Deutsche E-Mail-Konten im Dark Web bereits für 26,50 US-Dollar erhältlich

Eine aktuelle Dark-Web-Analyse von NordVPN zeigt, wie niedrig die Einstiegspreise für gestohlene digitale Identitäten inzwischen sind. Besonders auffällig: Nicht nur Bankkonten oder Ausweisdokumente sind für Cyberkriminelle interessant. E-Mail-, Streaming- und Social-Media-Zugänge werden massenhaft gehandelt – und können Ausgangspunkt wesentlich folgenreicherer Angriffe sein. Für Unternehmen rückt damit die Absicherung digitaler Identitäten noch stärker in den Mittelpunkt.

Die ökonomische Logik des Cybercrime-Marktes ist bisweilen ernüchternd. Ein kompromittiertes deutsches Office-365-Konto wird auf einschlägigen Dark-Web-Marktplätzen nach einer aktuellen Untersuchung im Durchschnitt für 26,50 US-Dollar angeboten. Gestohlene Zahlungskartendaten sind bereits für rund 12,68 US-Dollar erhältlich, Zugangsdaten zu Streaming-Diensten teilweise für weniger als fünf Dollar.

Die niedrigen Preise dürfen allerdings nicht mit einem niedrigen Schadenspotenzial verwechselt werden. Im Gegenteil: Gerade alltägliche Accounts können für Angreifer besonders interessant sein, weil sie sich als Ausgangspunkt für weitere Übernahmen, Social Engineering oder Identitätsmissbrauch einsetzen lassen.

Das zeigen zwei Untersuchungen, die NordVPN anlässlich des Internationalen VPN-Tages am 19. August zusammengeführt hat. Einer repräsentativen Verbraucherbefragung steht eine Analyse von mehr als 28.000 eindeutigen Angeboten aus unterschiedlichen Bereichen des cyberkriminellen Untergrundmarktes gegenüber. Das Ergebnis macht sichtbar, wie weit Wahrnehmung und tatsächliche Funktionsweise der kriminellen Datenökonomie auseinanderliegen.

Digitale Identität wird in Einzelteilen gehandelt

Viele Nutzer verbinden Identitätsdiebstahl zunächst mit besonders sensiblen Informationen: Passdaten, Kreditkarten, Kontoinformationen oder Steuerdaten. Auf Untergrundmarktplätzen ist die digitale Identität eines Menschen jedoch längst kein monolithischer Datensatz mehr. Sie wird in einzelne verwertbare Komponenten zerlegt.

Nach den von NordVPN ausgewerteten Angeboten kosten digitale deutsche Reisepässe durchschnittlich rund 33 US-Dollar, Führerscheindaten 35 Dollar und Personalausweise etwa 34 Dollar. Ebenfalls für ungefähr 33 Dollar werden sogenannte „Fullz“ angeboten – Datensätze, die mehrere personenbezogene Merkmale eines Opfers kombinieren und beispielsweise für Identitätsbetrug eingesetzt werden können.

Bei physischen Originaldokumenten liegt das Preisniveau erheblich höher. Deutsche Pässe oder Personalausweise werden der Untersuchung zufolge teilweise für bis zu 1.897 US-Dollar angeboten. Noch höhere Preise erzielen kompromittierte Finanzkonten: Für Zugänge zu Wise nennt NordVPN einen Durchschnittspreis von 803 US-Dollar, für Revolut-Konten mehr als 1.700 US-Dollar.

Doch diese hohen Beträge verdecken einen anderen Teil des Marktes. Cyberkriminelle benötigen nicht zwangsläufig einen vollständigen Identitätsdatensatz. Oft reicht ein funktionierender Zugang zu einem scheinbar unspektakulären Dienst.

