Stripe-Datenleck August 2026: 688.000 Kundendaten im Umlauf

Die schnelle Antwort: Am 18. August 2026 ist auf einem Cybercrime-Forum ein 35 Gigabyte großer Datensatz mit 688.363 Kundendatensätzen aus Onlineshops aufgetaucht. Nicht der Zahlungsdienstleister Stripe wurde eingebrochen, sondern geheime Zugangsschlüssel einzelner Händler gelangten nach außen. Betroffen ist, wer zwischen Januar 2022 und Juni 2026 bei einem dieser Shops bestellt hat.

Was am 18. August veröffentlicht wurde

Der Datensatz erschien nach übereinstimmenden Berichten am 18. August 2026 in einem einschlägigen Cybercrime-Forum. Eingestellt hat ihn ein Akteur, der unter dem Namen "Satanic" auftritt und Sicherheitsforschern aus früheren Veröffentlichungen bekannt ist. Bemerkenswert ist die Vertriebsform: Das Material wurde nicht verkauft, sondern zum freien Download bereitgestellt. Das senkt die Hürde für Nachahmer erheblich, denn jeder Betrüger mit Forumszugang kann seither auf denselben Bestand zugreifen.

Die Auswertung durch mehrere unabhängige Sicherheitsteams ergab ein einheitliches Bild. Das Paket umfasst rund 35 Gigabyte in 17.654 Dateien, verteilt auf 669 Ordner, die jeweils einem Händlerkonto entsprechen. 659 davon enthalten auswertbare Kundendaten. Die Sicherheitsfirma Hudson Rock ordnete 323 dieser Konten eindeutigen Geschäfts-Domains zu, viele weitere laufen schlicht auf private E-Mail-Adressen der Betreiber. Enthalten sind exportierte Datenbestände zu Kunden, Zahlungen, Rechnungen, Abonnements, Rückerstattungen, Auszahlungen und Rabattcodes. In Summe kommen die Forscher auf 688.363 Kundendatensätze mit Zeitstempeln vom 4. Januar 2022 bis zum 1. Juni 2026.

Die deutschsprachige Fachpresse griff den Fall am 21. August auf. Eine große Publikumswelle hat er bislang nicht ausgelöst, und genau das ist Teil des Problems: Wer als Kundin oder Kunde betroffen ist, erfährt es derzeit über keinen Kanal.

Nicht der Zahlungsdienstleister wurde geknackt, sondern die Shops

Dieser Punkt entscheidet über die gesamte Risikobewertung, geht in der Kurzberichterstattung aber regelmäßig unter. Die Systeme von Stripe wurden nach dem bisherigen Erkenntnisstand nicht kompromittiert. Was in fremde Hände geriet, sind sogenannte geheime API-Schlüssel einzelner Händler. Stellen Sie sich einen solchen Schlüssel als Generalschlüssel des Shopbetreibers zu seinem eigenen Zahlungskonto vor: Der Shop nutzt ihn, damit seine Software automatisiert Zahlungen anstoßen, Rechnungen abrufen und Kundenlisten lesen kann.

Wie brisant so ein Schlüssel ist, beschreibt der Anbieter in seiner eigenen Dokumentation ungewöhnlich deutlich. Ein Geheimschlüssel im Format sk_live_ ist laut der offiziellen Stripe-Dokumentation zu API-Schlüsseln ein Schlüssel "mit uneingeschränkten Berechtigungen für alle Stripe-APIs", dessen Rechte sich nicht einschränken lassen. Genau deshalb rät der Anbieter selbst von der weiteren Verwendung ab und empfiehlt eingeschränkte Schlüssel. In dem Leak liegen 650 solcher unbeschränkten Live-Schlüssel. Nach der Auswertung waren 573 der Konten in der Lage, Zahlungen anzunehmen, 531 konnten Geld bewegen, und 519 konnten beides.

