Ein massiver Datenverkauf im Dark Web hat weltweit PayPal-Nutzer aufgeschreckt. Mehr als 15 Millionen Datensätze mit E-Mail-Adressen und Passwörtern kursieren derzeit im Netz – ein Angebot, das für Kriminelle ein gefundenes Fressen ist. Auch wenn PayPal selbst einen aktuellen Angriff abstreitet, raten Experten zur sofortigen Änderung der Zugangsdaten.
Eine Datenbank im Darknet sorgt für Aufruhr
Vor wenigen Tagen wurde im Darknet eine Datenbank mit mehr als 15,8 Millionen PayPal-Zugangsdaten zum Verkauf angeboten – für den Spottpreis von 750 US-Dollar. Die Daten beinhalten laut Analyse nicht nur E-Mail-Adressen und Passwörter im Klartext, sondern auch spezifische URLs, die für automatisierte Angriffe auf Web- und Android-Zugänge genutzt werden können.
Der Verkäufer, ein mutmaßlicher Cyberkrimineller mit dem Pseudonym „Chucky_BF“, preist das Paket als hocheffizient für Credential-Stuffing-Angriffe an – also den automatisierten Versuch, mit denselben Login-Daten auf anderen Plattformen Zugang zu erhalten. Die veröffentlichten Informationen deuten stark darauf hin, dass die Zugangsdaten nicht direkt bei PayPal gestohlen wurden, sondern durch Infostealer-Malware von den Geräten der Nutzer stammen.
PayPal bestreitet aktuellen Vorfall – die Unsicherheit bleibt
PayPal selbst hat sich inzwischen zu dem Vorfall geäußert und einen aktuellen Hack verneint. Der Zahlungsdienstleister gibt an, dass es sich möglicherweise um Daten handelt, die bei einem älteren Vorfall aus dem Jahr 2022 abgeflossen sind. Dennoch bleibt die Unsicherheit unter Nutzern hoch – vor allem, weil viele von ihnen trotz aktivierter Zwei-Faktor-Authentifizierung (2FA) von unautorisierten Zugriffen berichten.
Infostealer und Reuse: Warum viele Konten kompromittiert sind
Die Struktur der geleakten Datensätze lässt stark darauf schließen, dass Infostealer-Malware verwendet wurde, um die Informationen von infizierten Endgeräten zu extrahieren. Diese Schadsoftware wird oft durch Phishing-Mails, manipulierte Downloads oder kompromittierte Webseiten verbreitet und sendet nach erfolgreicher Infektion sämtliche gespeicherten Zugangsdaten an den Angreifer.
Eine alarmierende Tatsache: Laut Studien verwenden bis zu 81 Prozent der Internetnutzer ihre Passwörter mehrfach auf verschiedenen Plattformen. Dadurch erhöht sich das Risiko exponentiell, denn ein kompromittiertes Passwort kann Tür und Tor zu weiteren Diensten öffnen – darunter Banken, Shoppingportale oder soziale Netzwerke.
Credential Stuffing: Niedrige Erfolgsrate, große Wirkung
Beim Credential Stuffing nutzen Cyberkriminelle automatisierte Skripte, um gestohlene Zugangsdaten auf vielen Websites gleichzeitig auszuprobieren. Selbst wenn nur zwei bis drei Prozent der Logins erfolgreich sind, bedeutet das bei Millionen von Datensätzen tausende vollständig kompromittierte Accounts.
Wie kann ich mein gehacktes PayPal-Konto wiederherstellen?
Wurde Ihr PayPal-Konto kompromittiert, ist schnelles Handeln gefragt:
- Passwort sofort zurücksetzen und ein neues, starkes Passwort vergeben.
- Alle verbundenen Geräte, Telefonnummern und E-Mail-Adressen überprüfen und bei Bedarf entfernen oder aktualisieren.
- Verdächtige Transaktionen dem PayPal-Kundensupport über das Resolution Center melden.
- Zwei-Faktor-Authentifizierung aktivieren – vorzugsweise über eine Authenticator-App.
Sicherheitslücken durch SMS-basierte 2FA
Obwohl Zwei-Faktor-Authentifizierung grundsätzlich zusätzlichen Schutz bietet, gilt die SMS-basierte Variante unter Experten als unsicher. Angriffe durch sogenannte SIM-Swaps – bei denen Kriminelle die Mobilfunknummer auf eine eigene SIM-Karte übertragen – sind in der Vergangenheit häufig erfolgreich gewesen.
Ein Nutzer auf Reddit warnt: „Every single PayPal user is an easy target for SIM swapping. Most organizations consider SMS 2-factor as unsecure and require actual authenticators.“ Die Empfehlung lautet daher, auf Apps wie Google Authenticator oder Authy umzusteigen.
Was kann ich tun, wenn mein PayPal-Konto trotz 2FA gehackt wird?
Mehrere Nutzer berichten von Fällen, in denen trotz aktiver Zwei-Faktor-Authentifizierung unautorisierte Zugriffe erfolgten. In solchen Fällen sollten sofort alle Sitzungen abgemeldet und Bankverbindungen temporär entfernt werden. Auch lohnt sich ein Blick in weitergeleitete E-Mails oder Berechtigungen von Drittanbieter-Apps.
