PayPal Data Breach 2026: 15,8 Mio. Zugangsdaten & Working Capital Leck

Rund um PayPal sind 2026 zwei Vorgänge zusammengefallen, die in der Berichterstattung ständig vermischt werden, obwohl sie technisch nichts miteinander zu tun haben. Wer beide auseinanderhält, versteht sofort, welches Risiko ihn tatsächlich betrifft und welche Schutzmaßnahme wirklich etwas bringt.

Auf der einen Seite steht ein interner Fehler im Bereich "PayPal Working Capital" (PPWC), dem Kreditprogramm für Geschäftskunden: Eine fehlerhafte Code-Änderung machte Datensätze monatelang für Unbefugte einsehbar. Auf der anderen Seite kursiert im Darknet ein Paket mit 15,8 Millionen Zugangsdaten, das als "PayPal-Leak" beworben wird. Dieses Paket stammt nach Einschätzung mehrerer Sicherheitsforscher nicht aus einem Einbruch bei PayPal, sondern aus Schadsoftware auf den Rechnern der Nutzer. Genau das macht es in der Praxis oft gefährlicher als ein klassisches Serverleck, denn diese Schadsoftware nimmt mehr mit als nur ein Passwort.

Vorfall 1: Das Working Capital Leck (PPWC)

Auslöser war keine Hackergruppe, sondern eine Code-Aktualisierung, die PayPal im Juli 2025 ausgerollt hat. Sie öffnete im Kreditprogramm für Geschäftskunden einen Zugriffspfad, der dort nicht hingehörte. Aufgefallen ist der Fehler erst am 12. Dezember 2025, geschlossen wurde er nach Unternehmensangaben einen Tag später, am 13. Dezember 2025. Dazwischen liegen knapp fünf Monate, in denen ein begrenzter Bestand an Datensätzen für Unbefugte lesbar war.

Offengelegt wurden dabei nicht nur Namen und Geschäftsanschriften, sondern auch E-Mail-Adressen, Telefonnummern, Geburtsdaten und, im US-Markt, Sozialversicherungsnummern. PayPal betont, die internen Systeme selbst seien nicht kompromittiert worden, setzte die Passwörter der betroffenen Konten zurück und bot den Betroffenen zwei Jahre kostenlose Kreditüberwachung über Equifax an. Die Zahl der Betroffenen gibt das Unternehmen mit etwa 100 an.

Warum "nur rund 100 Betroffene" kein Grund zur Entwarnung ist

Die Zahl klingt klein, und gemessen an der Nutzerbasis ist sie das auch. Entscheidend ist aber nicht die Menge, sondern die Tiefe: Wer Name, Geburtsdatum, Anschrift und Steuer-Identifikationsnummer einer Person in einem einzigen Datensatz beisammen hat, besitzt kein Werbeprofil mehr, sondern ein vollständiges Identitäts-Set. Solche Datensätze werden nicht massenhaft verramscht, sie werden gezielt eingesetzt.

Das Risiko dahinter heißt synthetischer Identitätsdiebstahl. Kriminelle setzen aus echten Fragmenten (etwa Ihrer Steuer-Identifikationsnummer) und erfundenen Angaben eine neue, auf dem Papier existierende Person zusammen. Diese Kunstfigur verhält sich über Monate unauffällig, zahlt kleine Beträge pünktlich und baut so eine Kredithistorie auf. Erst dann wird der Rahmen ausgereizt und die Identität fallen gelassen. Für den realen Menschen, dessen Kennnummer im Spiel war, ist der Vorgang schwer nachzuweisen und noch schwerer zu korrigieren.

Die kostenlose Kreditüberwachung, die PayPal den Betroffenen über Equifax angeboten hat, musste bis zum 30. Juni 2026 aktiviert werden. Wer diese Frist verstreichen ließ, steht seit dem Sommer 2026 ohne diesen Schutzschirm da und ist auf eigene Vorsorge angewiesen.