Wie die Schlüssel abgeflossen sind, ist offen. Hudson Rock fand auf den betroffenen Händler-Domains keine Hinweise auf Schadsoftware-Infektionen und hält es für wahrscheinlicher, dass automatisierte Bots das Netz nach falsch konfigurierten Servern abgesucht haben, bei denen Konfigurationsdateien mit Klartext-Schlüsseln öffentlich erreichbar waren. Andere Erklärungen bleiben möglich, etwa versehentlich in öffentliche Code-Archive hochgeladene Schlüssel oder ungeschützte Backups. Für Sie als Kundin oder Kunde bedeutet das: Der Fehler lag jeweils bei einem einzelnen Shop, und Sie hatten keine Möglichkeit, ihn zu erkennen.

Bin ich betroffen? Der Selbst-Check ohne Betroffenenliste

Weil niemand eine Liste veröffentlicht, müssen Sie die Eingrenzung selbst vornehmen. Das klingt aufwendiger, als es ist, denn zwei harte Anhaltspunkte sind bekannt: der Zeitraum und der Abwickler. Arbeiten Sie die folgenden vier Schritte der Reihe nach ab.

• Schritt 1, das Zeitfenster abstecken: Die Datensätze reichen vom 4. Januar 2022 bis zum 1. Juni 2026. Käufe außerhalb dieses Zeitraums sind nicht enthalten. Alles dazwischen kommt grundsätzlich in Frage, und das sind bei den meisten Menschen leider vier Jahre Bestellhistorie.
• Schritt 2, den Kontoauszug lesen: Öffnen Sie Ihr Online-Banking und die Kreditkartenabrechnungen aus diesem Zeitraum. Suchen Sie in den Buchungstexten nach dem Wort "Stripe". Der Abwickler taucht dort häufig zusätzlich zum Shopnamen auf, etwa als "Stripe Payments Europe". Jede solche Buchung markiert einen Shop, der über diesen Dienst abgerechnet hat.
• Schritt 3, das Postfach durchsuchen: Suchen Sie in Ihren E-Mails nach "Stripe" und nach "checkout.stripe.com". Zahlungsbelege und Rechnungen laufen bei vielen Shops direkt über den Dienstleister und tragen ihn im Absender oder in der Fußzeile. Wurden Sie beim Bezahlen auf eine Seite unter checkout.stripe.com weitergeleitet, ist der Fall ohnehin klar.
• Schritt 4, das Ergebnis richtig lesen: Ein Treffer heißt nicht, dass Sie betroffen sind. Der Anbieter wickelt Zahlungen für sehr viele Shops ab, im Leak stecken 659 davon. Kein Treffer heißt umgekehrt auch keine Entwarnung, denn nicht jeder Beleg nennt den Abwickler. Sie erhalten aus diesen drei Schritten eine Kandidatenliste, keine Antwort.

Genau an dieser Stelle endet, was Sie selbst herausfinden können. Ob Ihr Datensatz tatsächlich in einem der 659 Ordner steht, sehen Sie von außen nirgends, und die Shops selbst wissen es teilweise noch nicht. Ihre E-Mail-Adresse überwachen lassen schließt diese Lücke als einziges Mittel, das nicht auf die Mitwirkung eines fremden Shopbetreibers angewiesen ist.

Datentyp-Risiko: Warum die Kaufhistorie schwerer wiegt als die Kartennummer

Die erste Reaktion bei einem Leak mit Zahlungsbezug ist meist der Griff zur Karte. Hier ist das die falsche Baustelle. Vollständige Kartennummern sind nicht enthalten, sie liegen nur tokenisiert vor, also als Platzhalter, der außerhalb des Zahlungssystems nichts wert ist. Gefährlich ist etwas anderes, nämlich die Verbindung aus Klarnamen, Wohnanschrift und der Information, was Sie wann für wie viel Geld gekauft haben. Die folgende Übersicht ordnet jedem Datentyp seinen konkreten Missbrauchsweg zu.

Lesen Sie die rechte Spalte von oben nach unten, dann sehen Sie das eigentliche Problem. Die beiden gefährlichsten Zeilen sind zugleich die, die Sie nicht zurücksetzen können. Ein Passwort tauschen Sie in einer Minute, Ihre Adresse und Ihre Bestellhistorie begleiten Sie. Dieser Datensatz veraltet deshalb kaum, er wird über die Jahre eher wertvoller, weil er sich mit weiteren Lecks zu einem immer vollständigeren Profil verknüpfen lässt.

