Mit PayPal zahlen ist für viele Verbraucher Alltag. Doch nun sollten Nutzer ihre PayPal-Zugangsdaten dringend ändern (Foto: dpa).
Foto: Silas Stein
PayPal-Zugangsdaten: Hacker bieten Millionen Datensätze an
Im Darknet sorgt derzeit ein brisantes Angebot für Aufsehen: Ein Hacker versucht, rund 15,8 Millionen PayPal-Zugangsdaten zu verkaufen – und das zum Spottpreis von 750 US-Dollar, umgerechnet etwa 640 Euro. Enthalten sein sollen E-Mail-Adressen, Passwörter im Klartext sowie weitere Informationen. Die Datenmenge umfasst laut Angaben des Verkäufers etwa 1,1 GByte.
Ob die PayPal-Daten tatsächlich aus einem Angriff auf den Bezahldienst selbst stammen, ist allerdings fraglich. Experten gehen eher davon aus, dass die Informationen über Schadsoftware auf den Computern von Nutzern abgegriffen wurden. Diese sogenannte Malware sammelt dort gespeicherte Zugangsdaten und stellt sie Kriminellen zur Verfügung.
Zweifel an einem direkten Angriff auf PayPal-Daten
Dass PayPal selbst Ziel eines erfolgreichen Angriffs wurde, halten Fachleute für unwahrscheinlich. Dirk Knop vom Fachdienst „Heise“ erklärt: „Da die Passwörter definitiv nicht als Klartext von Paypal kommen, wurden sie entweder auf einem anderen Weg ergattert (Info-Stealer, Credential Stuffing) oder es gibt eine andere Erklärung für diese Behauptung.“ Auch Troy Hunt, Betreiber des Projekts Have-I-Been-Pwned, ordnet die Daten als vermutlich aus älteren Quellen stammend ein.
Ein weiteres Indiz: Der Preis. Echte, aktuelle PayPal-Zugangsdaten wären weit mehr wert als die geforderten 750 US-Dollar. Der Verkäufer selbst räumt zudem ein, dass die Daten nicht ordentlich sortiert seien. Damit steigt die Wahrscheinlichkeit, dass es sich um eine Mischung aus älteren Leaks handelt.
So können Nutzer ihre Daten überprüfen
Für Verbraucher ist es dennoch ratsam, auf Nummer sicher zu gehen. Wer wissen möchte, ob seine E-Mail-Adresse in den Datenbanken auftaucht, kann dies auf Plattformen wie Have-I-Been-Pwned oder beim Identity Leak Checker des Hasso-Plattner-Instituts überprüfen.
Ergibt die Suche einen Treffer, sollte sofort gehandelt werden. Das bedeutet: Das PayPal-Passwort ändern und auch überall dort, wo dasselbe Kennwort verwendet wurde. Denn identische Passwörter wirken wie ein Generalschlüssel für Kriminelle. Ein sicheres Passwort sollte zudem ausschließlich einmal vergeben werden.
PayPal-Passwort ändern – so geht es!
Das Ändern des Passworts funktioniert nicht in der App, sondern ausschließlich über die PayPal-Website. Nutzer loggen sich auf paypal.com ein, klicken auf das Zahnrad-Symbol unter „Sicherheit“ und können dort das Passwort neu festlegen. Noch besser ist es, gleich die Zwei-Faktor-Authentifizierung zu aktivieren.
Wer die Sicherheit weiter erhöhen möchte, sollte künftig Passwortmanager nutzen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt solche Programme ausdrücklich. Sie helfen, individuelle, starke Kennwörter zu erstellen und zu verwalten.
PayPal-Zugangsdaten: Verdächtige Aktivitäten im Blick behalten
Neben dem Ändern des Passworts gilt es, die eigenen Kontobewegungen im Auge zu behalten. Ungewöhnliche Login-Aktivitäten, nicht autorisierte Zahlungen oder verdächtige E-Mails, die angeblich von PayPal stammen, sind Warnsignale. Betroffene sollten umgehend den Bezahldienst kontaktieren und im Ernstfall auch Anzeige bei der Polizei erstatten. Screenshots und Kontoauszüge können als Nachweis dienen.
Die Diskussion um gestohlene PayPal-Zugangsdaten zeigt erneut die Schwächen klassischer Passwörter. Immer wieder tauchen Datensätze im Internet auf, oft handelt es sich um Neuauflagen älterer Leaks. Die Zukunft könnte daher den sogenannten Passkeys gehören. Dabei handelt es sich um kryptografische Schlüsselpaare, die eine Anmeldung ohne Passwort ermöglichen. Sie können weder erraten noch einfach gestohlen werden.
Gespeichert werden Passkeys etwa auf Sicherheits-USB-Sticks, in Betriebssystemen wie Android, iOS oder Windows oder in kompatiblen Passwortmanagern. Damit könnte die Gefahr durch Datendiebstahl künftig deutlich reduziert werden.
