Vom kleinen Leak zum großen Sicherheitsvorfall: Wie gestohlene Logins Unternehmen gefährden

Gestohlene Zugangsdaten gehören heute zu den effektivsten Einfallstoren für Cyberangriffe. Der Grund ist einfach: Angreifer müssen kein Passwort mehr knacken, wenn sie sich mit bereits erbeuteten Logins direkt anmelden können. Was nach einem kleinen Leak aussieht, kann dadurch sehr schnell zu einem massiven Sicherheitsvorfall werden.

Warum kleine Leaks so gefährlich sind

Viele Unternehmen unterschätzen, wie groß die Folgen eines einzelnen kompromittierten Logins sein können. In der Praxis stammen solche Zugangsdaten oft aus älteren Datenpannen, aus Infostealer-Malware oder aus geleakten Kombinationslisten. Kritisch wird es vor allem dann, wenn dieselben oder leicht abgewandelten Passwörter mehrfach verwendet werden.

SpyCloud berichtet für 2025, dass 70 Prozent der im Vorjahr in Datenpannen aufgetauchten Nutzer erneut bereits kompromittierte Passwörter über mehrere Konten hinweg verwendet haben. Gleichzeitig wurden 3,1 Milliarden exponierte Passwörter im Jahr 2024 erneut erfasst. Das zeigt, wie einfach Credential-Stuffing-Angriffe heute automatisiert und im großen Maßstab durchgeführt werden können.

Was bei Credential Stuffing eigentlich passiert

Beim Credential Stuffing testen Angreifer automatisiert bekannte Benutzername-Passwort-Kombinationen auf weiteren Plattformen. Das britische National Cyber Security Centre beschreibt genau dieses Vorgehen: Kriminelle nutzen gestohlene Zugangsdaten einer Plattform und probieren sie auf anderen Diensten erneut aus. Weil viele Menschen Logins mehrfach verwenden, kann ein einzelner Leak sehr viele weitere Konten gefährden.

Das Problem ist für Unternehmen besonders heikel, weil der Angriff oft wie eine normale Anmeldung aussieht. Es gibt keinen spektakulären technischen Exploit, keinen lauten Einbruch und häufig zunächst keinen auffälligen Schadcode. Stattdessen wirkt die Aktivität wie legitime Nutzung. Genau das erschwert Erkennung, Reaktion und forensische Analyse.

Warum gestohlene Logins reale Sicherheitsvorfälle dominieren

Wir verweisen auf den Verizon 2025 Data Breach Investigations Report. Dort wird für das Muster „Basic Web Application Attacks“ angegeben, dass rund 88 Prozent der Vorfälle den Einsatz gestohlener Zugangsdaten beinhalten. Das ist ein deutliches Signal: Nicht exotische Zero-Days dominieren den Alltag vieler Angriffe, sondern kompromittierte Identitäten und schwache Authentifizierung.

Für Unternehmen bedeutet das: Zugangssicherheit ist kein Nebenthema mehr. Wer Identitäten, Passwörter, Freigaben und MFA nicht konsequent steuert, lässt eine besonders wirtschaftliche Angriffsmethode offen.

Drei bekannte Beispiele, die das Risiko greifbar machen

1. Snowflake-Kampagne 2024

Google Cloud und Mandiant beschrieben 2024 eine Kampagne gegen Snowflake-Kundeninstanzen. Dabei nutzten Angreifer zuvor durch Infostealer erbeutete Zugangsdaten. In vielen betroffenen Fällen war keine Multi-Faktor-Authentifizierung aktiviert, und Mandiant sowie Snowflake informierten rund 165 potenziell betroffene Organisationen. Zusätzlich stellte Mandiant fest, dass ein großer Teil der verwendeten Zugangsdaten aus historischen Infostealer-Infektionen stammte, teils bereits aus dem Jahr 2020.

2. 23andMe 2023

23andMe erklärte selbst, dass ein Angreifer Konten über Credential Stuffing kompromittierte, also mit Zugangsdaten, die bereits von anderen Plattformen bekannt waren. Nach Unternehmensangaben waren etwa 14.000 Konten direkt betroffen, darüber hinaus wurden jedoch Informationen aus rund 5,5 Millionen DNA-Relatives-Profilen und etwa 1,4 Millionen Family-Tree-Profilen zugänglich. Der Fall zeigt sehr deutlich, wie aus wenigen kompromittierten Konten durch verknüpfte Datenbestände ein viel größerer Vorfall entstehen kann.

3. Change Healthcare 2024

Beim Angriff auf Change Healthcare erklärte der CEO von UnitedHealth in seiner Aussage vor dem US-Senat, dass die Täter mit kompromittierten Zugangsdaten auf ein extern erreichbares Citrix-Portal zugriffen – und dass dort keine MFA aktiviert war. Gerade dieser Fall ist so lehrreich, weil er zeigt, dass ein einzelner Zugang ohne zweiten Faktor ausreichen kann, um enorme operative und geschäftliche Schäden auszulösen.