Vorfall 2: 15,8 Millionen Zugangsdaten durch Infostealer

Parallel dazu bot ein Verkäufer in einem einschlägigen Forum ein rund 1,1 Gigabyte großes Paket an, angepriesen als globaler PayPal-Datenbestand mit 15,8 Millionen Kombinationen aus E-Mail-Adresse, Passwort und Login-Adresse. Der Preis lag im einstelligen Dollarbereich, was allein schon gegen exklusive Frischware spricht.

Hier ist Nüchternheit angebracht, denn die Schlagzeile trägt weiter als der Sachverhalt: PayPal bestreitet einen Einbruch in die eigenen Systeme und verweist auf einen Vorfall aus dem Jahr 2022, bei dem Angreifer durch automatisiertes Durchprobieren erbeuteter Passwörter (Credential Stuffing) etwa 35.000 Konten erreichten. Sicherheitsforscher, die das Paket gesichtet haben, halten es überwiegend für eine Neuverpackung: eine Mischung aus Protokolldateien von Schadsoftware und bereits bekannten älteren Sammlungen. Ein frischer Serverhack bei PayPal ist daraus bislang nicht belegt.

Diese Einordnung ist keine Entwarnung, sondern eine Verschiebung des Problems. Wenn die Daten aus Infostealern stammen, liegt das Leck nicht beim Zahlungsdienstleister, sondern auf dem heimischen Rechner. Ein Infostealer ist ein kleines Schadprogramm, das über gefälschte Software-Downloads, manipulierte Werbeanzeigen oder Anhänge auf das Gerät gelangt und dort binnen Sekunden den Browser leerräumt: gespeicherte Passwörter, hinterlegte Zahlungsdaten und, besonders heikel, die aktiven Sitzungs-Cookies.

Praktisch heißt das: Die Reihenfolge entscheidet. Erst das Gerät prüfen und bereinigen, dann alle aktiven Sitzungen zentral beenden (bei PayPal über die Sicherheitseinstellungen), danach die Passwörter erneuern. Das BSI empfiehlt Verbrauchern zusätzlich, den Browser so einzustellen, dass er Cookies beim Schließen automatisch verwirft. Das verkürzt die Zeitspanne, in der ein gestohlener Stempel überhaupt noch gültig ist.

Wer den Anmeldevorgang dauerhaft entschärfen will, kommt an einem Umstieg auf Passkeys kaum vorbei: Sie hinterlassen kein Passwort, das ein Infostealer auslesen könnte. Wie die Einrichtung Schritt für Schritt funktioniert, zeigt unsere Anleitung zum Einrichten von Passkeys auf Handy und Rechner.

Die Phishing-Welle 2026: hier wird das Leck zu Geld gemacht

Gestohlene Daten liegen selten lange herum, sie werden verwertet. Seit dem Frühjahr 2026 zeigt sich das an einer auffällig professionellen Welle gefälschter PayPal-Nachrichten, vor der auch Verbraucherschützer warnen. Drei Muster tauchen dabei immer wieder auf:

• Die gefälschte Rechnung: Betrüger nutzen die echte "Geld anfordern"-Funktion von PayPal und verschicken darüber Zahlungsaufforderungen an beliebige Adressen. Diese Mails kommen tatsächlich aus dem PayPal-System, passieren deshalb jeden Spamfilter und tragen korrekte Absenderangaben. Der Betrug steckt allein im Inhalt.
• "Ihre Karte wurde entfernt": Eine angebliche Änderung an Ihren Zahlungsmitteln, die Sie nie vorgenommen haben, soll Sie zum sofortigen Klick auf den Bestätigungslink verleiten.
• Die Frist: "Ihre Telefonnummer ist noch nicht bestätigt", verbunden mit einem konkreten Stichtag, ab dem das Konto eingeschränkt werde. Zeitdruck schaltet das Misstrauen aus, genau dafür ist er gedacht.

Die Gegenmaßnahme ist unspektakulär und wirkt trotzdem zuverlässig: Öffnen Sie Ihr Konto grundsätzlich über die App oder durch manuelles Eintippen der Adresse im Browser, niemals über einen Link in einer Nachricht. Steht dort eine echte Forderung, sehen Sie sie auch im Konto. Die Verbraucherzentrale beschreibt die aktuellen PayPal-Maschen mit konkreten Beispielen, auch für den Fall, dass plötzlich Geld von Unbekannt auf Ihrem Konto eingeht.

