Infostealer-Malware-Anstieg legt 1,7 Milliarden Passwörter offen, da der Markt für Cybersicherheit sich grundlegend ändert

Die Passwort-Apokalypse: Wie Infostealer-Malware die Cybersicherheit und Investitionslandschaften verändert

In den dunklen Ecken des digitalen Untergrunds spielt sich eine beispiellose Krise ab. Die Zugangsdaten, die unser digitales Leben schützen, werden in einem Ausmaß erbeutet, das noch vor zwei Jahren unvorstellbar gewesen wäre. Cybersicherheitsexperten schlagen Alarm, da die Situation einen Punkt erreicht, den viele als "Passwort-Apokalypse" bezeichnen.

Ein brisanter Bericht von FortiGuard Labs zeigt, dass Infostealer-Malware eine beispiellose Welle von Zugangsdatendiebstählen ausgelöst hat. Kürzlich wurden 1,7 Milliarden gestohlene Passwörter in kriminellen Dark-Web-Foren veröffentlicht. Dies entspricht einem atemberaubenden Anstieg der Infostealer-Aktivitäten um 500 % in nur einem Jahr, was die Bedrohungslandschaft für Einzelpersonen und Organisationen gleichermaßen grundlegend verändert.

"Wir sind in eine völlig neue Phase der digitalen Sicherheitskrise eingetreten", erklärt ein führender Bedrohungsforscher. "Das Ausmaß ist nicht nur inkrementell – es ist exponentiell. Was wir erleben, ist nichts weniger als ein struktureller Zusammenbruch der passwortbasierten Sicherheit."

Die erschreckenden Zahlen hinter der Krise

Die 1,7 Milliarden neu veröffentlichten Passwörter sind nur die Spitze eines viel größeren Eisbergs. Sicherheitsforscher haben über 100 Milliarden kompromittierte Zugangsdaten identifiziert, die derzeit in Untergrundforen verfügbar sind, was einem Anstieg von 42 % gegenüber dem Vorjahr entspricht. Die Forschung des Cyber-Unternehmens KELA identifizierte 3,9 Milliarden kompromittierte Zugangsdaten, von denen allein im Jahr 2024 330 Millionen gestohlen wurden.

Besonders alarmierend ist die Infektionsrate: 4,3 Millionen Geräte wurden im Jahr 2024 mit Infostealer-Malware infiziert, wobei spezialisierte kriminelle Gruppen wie Combo, oddyery und ValidMail diese gestohlenen Zugangsdaten zu "Combo-Listen" zusammenstellten und verifizierten, die für automatisierte Credential-Stuffing-Angriffe verwendet werden.

Der RockYou2024-Vorfall vom Juli 2024 stellt mit 9,9 Milliarden offengelegten eindeutigen Passwörtern im Klartext den größten Passwort-Leak der Geschichte dar – er übertrifft seinen Vorgänger RockYou2021, bei dem 8,4 Milliarden Passwörter offengelegt wurden.

"Die Zahlen sind unfassbar", bemerkt ein Cybersicherheitsanalyst, der sich auf Dark-Web-Intelligence spezialisiert hat. "Wir sprechen nicht über inkrementelles Wachstum – wir erleben eine grundlegende Verschiebung in der Ökonomie gestohlener Zugangsdaten."

Hinter der digitalen Pandemie: Wie Infostealer funktionieren

Im Gegensatz zu traditionellen Cyberangriffen, die sich auf Brute Force oder direkte Phishing-Methoden verlassen, operiert Infostealer-Malware mit beängstigender Heimlichkeit. Diese ausgeklügelten Programme dringen in Geräte ein und extrahieren sensible Daten, während sie typische Sicherheitsmaßnahmen umgehen.

Zu den Hauptzielen der Malware gehören Anmeldeinformationen, Finanzinformationen, Browser-Cookies und Autofill-Daten auf allen Geräten. Anstatt Sicherheitsbarrieren zu durchbrechen, verschaffen Infostealer Cyberkriminellen direkten Kontozugriff, indem sie einfach legitime Zugangsdaten verwenden.

Drei Hauptvarianten von Infostealern dominieren die aktuelle Bedrohungslandschaft: Lumma, StealC und RedLine, die laut dem Bericht von KELA zusammen für über 75 % der infizierten Rechner verantwortlich sind. Redline hat sich zur häufigsten Variante entwickelt und war im Jahr 2024 für 34 % der Infektionen verantwortlich, während Risepro ein explosionsartiges Wachstum von 1,4 % auf 23 % Marktanteil verzeichnete.

