BERLIN / LONDON (IT BOLTWISE) – Ein Datenleck bei Paidwork trifft offenbar 23,3 Millionen Nutzerkonten. Im März 2026 sollen Unbekannte auf eine Datenbank zugegriffen haben, doch erst am 19. Juli wurde das volle Ausmaß durch Einträge in Have I Been Pwned sichtbar. Besonders kritisch: Neben Personendaten werden Bankkonten und Auszahlungshistorien mitgeliefert. Für Betroffene rücken damit Sofortmaßnahmen wie 2FA, Passwortwechsel und eine engmaschige Kontrolle von Finanztransaktionen in den Fokus.
Das Datenleck rund um Paidwork zeigt, wie schnell aus einem lokalen Sicherheitsvorfall eine großflächige Abrechnungs- und Betrugswelle werden kann. Betroffen sind nach öffentlich beobachtbaren Hinweisen rund 23,3 Millionen einzigartige Nutzerkonten; als Zeitpunkt wird in der Berichterstattung der März 2026 genannt, die öffentliche Sichtbarkeit aber erst am 19. Juli über Have I Been Pwned (HIBP) hergestellt. Für Unternehmen und IT-Leitungen ist vor allem die Verzögerung zwischen Incident und Transparenz relevant: Genau in dieser Lücke können Angreifer Daten bereits für Identitätsdiebstahl, Credential-Stuffing und gezieltes Social Engineering vorbereiten.
Technisch wirkt der Datensatz wie ein „Single Source of Truth“-Problem, bei dem eine einzige Kompromittierung gleichzeitig personenbezogene und finanzielle Metadaten freilegt. Laut Beschreibung umfasst die geleakte Datenbank mindestens 11 Gigabyte und enthält neben Namen, E-Mail-Adressen, Telefonnummern, Wohnadressen und Geburtsdaten auch Bankkontonummern sowie Auszahlungshistorien und Transaktionsaufzeichnungen. Hinzu kommen technische Informationen wie IP-Adressen, Geräte-Fingerprints und Profilfotos. Selbst wenn einzelne Felder „nur“ Kontext liefern, erhöhen sie die Trefferquote beim Targeting, etwa durch passgenaue Phishing- oder Vishing-Versuche, die auf dem tatsächlichen Nutzerprofil basieren.
Ein Detail sticht dabei positiv heraus: Die mitgestohlenen Passwörter sollen mit dem bcrypt-Algorithmus gehasht gewesen sein. bcrypt ist als langsames Hash-Verfahren grundsätzlich besser gegen klassische Offline-Cracking-Angriffe geeignet als schnellere Hashes wie unsaltes MD5 oder SHA-1. Trotzdem bleibt das Risiko hoch, weil die Kombination aus Kontodaten und Finanzhistorien die Angriffsfläche erweitert. Für Angreifer ist dann nicht nur ein Kontozugriff möglich, sondern auch das glaubhafte Erzählen einer „Kontenproblematik“ mit echten Bewegungen aus der Vergangenheit. Damit verschwimmt die Grenze zwischen IT- und Betrugsprävention – beides muss in der Reaktion zusammenarbeiten.
Die Chronologie unterstreicht zudem, dass Datenlecks häufig nicht mit dem eigentlichen Zugriff enden, sondern in Umläufen weiterleben. Bereits im April 2026 soll ein Hacker mit dem Pseudonym „hackformetome“ die Datenbank in einem Cybercrime-Forum zum Verkauf angeboten haben; im Juli wurde der gesamte Datensatz dann öffentlich geleakt. In der Praxis bedeutet das: Selbst wenn ein Unternehmen den Zugriff irgendwann entdeckt oder begrenzt, kann der Schaden bereits „entkoppelt“ sein – die Daten sind dann nicht mehr nur ein Sicherheitsvorfall, sondern ein Handelsgut. Marktbeobachter ordnen solche Muster regelmäßig als Indikator für fehlende oder verspätete Detection- und Containment-Prozesse ein, häufig verbunden mit unzureichender Segmentierung von Datenbanken.
