LeakBase abgeschaltet: Warum Ihre Daten trotzdem weiter kursieren

Anfang März 2026 gelang internationalen Strafverfolgern einer der wichtigsten Schläge gegen den Untergrundhandel mit gestohlenen Daten. Unter dem Codenamen Operation Leak legten Behörden aus 14 Staaten das Cybercrime-Forum LeakBase still. Für Sie als Verbraucher ist aber eine andere Frage entscheidend: Was passiert mit den Daten, die dort bereits den Besitzer gewechselt haben?

Die Anatomie der Operation Leak: Fakten und Ablauf

Der Schlag gegen LeakBase war das Ergebnis langer, koordinierter Ermittlungen, die am 3. und 4. März 2026 in einer weltweit abgestimmten Aktion gipfelten. Federführend waren das US-Justizministerium (DOJ) und das FBI. Europol koordinierte die Aktion von Den Haag aus über die Joint Cybercrime Action Taskforce (J-CAT), das Europäische Zentrum zur Bekämpfung der Cyberkriminalität (EC3) kartierte die Infrastruktur des Forums. Beteiligt waren Australien, Belgien, Deutschland, Griechenland, Kanada, Kosovo, Malaysia, die Niederlande, Polen, Portugal, Rumänien, Spanien, das Vereinigte Königreich und die USA.

Der Ablauf hatte zwei Phasen. Am 3. März liefen weltweit rund 100 Maßnahmen wie Durchsuchungen, Festnahmen und Befragungen an der Haustür, gezielt gegen die 37 aktivsten Nutzer. Am 4. März übernahmen die Behörden die Domain, seitdem zeigt sie nur noch einen Beschlagnahme-Hinweis. Wie viele Personen genau festgenommen wurden, hat Europol nicht beziffert. Die offiziellen Eckdaten finden Sie in der Pressemitteilung von Europol zur Zerschlagung von LeakBase.

Was auf LeakBase gehandelt wurde: Datenbanken und Stealer-Logs

LeakBase war kein verstecktes Darknet-Angebot, sondern ein englischsprachiges Forum im ganz normalen Internet. Gehandelt wurden vor allem zwei Arten von Ware. Erstens komplette Kundendatenbanken aus Firmen-Hacks, also Namen, E-Mail-Adressen, Telefonnummern und teils Passwörter. Zweitens sogenannte Stealer-Logs. Dahinter steckt Schadsoftware (Infostealer), die sich unbemerkt auf einem Rechner einnistet und dort alles einsammelt, was der Browser gespeichert hat: Passwörter, Cookies, Kreditkartendaten. Stellen Sie sich einen Einbrecher vor, der nicht Ihren Fernseher mitnimmt, sondern heimlich alle Schlüssel an Ihrem Schlüsselbrett nachmacht.

Gerade Stealer-Logs sind tückisch, weil sie oft auch Sitzungs-Cookies enthalten. Mit einem solchen Cookie kann sich ein Angreifer unter Umständen als bereits angemeldeter Nutzer ausgeben, ohne Ihr Passwort überhaupt zu kennen. Russische Ermittler sprachen nach der Festnahme des mutmaßlichen Betreibers von Hunderten Millionen Nutzerkonten, Bankdaten und Zugangsdaten, die über die Plattform verbreitet worden seien.

Warum die Abschaltung kein Aufatmen erlaubt

Der wichtigste und zugleich unbequemste Punkt: Mit der Abschaltung ist die Gefahr nicht gebannt. Die Daten, die einmal auf der Plattform zirkulierten, befinden sich in einem Zustand der „digitalen Unsterblichkeit“. Jeder Käufer hat seine Kopie heruntergeladen. Die Behörden haben den Marktplatz beschlagnahmt, nicht die Festplatten von 142.000 Nutzern weltweit.

Hinzu kommt der bekannte Hydra-Effekt. Nur wenige Tage nach der Beschlagnahme tauchte LeakBase unter einer neuen Domain wieder auf, abgeschirmt durch einen russischen DDoS-Schutzdienst. Andere Händler weichen auf Telegram-Kanäle und geschlossene Gruppen aus. Für Sie heißt das: Die Spur Ihrer Daten wird nicht kürzer, sondern unübersichtlicher.

Ob Ihre Adresse schon in einem bekannten Datenleck steckt, lässt sich in einer Minute klären. Kostenlos prüfen, ob Ihre E-Mail-Adresse in Leaks auftauchtEigenwerbung

Das unaufhaltsame Phänomen Credential Stuffing

Credential Stuffing bedeutet: Angreifer probieren gestohlene Kombinationen aus E-Mail-Adresse und Passwort vollautomatisch bei Hunderten anderer Dienste aus, wie ein Dieb, der einen gefundenen Schlüssel an jeder Haustür der Straße testet. Dafür laden sie sogenannte „Combo-Lists“ aus Foren wie LeakBase herunter und lassen Bot-Programme die Anmeldungen durchspielen. Selbst wenn nur ein winziger Bruchteil der Versuche gelingt, lohnt sich das bei Millionen von Kombinationen, solange Nutzer ihre Passwörter mehrfach verwenden.