Telegram-Konten werden laut Untersuchung für etwa zwölf Dollar gehandelt, TikTok-Zugänge für rund 60 Dollar. Streaming-Konten wechseln teilweise für weniger als fünf Dollar den Besitzer. Entscheidend ist dabei nicht allein der direkte monetäre Wert eines Accounts. Ein kompromittierter Zugang kann Informationen liefern, die anschließend für weitere Angriffe genutzt oder mit Daten aus anderen Quellen kombiniert werden.

Das E-Mail-Konto als Schaltstelle der digitalen Identität

Besonders kritisch sind E-Mail- und Cloud-Konten. Ein kompromittiertes Postfach ist nicht nur ein Datenspeicher, sondern häufig ein zentraler Bestandteil der digitalen Identität eines Nutzers. Über die hinterlegte E-Mail-Adresse laufen Registrierungen, Sicherheitswarnungen, Bestellbestätigungen, Kommunikationsverläufe und bei zahlreichen Diensten auch Verfahren zur Wiederherstellung von Accounts.

Bei geschäftlich genutzten Microsoft-365-Identitäten reicht das Risiko noch weiter. Microsoft weist darauf hin, dass ein erfolgreich kompromittiertes Konto je nach Berechtigungen nicht nur Zugriff auf das dazugehörige Postfach ermöglichen kann, sondern auch auf Dateien in OneDrive oder SharePoint. Angreifer können kompromittierte Mailboxen zudem für interne und externe betrügerische Kommunikation verwenden – ein typisches Element von Business Email Compromise.

Damit erklärt sich, warum ein Verkaufspreis von 26,50 US-Dollar wenig über die mögliche Schadenshöhe aussagt. Für den Käufer kann ein gültiger Account vor allem Zugang zu einer bereits etablierten digitalen Identität bedeuten. Die Kommunikation stammt von einer legitimen Adresse, das Konto besitzt möglicherweise langjährige Kontakte und ist in bestehende Geschäftsprozesse eingebunden.

Der Angriff muss damit nicht mehr zwangsläufig wie ein Angriff aussehen. Statt eine technische Sicherheitsbarriere gewaltsam zu überwinden, können Kriminelle mit gültigen Anmeldedaten zunächst wie reguläre Benutzer erscheinen.

Zugangsdaten bleiben Teil der professionellen Cybercrime-Lieferkette

Dass Identitäten und Zugangsdaten zu einem eigenständigen Handelsgut geworden sind, entspricht der zunehmenden Arbeitsteilung im cyberkriminellen Ökosystem. Informationsdiebe, Betreiber von Phishing-Infrastrukturen, Initial Access Broker und die späteren Betreiber von Betrugs- oder Erpressungskampagnen müssen nicht identisch sein.

Die europäische Cybersicherheitsagentur ENISA beschreibt Infostealer weiterhin als wichtigen Bestandteil dieser Lieferkette. Die Schadprogramme dienen insbesondere dazu, Zugangsdaten und Sitzungstoken zu entwenden und anschließend Zugriffe auf kompromittierte Systeme zu ermöglichen oder weiterzuverkaufen. ENISA beobachtet zudem eine zunehmende Professionalisierung von Phishing-as-a-Service-Angeboten, mit denen selbst technisch weniger versierte Täter gefälschte Anmeldeportale und groß angelegte Kampagnen einsetzen können.

Phishing bleibt nach Einschätzung der Behörde ein bedeutender Weg für Erstzugriffe und wird unter anderem für Credential Theft, Session Hijacking und die Verteilung von Schadsoftware eingesetzt. Auch gefälschte CAPTCHA-Seiten oder manipulierte Webseiten dienen inzwischen dazu, Nutzer zur Installation von Infostealern zu verleiten.

Dabei sollte die Bedeutung kompromittierter Zugangsdaten nicht isoliert betrachtet werden. Der Verizon Data Breach Investigations Report 2026 zeigt beispielsweise eine Verschiebung bei den beobachteten Erstzugriffswegen: Erstmals sind ausgenutzte Software-Schwachstellen mit einem Anteil von 31 Prozent an die Spitze gerückt und haben gestohlene Passwörter als häufigsten Einstiegspunkt abgelöst. Gleichzeitig zählt Verizon Social Engineering, Phishing und kompromittierte Zugangsdaten weiterhin zu den wesentlichen Ursachen von Sicherheitsverletzungen.

