Wurde Instagram gehackt? Das steckt hinter den Passwort-Mails

Am Freitag erklärte die Cybersecurity-Firma Malwarebytes, dass die Daten von 17,5 Millionen Instagram-Nutzerinnen und Nutzern im Darkweb zum Verkauf stünden. Betroffen seien u. a.  Usernamen, Wohnadressen, Telefonnummern und E-Mail-Adressen.

Laut Engadget hat Malwarebytes den Datensatz bei einem Routine-Scan entdeckt. Er stehe möglicherweise in Zusammenhang mit einer API-Sicherheitslücke von Instagram im Jahr 2024.

➤ Mehr lesen: Was bringt ein Datenlöschdienst wie Incogni wirklich?

E-Mail zum Passwort-Zurücksetzen

In den vergangenen Tagen hatten unzählige Instagram-Nutzerinnen und -Nutzer zudem eine E-Mail mit einem Link zum Ändern des Passworts bekommen. Diese waren allerdings nicht von ihnen selbst angefordert worden.

Instagram erklärte daraufhin auf X, dass die Accounts sicher seien. Die E-Mails solle man einfach ignorieren.

Experte: unbedeutendes Datenleck

Der Datenleck-Experte Troy Hunt hält die Aufregung um den Vorfall für übertrieben. Er betreibt das Service Have I Been Pwned, wo man überprüfen kann, ob die eigene E-Mail-Adresse öffentlich geleakt worden ist.

➤ Mehr lesen: Millionen E-Mail-Passwörter gestohlen: Ist eures darunter?

„Sensible“ Daten seien definitiv nicht enthalten, hauptsächlich handle es sich um ohnehin öffentliche Informationen wie Username, ID und Name. Außerdem seien „nur“ 6,2 Millionen E-Mail-Adressen betroffen – also knapp ein Drittel der ursprünglich genannten Zahl. Er sieht keinen Zusammenhang zwischen den Passwort-Zurücksetz-E-Mails und dem Leak:

2-Faktor-Authentifizierung ratsam

Dass jemand systematisch öffentlich einsehbare Usernames in die Maske zum Passwort-Zurücksetzen eingibt, sei noch lange kein Datenleck. Tatsächlich seien die persönlichen Informationen aus dem entsprechenden Datensatz schon vorher im Darkweb einsehbar gewesen und vollständig bei Have I Been Pwned eingepflegt gewesen.

Ganz abgesehen davon kann es nicht schaden, bei Instagram und allen anderen Services die 2-Faktor-Authentifizierung zu aktivieren. So sinkt die Wahrscheinlichkeit, dass der eigene Account von anderen übernommen werden kann.