Infostealer-Boom 2026: 4,2 Mio. neue DACH-Zugangsdaten in 90 Tagen im Darknet

Unsere Darknet-Crawler haben zwischen Februar und April 2026 über 4,2 Millionen frische Zugangsdaten mit DACH-Bezug indexiert – ein Plus von 38 % gegenüber dem Vorquartal. Treiber: Infostealer-Malware als Service.

Wer dominiert

• Lumma Stealer: weiterhin Marktführer, modular, Telegram-Verteilung.
• RedLine: stabil, eingebunden in viele Cracked-Software-Bündel.
• NeedleStealer: Newcomer mit Trading-Plattform-Fokus, Q1/2026 aufgetaucht.

Was in den Logs steckt

Pro infiziertem Endpoint enthält ein typischer Stealer-Log: Browser-gespeicherte Logins, Cookies (inkl. Session-Cookies = MFA-Bypass), Crypto-Wallets, Discord-Tokens, FTP-Zugangsdaten, gespeicherte VPN-Profile. Genau das, was Ransomware-Affiliates für den Initial Access kaufen.

Konkrete Gefahr

Eine kompromittierte Session-Cookie für Microsoft 365 oder Google Workspace umgeht MFA komplett – der Angreifer übernimmt das Konto, ohne dass ein Login-Alarm ausgelöst wird. Der Ransomware-Vorfall folgt 5–15 Tage später.

Was Sie tun sollten

1. Darknet-Monitoring Ihrer Domains: [Darknet Monitoring](/darknet-monitoring) – wir alarmieren, sobald Logins zu Ihrem Tenant auftauchen. 2. Session-Cookie-Lifetime in M365/Google verkürzen, Conditional Access mit Geräte-Compliance. 3. Mitarbeiter-Sensibilisierung gegen Cracked-Software und Fake-PDF-Tools – siehe [Infostealer-Hintergrund](/news). 4. Externe Angriffsfläche minimieren: [Tools-Suite](/tools).

Wer Zugangsdaten erst in der Forensik nach dem Vorfall findet, hat den entscheidenden Vorlauf verloren.