Diese bösartigen Programme verbreiten sich typischerweise über bösartige Downloads, Phishing-Links, irreführende SMS-Nachrichten, E-Mails und scheinbar legitime Online-Werbung. Während Windows-Betriebssysteme weiterhin das Hauptziel sind, haben Sicherheitsforscher einen besorgniserregenden Trend festgestellt, dass Angriffe zunehmend auf mobile Geräte abzielen.

Ein Sicherheitsexperte mit umfassender Erfahrung in der Untersuchung von Infostealer-Kampagnen erklärt: "Was diese Angriffe besonders heimtückisch macht, ist ihr Geschäftsmodell. Für etwa 200 Dollar pro Monat kann praktisch jeder Infostealer-Malware lizenzieren. Dieser Malware-as-a-Service-Ansatz hat den Zugangsdatendiebstahl industrialisiert und die Eintrittsbarrieren für Kriminelle drastisch gesenkt."

Die Snowflake-Katastrophe: Eine Fallstudie zur Ansteckung

Zwischen April und Juni 2024 entwickelte sich der Snowflake-Datenverstoß zu einem der verheerendsten Cybersicherheitsvorfälle des Jahrzehnts. Der Angriff, der der Cyberkriminellengruppe UNC5537 (alias ShinyHunters) zugeschrieben wird, demonstriert, wie eine einzige Infostealer-Kampagne kaskadierende Ausfälle im gesamten digitalen Ökosystem verursachen kann.

Die Angreifer verfolgten einen methodischen Ansatz:

• Die ersten Eindringlinge begannen Mitte April 2024, als Angreifer Infostealer-Malware verwendeten, um Zugangsdaten zu erbeuten.
• Bis zum 14. April erlangten sie Zugriff auf die Umgebung von Advance Auto Parts und behielten den Zugriff 40 Tage lang.
• Parallele Eindringlinge betrafen Ticketmaster und die Santander Bank.
• Über 100 Snowflake-Kundenumgebungen wurden bis Mai 2024 kompromittiert.

Die Folgen waren katastrophal und betrafen letztendlich über 165 Organisationen, darunter AT&T, Ticketmaster und die Santander Bank. Allein AT&T erlitt einen Verstoß gegen 50 Milliarden Datensätze, der fast alle Mobilfunkkunden betraf. Bei Ticketmaster wurden die persönlichen und Zahlungsinformationen von über 500 Millionen Personen offengelegt, während bei Advance Auto Parts die sensiblen Daten von über 2,3 Millionen Personen, einschließlich Sozialversicherungsnummern, kompromittiert wurden.

"Der Snowflake-Vorfall zeigt, wie eine kompromittierte Zugangsdatenkette eine ganze Lieferkette freischalten kann", erklärt ein Security Operations Director, der an der Reaktion mitgearbeitet hat. "Es ist die perfekte Veranschaulichung dafür, warum traditionelle Sicherheitsperimeter praktisch bedeutungslos geworden sind."

Von Einzelfällen zur systemischen Bedrohung

Die Krise geht weit über theoretische Risiken hinaus. Allein in Australien wurden zwischen 2021 und 2025 mindestens 30.000 Bankpasswörter offengelegt, nachdem Hacker Geräte mit Infostealer-Malware infiziert hatten. Kunden großer australischer Banken, darunter ANZ, NAB, Westpac und Commonwealth Bank, waren betroffen.

Forscher des in Sydney ansässigen Cybersicherheitsunternehmens Dvuln stellten fest, dass "die tatsächliche Anzahl kompromittierter Kundengeräte wahrscheinlich wesentlich höher ist, da viele Infektionen unentdeckt bleiben oder in privaten Kanälen außerhalb unserer Sichtbarkeit gehandelt werden."

In ähnlicher Weise infizierte eine massive Infostealer-Kampagne zwischen 2023 und 2024 26 Millionen Windows-Geräte, was dazu führte, dass über 2 Millionen eindeutige Bankkartendaten an Dark-Web-Marktplätze gelangten.

