Ein Hacker und Cyberkrimineller mit dem Online-Pseudonym Chucky_BF bietet in einem Forum PayPal Login-Daten an. Das Datenpaket soll 1,1 GB groß sein und 15,8 Millionen Kombinationen aus E-Mail-Adressen und Passwörtern enthalten. Was an der Sache dran ist und was man als PayPal-User tun kann, erkläre ich in diesem Beitrag.

Kapitel in diesem Beitrag:
Wurde PayPal gehackt?
Wahrscheinlich nicht. Wie es von den Profis bei HackRead heißt, deutet alles darauf hin, dass die Daten über Infostealer-Malware gesammelt wurden. Bisher wurde PayPal noch nie direkt mit dem Ergebnis gehackt, dass Login-Datensätze geklaut werden konnten. PayPal speichert keine Passwörter in reiner Textform. Der Datensatz des Hackers Chucky_BF muss andere Quellen haben.
Wie ist der Hacker an die PayPal-Daten gekommen?
Wahrscheinlich wurden mehrere Quellen genutzt, vor allem Malware, die zum automatisierten Ausspionieren von Login-Daten verwendet wird. Bei HackRead wird darauf eingegangen, dass die testweise eingesehenen Daten auf Logins und Konto-Nutzungen auf verschiedenen Geräten hinweisen; Computer genauso wie mobile Android-Geräte. Auf diesen wurde wahrscheinlich unbemerkt Infostealer-Software installiert.
Ähnliches merkt auch der HaveIBeenPwned-Gründer Troy Hunt auf X an.
Wann wurden die PayPal-Passwörter geklaut? Bin ich betroffen?
In dem Forenpost, in dem die PayPal-Logins und Passwörter angeboten werden, ist als „Leak-Datum“ der 6. Mai 2025 angegeben. Wer also vor dem Mai ein PayPal-Konto angelegt hat, könnte betroffen sein. Außerdem sollen vor allem Gmail-, Yahoo-, Hotmail- und einige länderspezifische E-Mail-Adressen betroffen sein. Der „Leak“ soll allerdings einen weltweiten Datensatz darstellen.
Was können Kriminelle mit den Datensätzen anfangen?
Wer sich den Datensatz mit 15,8 Millionen PayPal-Logins für 750 US-Dollar kauft, kann verschiedene Betrugsdelikte damit begehen. Der Login und die eigene Nutzung für die Bezahlung in Online-Shops, für Abos oder Mitgliedschaften ist möglich. Aber auch betrügerische Mails, die auf vergangene PayPal-Einkäufe eingehen und weitere Daten verlangen sind möglich.
Neben Betrugskampagnen und weiterem Phishing ist mit den Datensätzen aber auch das sogenannte Credential Stuffing möglich. Das heißt, Kriminelle können die Login-Daten nutzen, um sie bei anderen Diensten und Plattformen, z. B. Social Media, auszuprobieren. Wer auf mehreren Seiten und in verschiedenen Apps die gleichen Login-Daten nutzt, muss also über PayPal hinaus mit Problemen rechnen.
PayPal Logins geklaut – Was kann ich als User tun?
Wer PayPal nutzt, sollte nun also öfter mal die Umsätze des PayPal-Kontos überprüfen. Zudem sollte das Passwort geändert werden. Werden die Login-Daten von PayPal auch andernorts genutzt, sollte auf den entsprechenden Seiten ebenfalls das Passwort geändert werden. Oder kurz zusammengefasst:
- Aktuelle Zahlungen und Abbuchungen bei PayPal im Auge behalten
- Zeitnah das PayPal-Passwort ändern
- Wenn die Login-Daten andernorts genutzt werden, auch dort das Passwort ändern
- Unbedingt die 2-Faktor-Authentifizierung (2FA) aktivieren, wenn noch nicht geschehen
Wir drücken die Daumen, dass niemand betroffen ist. Seht diesen Artikel als Informationspost an, und lasst euch nicht verrückt machen :) Hier noch ein Lese-Tipp aus dem Sir Apfelot Blog: Was ist Wero? Infos zur europäischen PayPal-Alternative!
Ähnliche Beiträge
Johannes hat nach dem Abitur eine Ausbildung zum Wirtschaftsassistenten in der Fachrichtung Fremdsprachen absolviert. Danach hat er sich aber für das Recherchieren und Schreiben entschieden, woraus seine Selbstständigkeit hervorging. Seit mehreren Jahren arbeitet er nun u. a. für Sir Apfelot. Seine Artikel beinhalten Produktvorstellungen, News, Anleitungen, Videospiele, Konsolen und einiges mehr. Apple Keynotes verfolgt er live per Stream.