Die Entwicklung spricht daher weniger für ein Ende identitätsbasierter Angriffe als für eine breitere Angriffsoberfläche. Unternehmen müssen Schwachstellenmanagement und Identitätsschutz parallel beherrschen.

Öffentlich verfügbare Daten erhöhen den Wert gestohlener Zugänge

Die zweite NordVPN-Untersuchung macht deutlich, wie viele zusätzliche Informationen potenziellen Angreifern bereits zur Verfügung stehen. In der deutschen Stichprobe gaben 60 Prozent der Befragten an, ihren vollständigen Namen online veröffentlicht zu haben, 63 Prozent ihr Geburtsdatum. 46 Prozent hatten ihre vollständige Adresse und 36 Prozent ihren Beziehungsstatus geteilt.

Besonders bemerkenswert ist, dass 26 Prozent nach eigenen Angaben bereits Bankdaten und sieben Prozent ihre Steuernummer online preisgegeben haben. Sieben Prozent erklärten, die Veröffentlichung persönlicher Informationen inzwischen zu bereuen.

Solche Angaben führen für sich genommen nicht automatisch zu einem Account-Takeover. Ihre Bedeutung entsteht vor allem durch Kombination. Namen, Adressen, Geburtsdaten, Telefonnummern, E-Mail-Adressen, Kundennummern und öffentlich erkennbare Beziehungen können zu einem immer detaillierteren Profil zusammengeführt werden. Dieses Profil wiederum kann Social-Engineering-Angriffe glaubwürdiger machen oder bei schlecht abgesicherten Wiederherstellungsprozessen hilfreich sein.

Damit verändert sich auch die Bewertung scheinbar harmloser Informationen. Der Wert eines einzelnen Datensatzes liegt nicht ausschließlich in seinem Inhalt, sondern in seiner Kombinierbarkeit mit bereits verfügbaren Informationen.

Für Unternehmen wird der private Account zum Sicherheitsfaktor

Für Security-Verantwortliche ist diese Entwicklung besonders relevant, weil sich private und berufliche digitale Identitäten immer schwerer voneinander trennen lassen. Mitarbeiter verwenden dieselben Endgeräte für unterschiedliche Dienste, E-Mail-Adressen dienen als Wiederherstellungsadressen und gestohlene Passwörter können bei mehrfacher Verwendung auch andere Accounts gefährden.

Ein kompromittiertes Konto eines Beschäftigten bedeutet deshalb nicht automatisch eine Kompromittierung des Unternehmens. Es kann Angreifern jedoch wertvolle Informationen über Kommunikationspartner, interne Strukturen oder verwendete Dienste liefern. Bei einem tatsächlich übernommenen Unternehmenskonto steigen die Risiken deutlich: Neben Datendiebstahl kommen manipulierte Weiterleitungsregeln, betrügerische E-Mails, Session-Missbrauch und Zugriffe auf angebundene Cloud-Ressourcen in Betracht. Microsoft empfiehlt bei kompromittierten Microsoft-365-Konten deshalb unter anderem das sofortige Sperren des betroffenen Accounts, das Zurücksetzen der Zugangsdaten, das Widerrufen aktiver Sitzungen sowie die Kontrolle von MFA-Verfahren, Berechtigungen und Weiterleitungsregeln.

Damit reicht die klassische Forderung nach einem „starken Passwort“ längst nicht mehr aus.

Identitätsschutz muss vor dem Passwort ansetzen

Einzigartige Passwörter und Passwortmanager bleiben eine wichtige Grundlage, weil sie verhindern, dass der Verlust eines einzelnen Passworts automatisch weitere Dienste gefährdet. Noch wichtiger ist jedoch ein zusätzlicher Authentisierungsfaktor. Das Bundesamt für Sicherheit in der Informationstechnik weist darauf hin, dass Zwei-Faktor-Authentisierung verhindern kann, dass allein der Besitz eines gestohlenen Passworts bereits für einen Kontozugriff genügt.