Der Dell-Verstoß vom Mai 2024 verdeutlicht die sich entwickelnde Bedrohungslandschaft zusätzlich. Obwohl der Angreifer (identifiziert als Menelik) andere Techniken als typische Infostealer verwendete, kompromittierte er 49 Millionen Kundendatensätze, indem er Partnerkonten im Unternehmensportal von Dell einrichtete und Brute-Force-Angriffe mit einer Rate von 5.000 Anfragen pro Minute startete. Der Angriff dauerte fast drei Wochen, bevor er entdeckt wurde.

Die dunkle Ökonomie gestohlener Zugangsdaten

Nach der Sammlung werden gestohlene Zugangsdaten zu wertvollen Gütern auf kriminellen Märkten. Datenprotokolle werden in Dark-Web-Foren verkauft, wobei einige Händler kostenlose Muster anbieten, um Premium-Angebote zu bewerben. Access Broker bilden einen ganzen Sektor des Cybercrime-Ökosystems, der sich auf den Diebstahl von Zugangsdaten konzentriert und Kontoübernahmen, Finanzbetrug und sogar Wirtschaftsspionage ermöglicht.

Infostealer fungieren nun als kritisches Bindeglied im breiteren Cybercrime-Ökosystem:

1. Sie dienen als erster Einstiegspunkt für destruktivere Angriffe.
2. Gestohlene Zugangsdaten erleichtern die Bereitstellung von Ransomware.
3. Systeminformationen ermöglichen es Kriminellen, Netzwerke für tiefere Penetrationen zu kartieren.
4. Zahlungsdetails und Bankzugangsdaten ermöglichen direkten Finanzdiebstahl.

"Der traditionelle Ansatz zur Cybersicherheit wird angesichts dieser sich entwickelnden Bedrohungen rasch unzureichend", warnt ein Cybersicherheitsberater, der Fortune-500-Unternehmen berät. "Organisationen müssen zu proaktiven, nachrichtengesteuerten Verteidigungsstrategien übergehen, die KI und kontinuierliches Bedrohungsmanagement beinhalten."

Marktauswirkungen: Ein struktureller Wandel im digitalen Vertrauen

Die Explosion von Infostealer-Malware in den Jahren 2024-25 stellt mehr als nur einen vorübergehenden Cybercrime-Trend dar – sie signalisiert einen grundlegenden Wandel von "passwortzentrierter" Sicherheit hin zu passwortlosen, Zero-Trust- und Continuous-Authentication-Modellen.

Die eigentliche Marktfolge ist eine abrupte Neubewertung des Vertrauens. Unternehmen, die Vertrauen verkaufen (Identität, Endpunkt, Versicherung), gewinnen an Preismacht und M&A-Währung, während Unternehmen, die Vertrauen lediglich konsumieren (Einzelhandel, Finanzen, SaaS), mit höheren Betriebskosten, Margenkompression und neuen regulatorischen Reibungen konfrontiert sind.

Ein erfahrener Investmentanalyst, der sich auf Cybersicherheitsmärkte spezialisiert hat, beobachtet: "Dies ist ein struktureller Schock, der die Art und Weise, wie wir digitale Unternehmen bewerten, grundlegend neu kalibrieren wird. Der Tsunami des Zugangsdatendiebstahls bewertet das digitale Vertrauen in allen Branchen neu."

Gewinner und Verlierer im neuen Sicherheitsparadigma

Der Markt kalibriert sich schnell um die neue Realität kompromittierter Zugangsdaten neu. Branchensegmente, die wahrscheinlich profitieren werden, sind:

Identitäts- und Zugriffsverwaltung

Da die obligatorische MFA und Passkeys die IAM von "nice to have" zu einem Gebrauchsgegenstand machen, wird erwartet, dass der Markt bis 2035 ein CAGR von über 12 % verzeichnen wird. Zu den wichtigsten Akteuren gehören Okta, Duo/CSCO und Microsoft Entra, wobei das FIDO Alliance-Ökosystem nach der Aktivierung von 15 Milliarden Konten für Passkeys an Bedeutung gewinnt.

Passwortlose/Passkey-Aktivierer

RockYou2024 scheint mit Passwörtern das zu tun, was Heartbleed mit SSL getan hat – als endgültiger Wendepunkt zu dienen. Die Einführung von Passkeys durch Microsoft für 1 Milliarde Benutzer im Jahr 2025 stellt einen Wendepunkt dar. Unternehmen, die davon profitieren können, sind Yubico, Trusona, Plattform-Zugangsdaten von Apple/Google und Venture-Stage-Unternehmen wie Stytch und Transmit Security.