Bemerkenswert ist, warum diese Nachrichten so gut treffen. Sie sprechen Menschen mit Namen an, nennen Wohnort oder Kaufgewohnheiten und wirken dadurch persönlich. Dieses Wissen stammt selten aus dem Leck selbst, sondern aus dem Handel mit Werbeprofilen. Schutz vor neuen Datenspuren einrichten setzt deshalb genau dort an, wo der Nachschub für die persönliche Ansprache herkommt.

Die Rolle der Datenbroker: Warum Sie jetzt handeln müssen

Ein Datenleck ist selten das Ende, sondern der Anfang einer Verwertungskette. Die Fragmente Ihrer Identität (E-Mail-Adresse, Anschrift, Kaufverhalten, Gerätekennungen) landen in den Datenbanken von Datenbrokern. Diese Unternehmen setzen Informationen aus vielen Quellen zu einem zusammenhängenden Profil zusammen, im Fachjargon "Information Clustering". Zu den reichweitenstärksten Adressen im deutschsprachigen Raum zählen Acxiom, Schober, AZ Direct und Deutsche Post Direkt, im Werbetechnik-Umfeld LiveRamp, Criteo oder The Trade Desk.

Dabei arbeiten nicht alle Marktteilnehmer gleich sorgfältig. Schwarze Schafe geben Datensätze weiter, ohne den Empfänger ernsthaft zu prüfen. Auf diesem Weg kann ein Profil, das ursprünglich für Werbezwecke angelegt wurde, in Händen landen, für die es nie bestimmt war. Für den Betroffenen ist das nicht nachvollziehbar, weil er nie erfahren hat, dass das Profil überhaupt existiert. Man nennt solche Sammlungen deshalb Schattenprofile.

Genau hier setzt Datenputzer an. Wir können geleakte Passwörter nicht aus kriminellen Foren zurückholen, das wäre ein unseriöses Versprechen, und niemand kann es halten. Was wir tun, ist der wirksame Teil: Wir versenden für Sie Löschanfragen nach Art. 17 DSGVO an über 100 Werbe-, Adress- und Adtech-Broker und fordern die Löschung der Daten, für deren Verarbeitung keine Rechtsgrundlage mehr besteht. Ohne dieses angereicherte Umfeld bleibt ein gestohlener Login ein nacktes Datenpaar, aus dem sich weder eine glaubwürdige Ansprache noch ein überzeugender Identitätsbetrug bauen lässt.

Vergessene Accounts als Einfallstor

Ein zweites, oft unterschätztes Risiko sind "Zombie-Accounts": alte Konten bei Shops und Diensten, die Sie längst vergessen haben, die aber häufig noch mit demselben Passwort geschützt sind wie Ihr PayPal-Konto. Angreifer probieren erbeutete Kombinationen automatisiert bei hunderten Anbietern durch (Credential Stuffing, das systematische Rütteln an jeder digitalen Türklinke) und brauchen nur einen einzigen Treffer.

Unser Tiefenscan übernimmt an dieser Stelle die Inventur: Wir prüfen, wo Ihre E-Mail-Adresse im Netz registriert ist, damit Sie verwaiste Konten gezielt schließen können, bevor jemand anderes sie als Hintertür nutzt. Wie Sie dabei methodisch vorgehen, beschreibt unser Leitfaden zum Aufspüren und Schließen alter Accounts.

Ihr Recht auf Schadensersatz nach einem Datenleck

Es gibt auch eine juristische Dimension, und sie hat sich in den vergangenen Jahren deutlich zugunsten der Betroffenen entwickelt. Der Europäische Gerichtshof entschied am 4. Mai 2023 (Az. C-340/21), dass Art. 82 DSGVO keine Erheblichkeitsschwelle kennt: Ein Schaden muss nicht spürbar groß sein, um ersatzfähig zu sein. Der Bundesgerichtshof hat diese Linie für Deutschland konkretisiert, unter anderem im Facebook-Scraping-Verfahren (Urteil vom 18. November 2024, Az. VI ZR 10/24) und mit Urteil vom 11. Februar 2025 (Az. VI ZR 365/22).