Aktuelle Trends bei Phishing und Quishing
Parallel zum PayPal-Vorfall nehmen auch neue Phishing-Varianten stark zu. Eine Studie nennt mehr als 3,7 Milliarden URL-basierte Phishing-Attacken innerhalb von sechs Monaten. Besonders gefährlich ist das sogenannte „Quishing“ – der Versand von QR-Codes mit schädlichen Links, die Benutzer auf gefälschte PayPal-Seiten führen.
Hinzu kommt der zunehmende Einsatz von KI-generierten E-Mails, die immer glaubwürdiger wirken und selbst geschulte Nutzer täuschen können. Studien zeigen, dass diese Mails in bis zu 30 Prozent der Fälle zum Klick auf den schädlichen Link führen.
Wie häufig sollte ich mein PayPal-Passwort ändern?
Ein regelmäßiger Passwortwechsel ist eine der einfachsten Schutzmaßnahmen gegen Account-Hacks. Die Empfehlung lautet, das Passwort nach jedem Sicherheitsvorfall, bei Malware-Verdacht oder spätestens alle sechs Monate zu aktualisieren. Wer unsicher ist, ob seine Daten betroffen sind, kann Online-Tools zur Überprüfung geleakter Zugangsdaten nutzen.
Der wirtschaftliche Schaden – ein unterschätztes Problem
Die finanziellen Folgen von Datenlecks sind enorm. Laut einer Studie von IBM stiegen die durchschnittlichen Kosten eines durch Phishing verursachten Datenlecks auf 4,88 Millionen US-Dollar. Gleichzeitig werden weltweit täglich rund 3,4 Milliarden Phishing-E-Mails verschickt – viele davon gezielt auf Finanzdienste wie PayPal.
Ein weiteres Risiko: Viele Betroffene bemerken unautorisierte Zahlungen zu spät. Obwohl PayPal in vielen Fällen Käuferschutz gewährt, ist schnelles Handeln gefragt. Je früher der Vorfall gemeldet wird, desto höher sind die Chancen auf vollständige Rückerstattung.
Kann ich mein Geld zurückbekommen, wenn mein PayPal-Konto kompromittiert wurde?
Ja. Sobald eine unautorisierte Zahlung festgestellt wird, sollte diese umgehend über das Resolution Center gemeldet werden. PayPal prüft den Fall und erstattet in vielen Fällen den Schaden. Bei Kreditkartenzahlungen kann zusätzlich der Chargeback-Prozess genutzt werden.
Wie schütze ich mich nachhaltig nach einem PayPal-Hack?
Langfristiger Schutz erfordert mehr als einen Passwortwechsel:
- Verwenden Sie einen Passwortmanager, um komplexe und einzigartige Kennwörter zu speichern.
- Aktivieren Sie Zwei-Faktor-Authentifizierung über eine App, nicht per SMS.
- Überwachen Sie regelmäßig Ihre Kontobewegungen und Account-Einstellungen.
- Vermeiden Sie öffentliche Netzwerke beim Login und aktualisieren Sie regelmäßig Ihre Sicherheitssoftware.
Auch psychologisch sollte man sich bewusst machen: Cyberkriminelle nutzen Stress, Zeitdruck und Technik-Unkenntnis gezielt aus – durch präventives Verhalten lässt sich das Risiko drastisch minimieren.
Was sagen die Nutzer? Stimmen aus Reddit und X
Auf sozialen Plattformen wie Reddit und X berichten zahlreiche Nutzer von ihren Erfahrungen. Ein Nutzer erklärt: „I think either you are using weak login credentials, logging onto phishing sites, or your computer itself is compromised.“ Ein anderer ergänzt: „Contact PayPal and explain what happened … look up basic cybersecurity. No reused passwords ever. Everything goes in the password manager.”
Diese Aussagen verdeutlichen, wie viele Nutzer nicht nur betroffen sind, sondern aktiv versuchen, die Ursachen zu verstehen und sich gegenseitig zu helfen.
Ausblick und Handlungsempfehlung
Auch wenn PayPal selbst aktuell keinen neuen Sicherheitsvorfall bestätigt, ist die Gefahr real. Millionen Zugangsdaten kursieren im Netz – und jede einzelne Kombination aus E-Mail und Passwort stellt ein potenzielles Einfallstor für weitere Angriffe dar.
Nutzer sind daher gut beraten, nicht auf eine offizielle Warnung zu warten, sondern proaktiv ihre Konten zu schützen. Der Wechsel zu sicheren Passwörtern, die Nutzung einer Authenticator-App und ein kritischer Blick auf die eigenen Online-Gewohnheiten sind heute kein Extra mehr – sondern digitale Selbstverteidigung.
Wer jetzt handelt, schützt nicht nur sein PayPal-Konto, sondern auch zahlreiche andere Plattformen, auf denen er vielleicht – ohne es zu wissen – dieselben Zugangsdaten nutzt.