Was all diese Vorfälle gemeinsam haben

Trotz unterschiedlicher Branchen folgen diese Fälle demselben Muster:

• Die Zugangsdaten waren bereits in kriminellen Händen.
• Passwortwiederverwendung oder fehlende MFA machten die Anmeldung möglich.
• Der erste Zugriff wirkte zunächst legitim.
• Der eigentliche Schaden entstand erst nach dem Login – durch Ausweitung, Datendiebstahl oder laterale Bewegung.

Genau deshalb reicht es nicht, nur auf klassische Perimeter-Sicherheit zu setzen. Unternehmen müssen auch die alltäglichen Zugänge absichern: SaaS-Accounts, geteilte Team-Logins, Admin-Zugänge, Lieferantenportale und Konten außerhalb des zentralen SSO-Stacks.

Was das für Unternehmen im DACH-Raum bedeutet

Auch für Unternehmen in Deutschland, Österreich und der Schweiz ist das hochrelevant. Mit NIS2 ist Zugriffssicherheit noch stärker in den Fokus gerückt. Artikel 21 der Richtlinie verlangt geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen im Risikomanagement der Cybersicherheit. Im Gesetzestext wird ausdrücklich auch die Nutzung von Multi-Faktor-Authentifizierung oder kontinuierlicher Authentifizierung genannt.

Das bedeutet in der Praxis: Unternehmen müssen besser nachvollziehen können, wer worauf Zugriff hat, welche Konten außerhalb zentraler Systeme existieren, wo Single-Factor-Logins noch aktiv sind und wie kompromittierte Zugangsdaten schnell erkannt und behandelt werden.

Welche Maßnahmen jetzt Priorität haben sollten

Zugangsdaten nicht isoliert betrachten

Ein Passwort ist heute kein Einzelrisiko mehr. Es ist Teil eines größeren Identitätsrisikos. Wenn Zugangsdaten geleakt werden, betrifft das häufig mehrere Dienste gleichzeitig.

MFA möglichst flächendeckend aktivieren

Gerade bei extern erreichbaren Systemen, Admin-Zugängen und geschäftskritischen Plattformen sollte MFA Standard sein, nicht Ausnahme.

Wiederverwendung von Passwörtern konsequent verhindern

Starke und einzigartige Passwörter reduzieren das Risiko erheblich. Noch wichtiger ist, dass Unternehmen unsichere Prozesse wie Browser-Speicherung, Tabellen, Chat-Freigaben oder informelles Teilen ablösen.

Leaked Credentials kontinuierlich überwachen

Ein einmaliger Audit reicht nicht. Alte Stealer-Logs und frühere Leaks können auch Jahre später noch für neue Angriffe genutzt werden. Genau deshalb braucht es kontinuierliche Sichtbarkeit.

Wo Uniqkey in diesem Kontext relevant wird

Wenn Unternehmen Passwortsicherheit, Zugriffskontrolle und sichere Freigaben praktisch umsetzen wollen, brauchen sie Lösungen, die sich in den Alltag integrieren lassen. Genau hier ist Uniqkey besonders relevant: als Plattform für sicheres Passwortmanagement, Teamfreigaben, bessere Zugriffskontrolle und eine strukturierte Reduktion von Passwortwiederverwendung im Unternehmen.

Gerade für Organisationen im DACH-Raum, die gleichzeitig Sicherheit, Benutzerfreundlichkeit und regulatorische Anforderungen im Blick behalten müssen, ist das wichtig. Denn starke Richtlinien allein reichen nicht aus, wenn Mitarbeitende im Alltag auf unsichere Workarounds ausweichen. Ein sauber eingeführtes System wie Uniqkey hilft dabei, Sicherheit operativ umsetzbar zu machen – nicht nur theoretisch, sondern im täglichen Umgang mit Logins, Freigaben und sensiblen Zugängen.

Fazit

Viele große Sicherheitsvorfälle beginnen mit etwas, das auf den ersten Blick harmlos wirkt: einem gestohlenen Login. In einer Welt aus Passwortwiederverwendung, Stealer-Logs und unvollständig geschützten Zugängen reicht das oft aus, um sich in Systeme einzuloggen, Daten abzuziehen oder weitere Schritte im Netzwerk vorzubereiten.

Unternehmen sollten deshalb nicht nur auf Bedrohungen „von außen“ schauen, sondern ihre Identitäten und Zugriffswege als aktive Verteidigungslinie begreifen. Wer Passwortwiederverwendung reduziert, MFA ausbaut, Zugänge sauber verwaltet und Leaks früh erkennt, senkt das Risiko spürbar. Und genau hier können moderne Lösungen wie Uniqkey einen entscheidenden Beitrag leisten – sowohl für die Sicherheit als auch für eine praxistaugliche Umsetzung im Unternehmensalltag.

‍