Endpunkt & MDR

Da über 75 % der Infektionen von nur drei Stealern stammen, sind signaturbasierte Antivirenlösungen obsolet geworden. Fortinet, CrowdStrike und Palo Alto Networks können Stealer-Log-Telemetrie in XDR integrieren und SASE verkaufen – Fortinet prognostiziert auf Basis dieser These einen CAGR von 12 % bei den Fakturierungen.

Zero-Trust-Architektur

Da die Akzeptanz auf Vorstandsebene wächst, wird erwartet, dass der gesamte adressierbare Markt bis 2030 92 Milliarden US-Dollar bei einem CAGR von 16-17 % erreichen wird. Zu den wichtigsten Akteuren gehören Zscaler, Cloudflare und Illumio, wobei Banyan und Twingate als wahrscheinliche M&A-Ziele identifiziert wurden.

Umgekehrt stehen Branchen mit hoher Zugangsdatendichte vor neuen Herausforderungen:

Branchen mit hoher Zugangsdatendichte

Banken, Ticketing-Plattformen und Einzelhandels-SaaS-Unternehmen tragen nun neue Betrugs-, Compliance- und Offenlegungskosten – wie Dell und Ticketmaster durch den Snowflake-Verstoß erfahren haben. Margenbelastungen von 50-100 Basispunkten erscheinen plausibel, wobei traditionelle Verbraucherbanken ohne starke IAM besonders anfällig sind im Vergleich zu Fintechs, die von Anfang an mit passwortloser Architektur entwickelt wurden.

Ripple-Effekte über Märkte hinweg

Die Infostealer-Krise löst mehrere Folgewirkungen aus:

Kapitalallokationsverschiebungen

Eine M&A-Welle scheint unmittelbar bevorzustehen, wobei Large-Cap-Plattformen wahrscheinlich Nischen-Passkey-/API-Startups erwerben werden, um die Time-to-Market zu verkürzen. Bewertungsobergrenzen um das 15-fache der erwarteten ARR erscheinen gerechtfertigt gegenüber den historischen 10-fachen SaaS-Multiplikatoren.

Venture Capital schwenkt von "noch einem XDR" zu Identity-Governance, Credential-Risk-Scoring und datenzentrierten Zero-Trust-Ansätzen. Diese Verschiebung kann zu aufgeblähten Seed-Runden führen, aber zu schnelleren Series-B-Down-Runden, wenn es an Klarheit mangelt.

Regulatorische Landschaft

EU- und US-Regulierungsbehörden entwerfen Anforderungen für "obligatorische MFA für kritische Infrastrukturen". Die Kosten für die Nichteinhaltung werden zu einer Haftung auf Vorstandsebene, was die Ausgabenbeschleunigung weiter festigt.

Experten erwarten bis 2027 SOX-ähnliche Attestierungsanforderungen für die Hygiene von Zugangsdaten, wobei Cyberversicherer bereits ähnliche Klauseln in Policen aufnehmen.

Konsumentenverhalten

Da passkey-fähige Browser von Apple, Google und Microsoft nun über 90 % des globalen Web-Traffics abdecken, wird erwartet, dass bis 2028 über 50 % der aktiven Consumer-Logins in OECD-Märkten passwortlos sein werden.

Die zunehmende Breach-Müdigkeit treibt Einzelhandelsinvestoren zu sicherheitsorientierten Fintechs, was den Effekt widerspiegelt, den der Equifax-Verstoß von 2018 auf Kreditüberwachungsabonnements hatte.

Investitionsmöglichkeiten im Post-Passwort-Zeitalter

Für Investoren, die sich in dieser sich schnell entwickelnden Landschaft bewegen, ergeben sich mehrere überzeugende Thesen:

1. Identitätsorientierte Unternehmen sind positioniert, um den NASDAQ bis 2027 kumuliert um mehr als 25 Prozentpunkte zu übertreffen, da sich die Ausgaben von der Netzwerkinfrastruktur zur Identitätsstruktur verlagern.

