PayPal-Leak: So schützt du jetzt dein Konto vor Hackern

15,8 Millionen PayPal-Zugangsdaten im Darknet zum Verkauf – für läppische 642 Euro. Betroffen sind auch deutsche Nutzer. Was jetzt zu tun ist und wie die Daten überhaupt gestohlen wurden.

Im Darknet kursiert aktuell ein brisantes Datenpaket: 15,8 Millionen PayPal-Zugangsdaten inklusive E-Mail-Adressen und Passwörter – größtenteils im Klartext. Der Hacker mit dem Pseudonym Chucky_BF verlangt dafür gerade mal 750 US-Dollar (etwa 642 Euro).

Das Datenleck stammt laut „WDR“ vom 6. Mai 2025 und betrifft potenziell auch zahlreiche deutsche Nutzer.

Die Dimension des Problems

Die Zahlen machen deutlich, warum der Fall so brisant ist: Mit 29 Prozent Marktanteil ist PayPal der beliebteste Online-Bezahldienst in Deutschland.

Rund 35 Millionen Deutsche nutzen den Service regelmäßig. Das Datenpaket umfasst 1,1 GB und enthält neben Zugangsdaten auch URLs, die direkt mit PayPal-Diensten verknüpft sind.

Keine direkte Schuld bei PayPal

Interessant: Nach bisherigen Erkenntnissen wurde PayPal selbst nicht gehackt. Die Daten stammen vielmehr von sogenannter Infostealer-Malware, die auf den Geräten der Nutzer installiert wurde.

Diese Schadsoftware greift laut „chip.de“ gespeicherte Zugangsdaten für verschiedene Online-Dienste direkt von infizierten Geräten ab. PayPal selbst hat sich bislang nicht zu dem Vorfall geäußert.

So schützt du dein Konto jetzt

Wer PayPal nutzt, sollte umgehend handeln. Experten empfehlen, das Konto sofort auf verdächtige Aktivitäten zu überprüfen.

„Chip.de“ rät dringend, das Passwort zu ändern – und zwar zu einem einzigartigen, das nirgendwo sonst verwendet wird. Die im Darknet angebotenen Daten enthalten laut Hacker „tausende einzigartige und lange Passwörter“, aber auch viele, die mehrfach verwendet wurden – ein klassisches Sicherheitsrisiko.

Credential Stuffing als Gefahr

Der Hacker wirbt offen damit, dass die Daten für Betrugsversuche, Phishing-Angriffe oder Credential Stuffing genutzt werden können. Bei letzterem handelt es sich um automatisierte Angriffe, bei denen Bots gestohlene Zugangsdaten massenhaft auf verschiedenen Plattformen ausprobieren.

Laut „chip.de“ ist die Datenmenge besonders gefährlich, weil sie eine Mischung aus echten Accounts und Test- bzw. Fake-Accounts enthält, was die Analyse erschwert.

Business Punk Check

Der Fall zeigt schonungslos, wie verwundbar selbst etablierte Fintech-Plattformen sind – nicht durch eigene Sicherheitslücken, sondern durch die Endgeräte ihrer Nutzer. Die wahre Schwachstelle liegt in der digitalen Hygiene der User. Während Unternehmen Millionen in Cybersecurity investieren, reicht ein einziger Klick auf einen Phishing-Link, um tausende Konten zu kompromittieren.

Die bittere Wahrheit: Selbst die beste Zwei-Faktor-Authentifizierung schützt nicht, wenn Nutzer ihre Passwörter mehrfach verwenden oder Malware ihre Geräte infiltriert hat. Für Fintech-Startups bedeutet das: Investiert nicht nur in eure eigene Sicherheit, sondern auch in die Aufklärung eurer Nutzer – sonst wird euer Geschäftsmodell zum Kollateralschaden der digitalen Sorglosigkeit.

Häufig gestellte Fragen

• Wie erkenne ich, ob meine PayPal-Daten gestohlen wurden?
  Überprüfe dein Konto auf ungewöhnliche Transaktionen oder Logins von fremden Geräten. Achte auch auf Benachrichtigungen über Passwortänderungen oder neue E-Mail-Verknüpfungen, die du nicht selbst vorgenommen hast.
• Reicht es, nur das PayPal-Passwort zu ändern?
  Nein. Wenn Infostealer-Malware auf deinem Gerät ist, musst du alle Passwörter ändern – und zwar von einem sauberen Gerät aus. Außerdem solltest du einen Malware-Scan durchführen und die Zwei-Faktor-Authentifizierung für alle wichtigen Dienste aktivieren.
• Wie schütze ich mich vor Infostealer-Malware?
  Installiere nur Software aus vertrauenswürdigen Quellen, halte dein Betriebssystem aktuell und verwende einen Passwort-Manager statt Passwörter im Browser zu speichern. Regelmäßige Sicherheits-Scans und Vorsicht bei E-Mail-Anhängen sind ebenfalls essentiell.
• Haftet PayPal für Schäden durch dieses Datenleck?
  Da die Daten nicht durch eine Sicherheitslücke bei PayPal, sondern durch Malware auf Nutzergeräten abgegriffen wurden, ist eine Haftung unwahrscheinlich. Trotzdem lohnt es sich, verdächtige Transaktionen sofort zu melden – PayPal bietet Käuferschutz für nicht autorisierte Zahlungen.
• Wie erkenne ich Phishing-Versuche, die mit diesen Daten durchgeführt werden?
  Achte auf verdächtige E-Mails, die angeblich von PayPal stammen und zu sofortigen Handlungen auffordern. Prüfe die Absender-Adresse genau und klicke nie auf Links in solchen Mails – rufe PayPal stattdessen direkt über die offizielle Website auf.

Quellen: „WDR“, „CHIP“