Hallo Johannes,
Als 88 Jahre alter Grufty überfliege ich leider in unregelmäßigen Abständen Deinen Blog, ich möchte über meine Erfahrung mit Paypal berichten : vor circa 28 Tagen wollte ich 510.00$ über Paypal überweisen, bei der Eingabe der ersten Buchstaben wurde ich immer wieder unterbrochen und sollte bestätigen das ich kein Computer bin, es waren alle Busse, alle Fahrräder, alle Verkehrsampeln, alle Stiegen, alle Motorräder, alle Fussgängerübergänge anzuklicken, die Adresse konnte ich nie fertig eingeben aber plötzlich kam eine ähnliche Adresse etwas abgekürzt und ich idiot dachte das passiert wegen des Datenschutzes und es ist die richtige Adresse / @[Name entfernt] / richtig wäre gewesen / [Name entfernt]@gmail.com groß war mein erstaunen als die Meldung kam das ich 510.00 $ an / [Name entfernt]@gmail.com überwiesen habe. Eine sofortige Rückforderung blieb erfolglos. Der falsche Empfänger heißt [Name entfernt] der richtige [Name entfernt]. Wieso Paypal das Geld nicht an die von mir angegebene Adresse überwiesen hat auch wenn sie falsch war hätte der Empfänger @[Name entfernt] heißen müssen und nicht [Name entfernt]@gmail.com . Leider gibt es keine Hilfe von Paypal weil ich das Geld (zum letzten Mal) an Friends and Family überwiesen habe. Soviel zu Paypal und das eigentlich eine Möglichkeit zum überprüfen vorhanden sein sollte wie: wollen Sie das Geld wirklich an die Adresse überweisen ! (Habe die email Adressen geringfügig geändert)
Mit freundlichen Grüßen
Felix Damm
[Anm. d. R.: Alle Namen Dritter, PayPal-Tags und E-Mail-Adressen zur Wahrung von Persönlichkeitsrechten entfernt.]
Hallo Felix,
danke, dass du hin und wieder bei uns reinschaust :) Und danke für deinen Erfahrungsbericht.
Dass dauernd eine Sicherheitsabfrage kommt, welche die Eingabe der Daten unterbricht, ist wirklich nervig. Hattest du die Webseite über ein VPN aufgerufen oder anderweitige Umwege eingeschlagen?
Der Name mit dem vorgestellten @-Zeichen ist der von PayPal vergebene Accountname. Der unterscheidet sich meistens von der E-Mail-Adresse. Aber ich verstehe, dass man da durcheinander kommen kann. Vor allem, wenn die Namen ähnlich sind.
Konntest du den Zahlungsempfänger kontaktieren, um den Betrag zurück zu bekommen?
MfG
Johannes
Das blöde ist, dass viele Anwender von Paypal – und nicht nur diese, sich nicht mit der zwei-Faktoren Authentifikation vertraut machen. Sie ist potent und bei einer Transaktion die letzte Hürde und Kontrollmöglichkeit.
Bei Zugängen zu Bankkonten sollte man auch unbedingt einen zweiten Faktor nutzen, der ohne manuelle Eingaben von Ziffern oder TAN’s auskommt. Nicht die Ziffern sind das Problem, sondern die Eingabemethode: „Der Browser“. Die TAN kann durch eine Fake-Seite abgefangen werden und schon ist die TAN in falschen Händen und damit auch Kohle weg. Es gibt die Option der Chip-TAN. Die geht, ohne dass man manuelle Eingaben machen muss. Die wirkt u.a. wie ein zweiter Faktor.
Was mich allerdings ärgert ist, dass jeder Hans und Franz der nur meine Kontoverbindung hat, dies nach Belieben belasten kann. Das ging früher ohne Ermächtigung nicht.
Einsparungen bei den Banken führen immer zu Missbräuchen, denn genau deswegen gibt es diese Freigaben nicht mehr.
Da ich 8 Wochen ab Abbuchung zur Rückbuchung zur Verfügung habe, ist es die bisher einfachste und sicherste Methode sein Geld wieder zu erhalten.
Das ist auch ein Grund, warum Kreditinstitute die Abbuchungsberechtigung nicht mehr prüfen.