Discord Datenleck 2025/2026: EU-Transparenz & Vendor-Hack

In den letzten Monaten hat eine Serie von Sicherheitsvorfällen die Gaming- und Kommunikationsplattform Discord erschüttert. Was als gut gemeinte Initiative für mehr regulatorische Transparenz begann, endete in einer massiven Bloßstellung von Millionen von Nutzern.

Besonders brisant: Viele Betroffene fragen sich derzeit: "Sind auch meine E-Mail-Adressen und sogar Ausweisdokumente geleakt?" Die Antwort ist komplex, da wir es mit zwei völlig unterschiedlichen, aber gleichermaßen verheerenden Lecks zu tun haben. In diesem Artikel analysieren wir die Fakten und zeigen Ihnen, wie Sie Ihre digitale Identität schützen können.

1. Das "Transparenz-Leck": Wie die EU-Datenbank zum Überwachungstool wurde

Der erste Vorfall ist an Ironie kaum zu überbieten. Um den Anforderungen des Digital Services Act (DSA) der Europäischen Union gerecht zu werden, musste Discord (vertreten durch Discord Netherlands B.V.) Content-Moderationsentscheidungen an die öffentliche DSA-Transparenzdatenbank der EU-Kommission melden.

Die Snowflake-ID-Falle

Anstatt die Daten zu anonymisieren, übermittelte Discord die sogenannten Snowflake IDs (interne, 17- bis 18-stellige Nutzer-Identifikatoren) im Klartext. Da diese IDs fest mit einem Profil verknüpft sind, konnten findige Entwickler Tools erstellen, die diese Daten wieder mit Klarnamen verknüpften.

Was wurde exponiert?
Disziplinarhistorien, Sperrgründe (z. B. Belästigung oder Spam) und exakte Zeitstempel. Jeder konnte über die ID eines Nutzers dessen gesamte "Strafakte" auf Discord einsehen, ein Albtraum für die soziale Reputation.

2. Der Vendor-GAU: Geleakte E-Mails und Ausweisdokumente

Die weitaus gefährlichere Krise ereignete sich im September 2025. Hierbei handelte es sich nicht um einen Fehler in der Datenübermittlung, sondern um einen gezielten Hackerangriff auf die Infrastruktur eines Drittanbieters. Betroffen war der niederländische Kundensupport-Dienstleister 5CA, über dessen Zugang sich Angreifer Zutritt zum Ticketsystem verschafften. Discord bestätigte später, dass ein einziger kompromittierter Support-Zugang genügte, um an die Datenberge zu gelangen.

Sind E-Mail-Adressen betroffen? Ja, massiv. Während das EU-DSA-Leck keine direkten Kontaktdaten enthielt, wurden beim Hack des Kundensupport-Systems sensible Daten exfiltriert. Nach Angaben von Discord waren rund 70.000 hochauflösende Ausweisbilder betroffen, die zuvor für die Prüfung von Altersnachweisen eingereicht worden waren. Zu der Tat bekannte sich eine als "Scattered Lapsus$ Hunters" auftretende Gruppierung, die von Discord Lösegeld forderte (Erpressung, im Fachjargon "Ransom-Extortion"). Wer bei einem solchen Leck mit gestohlenen Ausweisdaten rechnen muss, sollte auch die typischen Folgeschäden kennen, die wir im Ratgeber zum Identitätsdiebstahl im Detail beleuchten.

Lassen Sie nicht zu, dass Kriminelle mit Ihren Ausweisdaten Identitätsbetrug begehen. Jetzt digitalen Fußabdruck bereinigen!

3. Die Ursache: Der Zwang zur Altersverifizierung

Hinter dem massiven Datenberg bei den Support-Dienstleistern steht unter anderem das britische Online Safety Act (OSA). Dieses Gesetz zwang Discord dazu, das Alter der Nutzer strikt zu prüfen. Da Discord die manuelle Prüfung an BPO-Partner (Business Process Outsourcing) auslagerte, landeten Millionen von Ausweiskopien auf Servern von Drittfirmen, wo sie trotz gegenteiliger Löschversprechen gespeichert blieben.

Warum Datenbroker das Problem verschlimmern

Ein Datenleck bei Discord ist für Hacker erst dann richtig wertvoll, wenn sie die Daten mit anderen Informationen verknüpfen können. Hier kommen Datenbroker ins Spiel. Diese Firmen sammeln Informationen aus hunderten Quellen und erstellen "Schattenprofile" von fast jedem Internetnutzer.