Was Sie jetzt tun sollten, und was Sie sich sparen können

Weil Zugangsdaten und vollständige Kartennummern fehlen, sieht die Prioritätenliste hier anders aus als nach einem klassischen Konto-Hack. Sortieren Sie nach Wirkung.

• Rückerstattungs-Angebote grundsätzlich ablehnen: Das ist bei diesem Leck die wichtigste Regel. Die Täter haben Zugriff auf echte Rückerstattungs- und Rechnungsvorgänge und können Ihre Bestellung korrekt zitieren. Eine angebliche Erstattung, für die Sie "nur kurz" Kartendaten bestätigen oder eine Freigabe in der Banking-App erteilen sollen, ist der naheliegendste Angriff. Echte Erstattungen brauchen von Ihnen nichts.
• Nicht nötig, alle Shop-Passwörter zu wechseln: Kundenpasswörter der Shops sind in diesem Datensatz nicht enthalten. Ein Wechsel ist wegen dieses Vorfalls nicht erforderlich. Sinnvoll bleibt er dort, wo Sie dasselbe Passwort mehrfach verwenden, aber das gilt unabhängig vom aktuellen Anlass.
• Karte nicht vorsorglich sperren, aber mitlesen: Ohne vollständige Nummer lässt sich keine Zahlung auslösen. Prüfen Sie stattdessen die nächsten zwei bis drei Abrechnungen auf kleine, unerklärliche Beträge. Testbuchungen im Cent-Bereich sind ein typischer Vorbote größerer Abbuchungen.
• Am Telefon nichts bestätigen, auch keine Kartenendziffern: Die letzten vier Ziffern Ihrer Karte machen einen Anrufer glaubwürdig, beweisen aber gar nichts. Legen Sie auf und rufen Sie über eine selbst herausgesuchte Nummer zurück. Das Phishing-Radar der Verbraucherzentrale dokumentiert laufend, welche Maschen gerade im Umlauf sind.
• Bei Verdachts-Shops nach Art. 15 DSGVO nachfragen: Haben Sie aus Ihrem Kontoauszug ein oder zwei konkrete Shops im Verdacht, fragen Sie dort schriftlich nach, ob der Betrieb von dem Vorfall betroffen ist und welche Daten zu Ihnen gespeichert sind. Die Auskunft ist kostenlos, die Frist beträgt einen Monat.

Diese Schritte begrenzen den Schaden aus diesem einen Vorfall. Sie ändern nichts daran, dass dieselbe Kombination aus Name, Anschrift und Telefonnummer parallel auch völlig legal zirkuliert, nämlich in den Beständen von Werbe- und Adressbrokern. Je mehr solcher Quellen existieren, desto leichter lässt sich ein geleakter Teildatensatz zu einem vollständigen Profil ergänzen. Löschanfragen nach Art. 17 DSGVO an über 100 Broker anstoßen setzt genau an dieser Anreicherung an.

Warum sich niemand bei Ihnen meldet

Nach einem Vorfall bei einem großen Konzern kommt irgendwann eine Mail. Hier ist die Konstellation eine andere, und das erklärt die Stille. Verantwortlich im Sinne der DSGVO ist nicht der Zahlungsabwickler, sondern jeder einzelne Onlineshop, bei dem Sie bestellt haben. Dieser Shop müsste den Vorfall nach Art. 33 DSGVO binnen 72 Stunden bei seiner Aufsichtsbehörde melden und Sie nach Art. 34 DSGVO benachrichtigen, sobald ein hohes Risiko für Sie anzunehmen ist. Was das für Unternehmen im Einzelnen bedeutet, welche Fristen laufen und ab wann eine Meldung zwingend wird, haben wir im Leitfaden zur Meldepflicht bei Datenpannen aufgeschlüsselt.

In der Praxis stößt diese Konstruktion hier an ihre Grenzen. Die Verantwortung verteilt sich auf 659 Betriebe statt auf einen Konzern mit Rechtsabteilung. Viele davon sind kleine Händler, ein erheblicher Teil der Konten läuft laut Auswertung sogar auf private E-Mail-Adressen. Manche dieser Betreiber dürften bis heute nicht wissen, dass ihr Zugangsschlüssel im Umlauf ist. Rechnen Sie deshalb nicht mit einer Benachrichtigung, sondern behandeln Sie deren Ausbleiben als das, was es ist: keine Aussage über Ihre Betroffenheit.

