Minecraft: Angeblicher Datenleak betrifft Millionen Spielerdaten

In unterirdischen Cybercrime-Foren sind mutmaßliche Leaks von Millionen Minecraft-Spielerdaten aufgetaucht. Zwei verschiedene Akteure bieten dort angeblich Zugangsdaten von Nutzern zum Verkauf an: Während ein Posting von 18 Millionen Datensätzen spricht, nennt eine andere Quelle immerhin neun Millionen betroffene Konten. Das IT-Sicherheitsportal Cybernews hat die Behauptungen genauer unter die Lupe genommen und Entwarnung bezüglich der offiziellen Mojang- beziehungsweise Microsoft-Server gegeben. Dennoch sollten Spieler jetzt wachsam sein.

Analyse der angebotenen Daten

Die Forscher untersuchten das bereitgestellte Probenmaterial der angeblichen Datenlecks genauer. Dabei stellte sich heraus, dass die in beiden Forenposts angebotenen Muster identisch sind und jeweils aus denselben 1.000 Datensätzen bestehen. Diese Stichproben enthalten Informationen wie Benutzernamen, E-Mail-Adressen und in einigen Fällen auch gehashte Passwörter. Ein zentrales Ergebnis der Untersuchung ist, dass die Daten nicht direkt von den Hauptservern des Entwicklers Mojang Studios oder des Mutterkonzerns Microsoft stammen. Stattdessen scheinen die Informationen gezielt auf einzelnen Ingame-Servern von Drittanbietern gesammelt worden zu sein. In der vorliegenden Stichprobe ließen sich lediglich drei eindeutige Community-Server identifizieren, von denen die Daten stammen.

Die genaue Herkunft und das tatsächliche Ausmaß des Leaks bleiben vorerst ungewiss. Die Sicherheitsforscher von Cybernews äußerten sich zur Validität der Angebote wie folgt:

Es ist unklar, wie alt der Datensatz ist, da keine Zeitstempel vorhanden sind. Basierend auf der Stichprobe lässt sich zudem nicht sagen, ob es sich wirklich um 18 Millionen oder 9 Millionen Datensätze handelt.

Weitere Überprüfungen ergaben, dass viele der enthaltenen E-Mail-Adressen bereits in bekannten Datenbanken geleakter Zugangsdaten wie „Have I Been Pwned“ auftauchen. Zudem finden sich die Adressen in diversen Kombinationen von Infostealer-Software wieder. Dies legt den Schluss nahe, dass die Daten nicht durch einen zentralen Server-Hack erbeutet wurden, sondern über Schadsoftware auf den Geräten einzelner Nutzer oder durch frühere Datenlecks auf inoffiziellen Servern zusammengetragen wurden.

Gefahren durch Credential Stuffing und Wiederverwendung von Passwörtern

Auch wenn die offiziellen Microsoft-Konten nach bisherigen Erkenntnissen nicht direkt betroffen sind, geht von den aufgetauchten Daten eine reale Gefahr aus. Kriminelle nutzen solche Datensätze bevorzugt für sogenannte Credential-Stuffing-Angriffe. Dabei testen automatisierte Programme ausprobierte Kombinationen aus E-Mail-Adresse und Passwort auf zahlreichen anderen Online-Plattformen, Shops oder Social-Media-Diensten. Solltest du für deinen Account auf einem spezifischen Minecraft-Server dieselbe Kombination aus E-Mail und Passwort verwendet haben wie für dein Microsoft-Konto oder andere Dienste, droht eine Übernahme dieser Konten.

Zusätzlich steigt das Risiko für Phishing und Social-Engineering-Scams per E-Mail. Angreifer können die gewonnenen Informationen nutzen, um täuschend echte Nachrichten zu verfassen, die sich gezielt an Minecraft-Spieler richten, um weitere sensitive Daten abzugreifen.

So schützt du dein Minecraft-Konto

Um dich effektiv vor den Folgen solcher Leaks zu schützen, solltest du ein paar grundlegende Sicherheitsregeln beachten. Überprüfe als Erstes, ob deine E-Mail-Adresse in bekannten Leaks enthalten ist. Solltest du auf inoffiziellen Minecraft-Servern unterwegs sein oder gewesen sein, empfiehlt es sich, das dort genutzte Passwort umgehend zu ändern. Wichtig dabei: Verwende niemals dasselbe Passwort für Community-Server und dein primäres Microsoft-Konto.

Für dein Microsoft-Konto, mit dem du Minecraft spielst, solltest du zwingend die Zwei-Faktor-Authentifizierung (2FA) aktivieren. Dadurch wird bei jedem Login neben dem Passwort ein zweiter Bestätigungscode verlangt, was unbefugte Zugriffe selbst bei abgefangenen Passwörtern wirksam verhindert. Die Nutzung eines Passwort-Managers hilft dir zudem dabei, für jeden Dienst und jeden Server ein einzigartiges, komplexes Passwort zu generieren und sicher zu verwalten.