Die gute Nachricht: Credential Stuffing lässt sich mit zwei Maßnahmen weitgehend entschärfen. Ein eigenes Passwort pro Dienst macht die gestohlene Kombination woanders wertlos. Eine zweite Sicherung per Zwei-Faktor-Authentisierung, wie sie das BSI empfiehlt, verhindert, dass ein Passwort allein genügt. Noch einen Schritt weiter gehen Passkeys, die gar kein stehlbares Passwort mehr kennen. Wie Sie diese sauber aktivieren, zeigt unsere Anleitung zum Einrichten von Passkeys samt typischer Fehler.

Was eine DSGVO-Löschanfrage hier leisten kann und was nicht

Viele Betroffene fragen sich, ob sie ihre Daten nicht einfach „löschen lassen“ können. Hier ist Ehrlichkeit wichtig: Eine Löschanfrage nach Art. 17 DSGVO wirkt bei Unternehmen, die sich an europäisches Recht halten. Kriminelle Forenbetreiber und die Käufer von Datenpaketen gehören nicht dazu. Die Kopien in Hackerkreisen lassen sich auf diesem Weg nicht zurückholen, von niemandem.

Was Sie beeinflussen können, ist der Wert dieser Daten. Ein geändertes Passwort macht einen alten Datensatz nutzlos. Ein geschlossenes Konto bietet keine Angriffsfläche mehr. Und wenn Sie frühzeitig erfahren, dass Ihre Adresse in einem neuen Leak auftaucht, können Sie reagieren, bevor Betrüger es tun. Genau dafür ist das Darknet-Radar gedacht: Es gleicht Ihre Adresse fortlaufend mit neuen Datenlecks ab. Darknet-Überwachung für Ihre E-Mail-Adresse einrichtenEigenwerbung

Handlungsempfehlungen: Den digitalen Fußabdruck bereinigen

• Passwörter entflechten: Ändern Sie zuerst jedes Passwort, das Sie bei mehr als einem Dienst verwenden. Beginnen Sie mit E-Mail-Postfach, Onlinebanking, PayPal und Amazon. Ein Passwort-Manager nimmt Ihnen das Merken ab.
• Zweiten Faktor aktivieren: Schalten Sie Zwei-Faktor-Authentisierung oder Passkeys überall ein, wo es angeboten wird, allen voran beim E-Mail-Konto, denn darüber lassen sich alle anderen Passwörter zurücksetzen.
• Geräte auf Infostealer prüfen: Stealer-Logs stammen von infizierten Rechnern. Halten Sie Betriebssystem und Browser aktuell, lassen Sie einen Virenscan laufen und melden Sie sich nach einem Verdacht überall ab, damit gestohlene Sitzungs-Cookies ungültig werden.
• Inventur und Löschung: Suchen Sie aktiv nach alten Konten und löschen Sie sie beim Anbieter. Nur die App vom Handy zu entfernen, reicht nicht.
• Auf Phishing gefasst sein: Geleakte Adressen landen in Betrugskampagnen. Misstrauen Sie Mails, die sich auf „Sicherheitsvorfälle“ berufen und zu schneller Passwortänderung über einen Link drängen. Rufen Sie die Seite des Anbieters immer selbst auf.

Sie möchten nicht bei jedem neuen Leak selbst suchen müssen? Frühwarnung bei neuen Datenlecks aktivierenEigenwerbung

Update: Mutmaßlicher LeakBase-Betreiber in Russland festgenommen (März 2026)

Wenige Wochen nach Operation Leak meldete das russische Innenministerium am 26. März 2026 die Festnahme des mutmaßlichen Eigentümers und Administrators von LeakBase. Es handelt sich laut Berichten um einen 33-jährigen Mann aus Taganrog in der Region Rostow, der in der Szene unter Pseudonymen wie „Chucky“ auftrat. Ihm wird unter anderem unerlaubter Zugriff auf Computerinformationen vorgeworfen. Eine Auslieferung an die USA ist angesichts der politischen Lage kaum zu erwarten, ein Verfahren läuft daher in Russland.

Für Betroffene ändert die Festnahme wenig: Sie trifft den Betreiber, nicht die Käufer. Die im Forum gehandelten Datenpakete bleiben im Umlauf, und die Auswertung der beschlagnahmten Datenbank durch die Ermittler dient vorrangig der Strafverfolgung, nicht der Benachrichtigung einzelner Opfer. Die Schutzschritte oben bleiben deshalb auch ein halbes Jahr nach dem Takedown aktuell.