2. Es besteht eine Pair-Trade-Möglichkeit: Long Zscaler / Short traditionelle Firewall-Hardware (mit Ausnahme von Fortinet, das einen proprietären ASIC-Graben unterhält), um Alpha aus der Zero-Trust-Migration zu erfassen.

3. Cyberversicherungs-Strukturierte Produkte stellen eine Chance dar, wobei das Eigenkapital der Rückversicherer attraktiv erscheint, während die Volatilität im Verhältnis zur regulatorischen Dynamik weiterhin zu niedrig bewertet wird.

4. In privaten Märkten stellen Seed-Stage-Startups, die Dark-Web-Stealer-Logs in Echtzeit-Credential-Risk-Scores für Neobanken verpacken, potenzielle Juwelen dar, wobei sich die Bewertungen bei Series-A-Akquisitionen durch Kreditauskunfteien potenziell verdreifachen.

5. Eventgesteuerte Hedge-Strategien mit Shorts auf stark zugangsdatenexponierte Consumer-Plattformen im Vorfeld der erwarteten SEC-Breach-Disclosure-8-K-Anmeldungen könnten sich als profitabel erweisen, nachdem Muster beobachtet wurden, die bei der Snowflake-Ansteckung zu beobachten waren.

Zukünftige Aussichten und potenzielle Störungen

Trotz der klaren Reiserichtung könnten mehrere Faktoren diese Prognosen stören:

Ein potenzieller "Tech-Lash" gegen obligatorische Passkeys könnte Datenschutzbedenken hervorrufen und die Einführung potenziell um 12-18 Monate verzögern. Die Plattformkonzentration birgt ebenfalls Risiken – wenn Apple, Google und Microsoft die Passkey-Infrastruktur dominieren, könnten reine Passkey-Anbieter mit Margendruck konfrontiert sein.

Die monetären Bedingungen stellen eine weitere Variable dar. Während sich Cyberbudgets in den Jahren 2020-22 als relativ rezessionsresistent erwiesen, könnte die Kombination aus straffer Geldpolitik und steigenden Versicherungsprämien die kurzfristigen Multiplikatoren begrenzen.

Spekulativere Störungen sind potenzielle Durchbrüche bei föderierten KI-Agenten, die gestohlene Sitzungen in Echtzeit erkennen und widerrufen, was die Dringlichkeit der Passkey-Einführung abschwächen könnte. Die politische Fragmentierung, insbesondere wenn US-Bundesmandate für Passkeys im Kongress ins Stocken geraten, könnte die globale Konvergenz verlangsamen. Darüber hinaus könnte sich die quantenresistente Kryptographie als nächstes "glänzendes Objekt" herauskristallisieren, das möglicherweise Budgets aus dem Identitäts- und Zugriffsmanagement abzieht.

Das Ende des Passwort-Zeitalters

Während die digitale Welt mit dieser beispiellosen Krise zu kämpfen hat, wird eines immer deutlicher: Das Passwort-Zeitalter neigt sich dem Ende zu. Der Tsunami des Zugangsdatendiebstahls erzwingt eine grundlegende Neubewertung des digitalen Vertrauens in allen Sektoren.

"Wir erleben die Todeszuckungen eines Sicherheitsmodells, das uns seit den Anfängen des Rechnens begleitet", reflektiert ein Cybersicherheitspionier, der seit drei Jahrzehnten auf diesem Gebiet tätig ist. "Das Passwort war immer ein fehlerhaftes Konzept – wir haben nur 50 Jahre gebraucht, um genügend Beweise zu sammeln, um es endgültig zu beweisen."

Für Organisationen, Investoren und Einzelpersonen gleichermaßen ist die Anpassung an diese neue Realität zu einem existenziellen Gebot geworden. Diejenigen, die sich weiterhin auf passwortzentrierte Sicherheitsmodelle verlassen, riskieren, den Weg des Wählscheibentelefons zu gehen – Relikte einer vergangenen Ära, die durch die harte Realität einer digitalen Landschaft, in der 1,7 Milliarden Passwörter in einem einzigen Jahr kompromittiert werden können, obsolet geworden sind.

Die Passwort-Apokalypse ist da. Die Frage ist nicht mehr, ob das traditionelle Sicherheitsmodell scheitern wird, sondern wie schnell Organisationen zu der Zero-Trust-, passwortlosen Zukunft übergehen können, die nun unvermeidlich erscheint.