Wenn Ihre Discord-E-Mail-Adresse geleakt wird, nutzen Kriminelle Datenbroker-Datenbanken, um Ihre Telefonnummer, Ihre Wohnanschrift und Ihre Social-Media-Profile zu finden. Das Ergebnis ist perfekt auf Sie zugeschnittenes Spear-Phishing.

Datenputzer schlägt hier zurück: Wir fordern Datenbroker systematisch auf, Ihre Profile zu löschen. Ohne diese angereicherten Daten sind die Informationen aus dem Discord-Leak für Kriminelle wesentlich weniger nützlich.

Was Nutzer jetzt tun müssen

Wenn Sie Discord nutzen, sollten Sie folgende Schritte unternehmen, um sich vor den Folgen des Discord Email Leaks zu schützen. Eine gute allgemeine Orientierung nach einem Datenleck bietet auch das Bundesamt für Sicherheit in der Informationstechnik (BSI):

• Phishing-Radar schärfen: Seien Sie extrem vorsichtig bei E-Mails von "Discord Support" (offiziell nur via noreply@discord.com).
• Zwei-Faktor-Authentifizierung (2FA): Aktivieren Sie 2FA zwingend mit einer App (nicht SMS), um Ihr Konto zu schützen.
• Auskunftsrecht nutzen: Fordern Sie gemäß DSGVO eine Kopie Ihrer Daten bei Discord an, um zu sehen, ob Ausweisdokumente hinterlegt sind.
• Datenlöschung beauftragen: Nutzen Sie einen Service wie Datenputzer, um Ihre Daten bei den Brokern zu löschen, die Hacker als Informationsquelle nutzen.

Fazit: Die Schattenseite der Regulierung

Die Discord-Vorfälle von 2025 und 2026 zeigen eindrucksvoll, dass selbst Gesetze zum Schutz der Nutzer (wie DSA oder OSA) nach hinten losgehen können, wenn die technische Umsetzung mangelhaft ist. Ihre Privatsphäre ist ein bewegliches Ziel: proaktiver Schutz durch Datenminimierung ist die einzige dauerhafte Lösung.

Update Juli 2026: Sammelklage und gestoppte Altersverifizierung

Die Folgen des Vendor-Hacks beschäftigen weiterhin Gerichte und Aufsicht. Seit unserer ersten Analyse haben sich zwei Entwicklungen ergeben, die für Betroffene besonders wichtig sind.

Sammelklage in den USA: Bereits im Oktober 2025 wurde vor dem zuständigen US-Bundesgericht (U.S. District Court, Northern District of California) eine Sammelklage (Class Action) gegen Discord eingereicht. Der Vorwurf lautet, das Unternehmen habe die persönlichen Daten seiner Nutzer nicht ausreichend geschützt. Ein Vergleich oder Urteil lag Mitte 2026 noch nicht vor. Für Betroffene in Deutschland ist wichtig zu wissen: Auch die DSGVO kennt in Artikel 82 einen Anspruch auf Schadenersatz bei unrechtmäßiger Datenverarbeitung. Ob und wie sich ein solcher Anspruch durchsetzen lässt, erklären wir im Ratgeber Entschädigung nach Datenlecks. Unser Schadensersatz-Service (Bestandteil der Tiefenreinigung) weist Sie gezielt auf passende Sammelklagen und Ansprüche nach Art. 82 DSGVO hin.

Altersverifizierung vorerst gestoppt: Im Februar 2026 kündigte Discord an, die Altersprüfung schrittweise weltweit auszurollen. Nach heftigem Protest der Community, die noch die Ausweis-Leaks verarbeitete, ruderte der Konzern zurück. Der technische Vorstand räumte öffentlich ein, man habe "das Ziel verfehlt", und verschob den Start in die zweite Jahreshälfte 2026. Parallel gerieten die eingesetzten Prüf-Dienstleister erneut in die Kritik, nachdem Sicherheitsforscher Programmcode eines Verifizierungs-Anbieters frei zugänglich im Netz fanden. Die Lehre bleibt dieselbe: Jede zusätzliche Stelle, die Ihren Ausweis speichert, ist ein zusätzliches Risiko.