Wo verfügbar, gewinnen darüber hinaus Passkeys und andere phishingresistente Verfahren an Bedeutung. Das BSI verweist darauf, dass Passkeys aufgrund ihres kryptografischen Funktionsprinzips einen hohen Schutz gegen bekannte Phishing-Verfahren bieten.

Für Unternehmen gehören dazu zusätzlich konsequentes Identity and Access Management, die Begrenzung privilegierter Konten, Conditional Access, Session-Überwachung und eine schnelle Reaktion auf verdächtige Anmeldevorgänge. Auch die Absicherung von Endgeräten ist entscheidend, da Infostealer neben Passwörtern beispielsweise Sitzungsinformationen entwenden können und damit klassische Passwortkontrollen teilweise umgehen.

Ein VPN kann insbesondere in nicht vertrauenswürdigen Netzwerken eine zusätzliche Schutzschicht für die Netzwerkkommunikation darstellen. Gegen Phishing, gestohlene Zugangsdaten oder bereits auf einem Endgerät ausgeführte Infostealer ist es jedoch kein Ersatz für starke Authentisierung und Endpoint Security. Gerade die von ENISA beschriebenen Angriffsketten zeigen, dass Credential Theft häufig auf der Anwendungsebene oder direkt auf kompromittierten Geräten stattfindet.

Ein niedriger Marktpreis ist kein Maß für das Risiko

Die Dark-Web-Analyse liefert damit weniger eine Preisliste für Datendiebstahl als einen Einblick in die Industrialisierung digitaler Kriminalität. Dass Kreditkartendaten, Streaming-Accounts oder E-Mail-Zugänge für zweistellige oder sogar einstellige Dollarbeträge angeboten werden, ist nicht beruhigend. Es zeigt vielmehr, dass bestimmte Arten kompromittierter Daten in großer Menge verfügbar und für Täter leicht handelbar sind.

Der entscheidende Wert entsteht häufig erst im nächsten Schritt. Ein E-Mail-Konto kann mit einem gestohlenen Passwort kombiniert werden, ein öffentliches Social-Media-Profil mit persönlichen Daten, ein kompromittierter Browser mit noch aktiven Sessions. Aus einzelnen Informationsfragmenten entsteht so eine verwertbare digitale Identität.

Für Unternehmen und Privatnutzer folgt daraus derselbe Grundsatz: Nicht nur besonders sensible Informationen verdienen besonderen Schutz. Im heutigen Cybercrime-Markt kann bereits der Zugang zu einem alltäglichen Account das erste Glied einer erheblich längeren Angriffskette darstellen.

Zur Methodik: Die von NordVPN veröffentlichten Ergebnisse basieren auf zwei getrennten Untersuchungen. Für die Verbraucherbefragung wurden zwischen dem 1. und 17. April 2026 durch Cint mehr als 20.000 Internetnutzer in 20 Ländern befragt. Die deutsche Stichprobe umfasste 1.001 Personen im Alter zwischen 18 und 74 Jahren und wurde anhand von Quoten für Alter, Geschlecht und Wohnort zusammengestellt. Die Dark-Web-Analyse mit der Threat-Exposure-Management-Plattform NordStellar erfasste Angebote zwischen Januar 2025 und Februar 2026 auf indizierten, nicht indizierten und spezialisierten Marktplätzen. Nach der Deduplizierung umfasste der Datensatz mehr als 28.000 eindeutige Angebote in 16 Kategorien. Bei der Interpretation der Preise ist zu berücksichtigen, dass Angebotsdaten von Untergrundmarktplätzen nicht mit nachgewiesenen Verkaufspreisen oder tatsächlichen Transaktionsvolumina gleichzusetzen sind.