Gestohlene Zugangsdaten

PayPal-Datenleak - Bin ich betroffen?

Millionen PayPal-Konten sollen gehackt worden sein. Doch wie finden Nutzer heraus, ob sie selbst betroffen sind?

Von Matthias Kemter

Ein angeblicher PayPal-Datenleak sorgt aktuell für Aufsehen. In einem Hackerforum wird ein Datensatz mit Zugangsdaten von rund 15,8 Millionen PayPal-Konten angeboten. Enthalten sein sollen neben den E-Mail-Adressen auch Passwörter im Klartext, ein potenziell massives Sicherheitsrisiko. Doch wie ernst ist die Lage wirklich, und was sollten Nutzer jetzt tun?

Was über das PayPal-Datenleak bekannt ist

Ein Hacker mit dem Pseudonym „Chucky_BF“ bietet seit Mitte August 2025 ein Datenpaket mit angeblich 1,1 Gigabyte PayPal-Daten zum Verkauf an. Der Preis: rund 750 US-Dollar. Laut Angebotsbeschreibung enthält der Leak nicht nur E-Mail-Passwort-Kombinationen, sondern auch die zugehörigen Login-URLs wie /signin oder App-spezifische Verknüpfungen.

Die Sicherheitsplattform Hackread hat erste Stichproben überprüft. Ergebnis: Einige Datensätze sind offenbar echt, andere gehören zu Test- oder Fake-Konten. Die Echtheit aller Daten ist bislang nicht bestätigt. Eine offizielle Stellungnahme von PayPal selbst liegt noch nicht vor.

Wurden die Daten direkt bei PayPal gestohlen?

Dass Hacker direkt in die Systeme von PayPal eingedrungen sind, gilt als unwahrscheinlich. Der Sicherheitsexperte Troy Hunt (HaveIBeenPwned) betont, dass PayPal keine Passwörter im Klartext speichert. Wahrscheinlicher ist, dass die Zugangsdaten durch sogenannte Infostealer-Malware abgegriffen wurden. Dabei handelt es sich um Schadsoftware, die auf infizierten Rechnern gespeicherte Login-Daten ausliest und bündelt. Das erklärt auch, warum viele unterschiedliche E-Mail-Provider in den Datensätzen auftauchen und warum es Überschneidungen zwischen Web- und Mobile-Zugängen gibt.

PayPal-Datenleak - Bin ich betroffen?

Ob das eigene Konto zu den angeblich 15,8 Millionen betroffenen PayPal-Zugängen gehört, lässt sich derzeit nicht eindeutig feststellen. Eine offizielle Bestätigung von PayPal steht bislang aus. Der angebotene Datensatz taucht zudem noch nicht in gängigen Datenbanken wie HaveIBeenPwned auf, über die man sonst prüfen kann, ob die eigene E-Mail-Adresse in Leaks enthalten ist. Trotzdem sollten Nutzer wachsam bleiben: Kontoaktivitäten regelmäßig kontrollieren und dabei insbesondere auf unbekannte Abbuchungen oder verdächtige Logins achten.

Was Nutzer jetzt tun sollten

Auch ohne Bestätigung des Leaks empfiehlt es sich, sofort präventiv zu handeln:

Einschätzung: Wie groß ist die Gefahr wirklich?

Obwohl der Datensatz noch nicht vollständig verifiziert ist, zeigt der Fall erneut, wie wertvoll Zugangsdaten für Cyberkriminelle sind. Selbst wenn nicht alle 15,8 Millionen Konten echt sind, reichen schon wenige Hunderttausend gültige Kombinationen, um erheblichen Schaden anzurichten. Nutzer sollten daher nicht abwarten, sondern ihre Konten und Passwörter jetzt absichern.