Wie groß der Vorfall ist, und was unbestätigt bleibt

Bei der Einordnung der Größenordnung lohnt es sich, zwei Zahlen sauber zu trennen. Belastbar ausgewertet und von mehreren Sicherheitsteams unabhängig bestätigt sind die 1.033 Schlüssel und die 688.363 Kundendatensätze aus der ersten Veröffentlichung. Daneben steht eine zweite Zahl, die durch die Berichterstattung geht: Der Akteur behauptet, insgesamt rund 20.000 Zugangsschlüssel zu besitzen und weitere Pakete gestaffelt nachreichen zu wollen. Diese Angabe stammt allein von ihm selbst, ist bislang durch nichts belegt, und wir behandeln Selbstauskünfte von Angreifern grundsätzlich als unbestätigt, solange sie niemand nachprüfen kann. Sollte sie stimmen, stünde allerdings ein Vielfaches der bisherigen Menge noch aus.

Auch die geografische Verteilung ist nur grob bekannt. Die Händlerkonten stammen aus 42 Ländern, angeführt von den USA mit 212 Konten, Großbritannien mit 81, Frankreich mit 57, Kanada mit 38 und Brasilien mit 30. Der deutschsprachige Raum taucht in dieser Spitzengruppe nicht auf. Das ist eine Entwarnung, aber eine schwache: In der Restmenge über 37 weitere Länder sind DACH-Shops sehr wahrscheinlich vertreten, und wer im europäischen Ausland bestellt hat, steht ohnehin unabhängig vom Sitz des Händlers im Datensatz. Eine Bestätigung oder ein Dementi einzelner Unternehmen liegt bislang nicht vor.

Was heißt das für Sie? Der Umfang dieses Vorfalls kann in den kommenden Wochen noch deutlich wachsen, und eine abschließende Betroffenenliste wird es aller Voraussicht nach nie geben. Eine Frühwarnung einrichten, statt Meldungen hinterherzulesen ist die pragmatischere Antwort auf eine Lage, in der Ihnen die Aufklärung strukturell verwehrt bleibt.

Häufige Fragen zum Stripe-Datenleck

Was in den nächsten Monaten auf Betroffene zukommt

Auch wenn dieser Bestand ausnahmsweise sofort frei verfügbar war, ist das der Sonderfall. Üblicherweise nehmen gestohlene Datensätze den stillen Weg: erst der Verkauf im kleinen Kreis, dann der gezielte Einsatz für einzelne Betrugswellen, und erst Wochen oder Monate später die breite Verbreitung oder Veröffentlichung als Sammlung. Wer heute einmalig prüft und nichts findet, kann also sehr wohl betroffen sein. Unser Darknet-Radar überwacht Ihre hinterlegte E-Mail-Adresse fortlaufend und meldet sofort, sobald sie infolge eines Hacks oder einer Datenpanne im Darknet auftaucht oder gehandelt wird. Im Tarif Tiefenreinigung kommt der Schadensersatz-Service hinzu: Sind Sie als Kundin oder Kunde von einem solchen Vorfall betroffen, weisen wir Sie aktiv auf passende Sammel- oder Musterklagen und mögliche Ansprüche nach Art. 82 DSGVO hin, damit Sie Ihre Rechte gegenüber dem verantwortlichen Unternehmen wahrnehmen können. Das ist ein Hinweis auf laufende Verfahren, keine eigene Rechtsberatung. Unter welchen Voraussetzungen Betroffene überhaupt etwas verlangen können, erklärt unser Überblick zu Entschädigungsansprüchen nach einem Datenleck. Der Unterschied zum kostenlosen Check bleibt dabei entscheidend: Dieser zeigt Ihnen nur bereits bekannte, veröffentlichte Lecks. Das dauerhafte Monitoring ist das, was Sie beim nächsten Vorfall rechtzeitig erreicht.