreifer trotz neuem Passwort eingeloggt). Wichtig: Das geleakte Passwort überall dort mitändern, wo es ebenfalls verwendet wurde. Genau diese Wiederverwendung ist der Mechanismus, mit dem Angreifer aus einem Shop-Leak einen Firmenzugang machen. Credential Stuffing: Vom Shop-Leak zum Firmeneinbruch

Schritt 3: MFA prüfen und nachrüsten

Für die betroffenen Konten – und bei der Gelegenheit für alle extern erreichbaren Dienste: Ist Multi-Faktor-Authentifizierung aktiv? Bei Stealer-Funden zusätzlich prüfen, ob MFA-Methoden manipuliert wurden (neue registrierte Geräte oder Authenticator-Einträge). Geleakte Passwörter ohne zweiten Faktor sind ein offenes Tor; mit MFA sind sie meist wertlos.

Schritt 4: Bei Stealer-Funden das Quellgerät finden

Stammen die Daten aus einem Infostealer-Log, ist irgendwo ein Gerät infiziert – oft ein privater Rechner mit gespeicherten Firmen-Logins (Homeoffice, BYOD) oder ein Firmenlaptop. Das Log verrät meist den Gerätenamen. Das Gerät muss gefunden und bereinigt werden, sonst liefert es weiter frische Daten – und gestohlene Session-Cookies können Logins sogar an MFA vorbei ermöglichen. Dann hilft nur: Sitzungen global invalidieren.

Schritt 5: Anmeldeprotokolle auf Missbrauch prüfen

Die zentrale Frage: Wurden die Daten schon benutzt? Prüfen Sie für die betroffenen Konten die Sign-in-Logs (Microsoft 365/Entra, VPN, Webmail): Anmeldungen aus ungewöhnlichen Ländern, zu untypischen Zeiten, fehlgeschlagene Serien (Credential-Stuffing-Muster), neu eingerichtete Weiterleitungsregeln in Postfächern. Finden Sie Missbrauchsspuren, ist es kein Leak-Fund mehr, sondern ein Sicherheitsvorfall – dann gilt Schritt 7.

Schritt 6: Betroffene informieren und Prozesse schärfen

Die betroffenen Mitarbeitenden sollten wissen, dass ihre Daten kursieren – mit konkreter Ansage: Erhöhte Phishing-Gefahr (Angreifer kennen jetzt echte Namen und Kontexte), private Konten mit demselben Passwort umstellen, künftig Passwortmanager nutzen. Prüfen Sie zugleich die Regel, dass Firmen-Mailadressen nicht für private Dienste registriert werden. Ohne diese Nacharbeit wiederholt sich der Fund in sechs Monaten.

Schritt 7: Bei Missbrauchsverdacht – Incident Response, Meldepflichten prüfen

Gibt es Hinweise auf tatsächlichen Zugriff (fremde Logins, Weiterleitungsregeln, Datenabfluss), behandeln Sie den Fall als Vorfall: forensische Sicherung, strukturierte Reaktion und die Prüfung von Meldepflichten – DSGVO (72 Stunden bei Risiko für Betroffene), für NIS2-regulierte Unternehmen die 24-Stunden-Erstmeldung ans BSI bei erheblichen Vorfällen. Spätestens hier lohnt professionelle Unterstützung. Incident Response: Soforthilfe bei kompromittierten Konten

Und danach? Vom Einmal-Fund zum laufenden Prozess

Ein Fund ist eine Momentaufnahme. Neue Leaks und Stealer-Infektionen passieren laufend – die sinnvolle Konsequenz ist, die Entdeckungszeit dauerhaft zu verkürzen: kontinuierliches Darknet Monitoring für die eigenen Domains, kombiniert mit der Überwachung der Anmeldungen (damit ein benutztes Konto sofort auffällt). Darknet Monitoring von Valyros: laufende Überwachung Ihrer Domains Wie viel das kostet und wann es sich rechnet, haben wir transparent aufgeschlüsselt. Darknet Monitoring: Kosten, Preismodelle & ROI

Wenn Sie aktuell gar nicht wissen, ob und wie stark Ihre Domains betroffen sind: Der kostenlose Exposure-Check liefert ein klares Bild – mit maskierten Passwörtern und Frische-Bewertung je Fund. Jetzt kostenlosen Exposure-Check anfragen

Quellen

• Börse Express: Gestohlene Logins – 73 % der Firmen betroffen (Enzoic Credential Risk Report 2026, 30.07.2026): https://www.boerse-express.com/news/articles/gestohlene-logins-73-der-firmen-betroffen-nur-19-geschuetzt-933761
• Infosecurity Magazine: Infostealers Harvest 1.7 Billion Credentials in Six Months (Flashpoint 2026 Global Threat Intelligence Report: Midyear Edition, 17.08.2026): https://www.infosecurity-magazine.com/news/infostealers-17-billion/