Paidwork selbst hat sich in der Darstellung bis heute nicht offiziell geäußert, weder mit einer Pressemitteilung noch mit einem Statement auf der Plattform. Für Betroffene ist das problematisch, weil sie ohne klare Kommunikation schwerer einschätzen können, ob es laufende Gegenmaßnahmen gibt, welche Systeme betroffen sind und ob zusätzliche Überprüfungen erforderlich sind. Daneben zeigt die laufende Sicherheitslage, dass der Sommer der Lecks kein Einzelfall ist: Craneware meldete ebenfalls einen Vorfall mit Daten aus einem Umfeld von mehr als 2.000 US-Krankenhäusern, EY berichtete über einen Einbruch in eine externe Help-Desk-Plattform, und auch die KI-Entwicklungswelt blieb nicht verschont, etwa durch den von Hugging Face beschriebenen Zugriff über einen autonomen KI-Agenten. Für die IT-Sicherheit heißt das: Zero-Trust und Lieferkettenbetrachtung zählen zunehmend auch in professionellen Daten- und KI-Workflows.
Für die Markt- und Unternehmenswirkung ist besonders relevant, welche Verteidigungsstrategie jetzt praktisch Priorität bekommt. Drei Hebel sind unmittelbar: erstens die Nutzer-Accounts absichern (Passwortwechsel, sofern notwendig, und 2FA aktivieren), zweitens Finanz- und Auszahlungsprozesse so gestalten, dass kompromittierte Identitäten nicht „direkt“ zu Geld führen, und drittens Erkennung verbessern, damit Missbrauch früh auffällt. Im technischen Vergleich zeigt sich außerdem ein klarer Trend: Passkeys können Passwörter weitgehend ersetzen oder zumindest die Angriffsart „Stolen Credentials“ stark reduzieren. Allerdings ersetzt Passkey-Sicherheit nicht automatisch die Folgen gestohlener Metadaten – Geräte- oder Profilinformationen bleiben für Angreifer weiterhin wertvoll, weshalb Datenschutz, Logging und Fraud-Detection parallel weiterentwickelt werden müssen.
Was Betroffene jetzt konkret tun sollten, lässt sich aus der Art des Datensatzes ableiten. Bei Passwörtern gilt: Wenn dieselben Zugangsdaten wiederverwendet wurden oder unklar ist, wie sie gespeichert sind, ist ein sofortiger Wechsel ein sinnvoller Schritt; zusätzlich sollte 2FA überall dort aktiviert werden, wo es angeboten wird. Da Bankkonten und Auszahlungshistorien Teil des Lecks sind, ist außerdem eine engmaschige Prüfung von Kontobewegungen und Benachrichtigungen sinnvoll – insbesondere bei neuen Zahlungsmodalitäten, unbekannten Empfängern oder ungewöhnlichen Login-Mustern. In der Praxis wirken diese Maßnahmen am stärksten, wenn sie durch sichere Passwortverwaltung begleitet werden, damit im Anschluss nicht wieder statisch schwache oder mehrfach verwendete Secrets entstehen.
Der Ausblick für den Rest des Jahres ist weniger beruhigend als es einzelne Sicherheitskomponenten suggerieren. Wenn Lecks in so vielen Datenklassen gleichzeitig auftreten – Person, Gerät, Zugang und Finanzstatus – verschiebt sich die Verteidigung von reiner Account-Sicherheit hin zu einer „Identity-and-Finance“-Gesamtsicht. Für Unternehmen bedeutet das: Incident Response muss neben Forensik auch Fraud-Teams und rechtliche sowie regulatorische Bewertung einbinden; außerdem sind klare Nutzerkommunikation und dokumentierte Abhilfeschritte entscheidend, um Folgeangriffe zu begrenzen. Entwicklerseitig wird der Druck steigen, passwortlose Authentifizierung, starke Segmentierung von Datenspeichern und kontinuierliche Überwachung in KI- und Service-Plattformen als Standard zu etablieren – nicht als Projekt für den nächsten Security-Sprint.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Paidwork-Datenleck: 23,3 Mio. Nutzerkonten betroffen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Paidwork-Datenleck: 23,3 Mio. Nutzerkonten betroffen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Paidwork-Datenleck: 23,3 Mio. Nutzerkonten betroffen« bei Google Deutschland suchen, bei Bing oder Google News!