Der Kern dieser Rechtsprechung lässt sich in einem Satz zusammenfassen: Bereits der Verlust der Kontrolle über die eigenen Daten kann ein immaterieller Schaden sein, auch ohne nachgewiesenen Missbrauch und ohne konkreten finanziellen Verlust. Die begründete Sorge, dass die Daten künftig missbraucht werden, genügt. Ob daraus im Einzelfall ein durchsetzbarer Anspruch wird, hängt vom Sachverhalt ab und gehört in die Hände einer Rechtsberatung.

Fazit: Proaktiver Schutz schlägt jede Benachrichtigung

Warten Sie nicht auf ein Schreiben. Beim PPWC-Vorfall lagen zwischen dem auslösenden Fehler und seiner Entdeckung knapp fünf Monate, und das ist branchenüblich, nicht die Ausnahme. In dieser Zeitspanne, die Fachleute "Dwell Time" nennen, sind Daten längst kopiert und weitergereicht. Vier Schritte bringen Sie in eine bessere Ausgangslage:

• Zuerst das Gerät, dann das Passwort: Prüfen Sie Rechner und Handy auf Schadsoftware und beenden Sie alle aktiven Sitzungen, bevor Sie neue Zugangsdaten vergeben. Umgekehrt übergeben Sie das neue Passwort direkt an die Angreifer.
• Für jeden Dienst ein eigenes Kennwort: Ein Passwort-Manager erledigt das Merken. Wo Passkeys angeboten werden, sind sie die bessere Wahl, weil es nichts mehr zu stehlen gibt.
• Frühwarnung einrichten: Lassen Sie sich benachrichtigen, wenn Ihre Adresse in einer neuen Leak-Sammlung auftaucht, statt selbst regelmäßig nachzusehen.
• Die Datenbasis austrocknen: Lassen Sie Ihre Profile bei Werbe- und Adressbrokern per Art.-17-Löschanfrage anfordern, damit gestohlene Logins ohne Kontext bleiben.

Die ersten beiden Schritte erledigen Sie an einem Abend. Den vierten nimmt Ihnen ein Dienst ab, weil er aus hundert einzelnen Anschreiben, Fristen und Nachfassungen besteht: Löschanfragen an über 100 Broker anstoßen.

Update September 2026: BGH bestätigt den Kontrollverlust als Schaden

Am 23. Juni 2026 hat der Bundesgerichtshof seine Linie zum immateriellen Schadensersatz erneut bekräftigt (Az. VI ZR 97/22). In dem Verfahren hatte ein Bankmitarbeiter eine vertrauliche Nachricht über ein Karrierenetzwerk versehentlich an einen unbeteiligten Dritten geschickt, samt Angaben zu einem laufenden Bewerbungsverfahren und einer Gehaltsvorstellung. Der BGH sprach der betroffenen Person einen Anspruch nach Art. 82 DSGVO zu und stellte klar: Auch ein kurzzeitiger Verlust der Kontrolle über personenbezogene Daten kann ein ersatzfähiger immaterieller Schaden sein, ein tatsächlich eingetretener Missbrauch ist nicht erforderlich. Den Kontrollverlust selbst muss die betroffene Person allerdings weiterhin darlegen.

Für Betroffene von Datenlecks ist das eine spürbare Erleichterung, denn es senkt die Hürde weiter, an der Ansprüche in der Praxis am häufigsten scheitern: der Nachweis eines konkreten Schadens. Wer nach einem Leck Ansprüche prüfen lassen möchte, sollte deshalb festhalten, wann er wovon erfahren hat, und die Benachrichtigung des Unternehmens aufbewahren.

Die zweite Entwicklung des Sommers 2026 ist weniger erfreulich: Die Anmeldefrist für die von PayPal angebotene kostenlose Kreditüberwachung über Equifax ist am 30. Juni 2026 abgelaufen. Für die Betroffenen des PPWC-Vorfalls endet damit das vom Unternehmen finanzierte Sicherheitsnetz, sobald die zwei Jahre der bereits Angemeldeten auslaufen. Diese Lücke schließt nur eigene Vorsorge.

Häufige Fragen zum PayPal Data Breach 2026