In Russland sind mehr Datenbanken abgeflossen als in vier Weltregionen zusammen
Eine russische Firma für Cyberaufklärung hat die Datenbanken gezählt, die binnen achtzehn Monaten öffentlich auftauchten, und kam auf zwei Zahlen, die schnell die Runde machten: 326 geleakte russische Datenbanken und rund 1,18 Milliarden Datenzeilen. Beide Angaben stimmen. Sie messen weniger, als die Schlagzeilen versprechen, und dieser Unterschied lohnt sich überall, denn dieselben Zählprobleme stecken in jedem Leak-Bericht.
Kurz gefasst
- F6 zählte für 2025 und das erste Halbjahr 2026 insgesamt 326 Veröffentlichungen von Datenbanken russischer Unternehmen mit rund 1,175 Milliarden Zeilen.
- Das ist beinahe doppelt so viel wie die 164 Fälle aus Lateinamerika, dem Nahen Osten und Afrika, dem asiatisch-pazifischen Raum und den übrigen GUS-Staaten zusammen.
- Europa und Nordamerika fehlen in der veröffentlichten Gegenüberstellung, deshalb ist "Platz eins weltweit" eine Formulierung der Schlagzeilen und kein vergleichbarer Befund.
- Eine Zeile ist kein Mensch. Eine Person taucht in vielen Zeilen auf, und die Zeilen reichen von einer E-Mail-Adresse bis zu Passdaten und einem Dienstpasswort.
Was gezählt wurde
Die Einheit ist hier eine Veröffentlichung, kein Einbruch. F6 zählt Datenbanken, die im Jahr 2025 und in den ersten sechs Monaten 2026 öffentlich auftauchten, in Foren und Kanälen, wo gestohlene Daten abgeladen werden. Ein Unternehmen, das leise kompromittiert wurde und dessen Daten nie erschienen, kommt in dieser Zählung gar nicht vor. Die Zahl verfolgt also, was nach draußen gelangte, nicht das, was gestohlen wurde.
Lässt man die russischen Zahlen beiseite, verteilt sich der übrige untersuchte Teil der Welt so: Lateinamerika 33 Prozent der erfassten Fälle, Naher Osten und Afrika 29 Prozent, asiatisch-pazifischer Raum 8 Prozent, die restlichen GUS-Staaten 4 Prozent. Die größte Zeilenmenge kam aber nicht aus der Region mit den meisten Vorfällen. Auf Zentralasien entfallen 257 Millionen Zeilen, mehr als ein Drittel der weltweiten Menge, und fast alles davon auf ein Land: Tadschikistan steuert rund 217 Millionen Zeilen bei, also 84 Prozent des zentralasiatischen Anteils, vor Kasachstan mit 25 Millionen und Usbekistan mit 15 Millionen.
Drei Dinge, die diese Zahlen nicht sagen
Das wiegt schwerer als jede Rangliste und gilt für jede Leak-Statistik, die Sie dieses Jahr lesen werden.
- Eine Zeile ist kein Mensch. Dieselbe Person erscheint mehrfach in einer Datenbank und erneut in jeder weiteren, die sie enthält. Wer Zeilen über Leaks hinweg addiert, zählt dieselben Menschen wieder und wieder.
- Zeilen sind nicht gleich viel wert. In der einen steht nichts als eine E-Mail-Adresse, in der anderen ein vollständiger Name, eine Passnummer und ein Dienstpasswort. Über diese Mischung sagt die Summe nichts.
- Die Regionen werden nicht gleichartig verglichen. Die veröffentlichte Aufschlüsselung umfasst Lateinamerika, den Nahen Osten und Afrika, den asiatisch-pazifischen Raum und GUS-Staaten. Europa und Nordamerika kommen darin nicht vor, ein weltweiter erster Platz lässt sich damit nicht belegen.
Woran die Forscher es festmachen
F6 führt die Häufung darauf zurück, dass Angriffe auf Unternehmen und staatliche Stellen im geopolitischen Konflikt zugenommen haben, und zwar mit dem Ziel, den Firmen und ihren Kunden maximalen Schaden zuzufügen, statt bloß an den Daten zu verdienen. Das Unternehmen berichtet außerdem etwas, das hinter den großen Zahlen verschwindet: Im ersten Halbjahr 2026 sank die Zahl der veröffentlichten russischen Datenbanken, während die Angriffsintensität nach eigener Formulierung auf beispiellosem Niveau blieb.
Es gibt eine zweite Erklärung, die mit Angreifern nichts zu tun hat; sie fiel in der russischen Berichterstattung über den Report und gehört mitgedacht. Die Menge geleakter Daten folgt der Menge erhobener Daten. Ein Land, in dem Behördenportale, Bankwesen, Telemedizin, Lieferdienste und Carsharing digital und weit verbreitet sind, hält schlicht mehr personenbezogene Datensätze vor als eines, in dem diese Dienste dünner gesät sind, und dort gibt es in jede Richtung mehr zu verlieren.
Was man mit so einer Zahl anfängt
Sinnvoll
- Die eigenen Adressen über einen Leak-Suchdienst prüfen, und zwar gelegentlich wieder, nicht nur einmal.
- Jedes mehrfach verwendete Passwort ändern, beginnend bei E-Mail und Bank: Genau dafür werden geleakte Zeilen benutzt.
- Zwei-Faktor-Authentifizierung überall aktivieren, wo es sie gibt, und App oder Hardwareschlüssel gegenüber SMS bevorzugen.
- Eine Passnummer in einem Leak als endgültig betrachten. Anders als ein Passwort lässt sie sich nicht wechseln, hier hilft nur, Missbrauch im Blick zu behalten.
Nicht sinnvoll
- Eine Zeilenzahl als Personenzahl lesen oder Summen aus verschiedenen Berichten addieren.
- Annehmen, ein Land mit kleiner Zahl sei sicherer. Vielleicht hat es nur weniger digitale Dienste oder weniger Leute, die zählen.
- Erwarten, dass hier ein VPN hilft. Daten fließen vom Server eines Unternehmens ab, nicht aus Ihrer Verbindung.
- Sich über ein Leak sorgen, das älter ist als Ihre jetzigen Passwörter. Alte Zeilen wiegen wenig, wenn die Zugangsdaten darin tot sind.
Der VPN-Punkt bekommt hier genau einen Satz und nicht mehr, denn die Versuchung, ihn zu dehnen, liegt auf der Hand. Ein Tunnel schützt Verkehr auf dem Weg und verbirgt, in welchem Netz Sie sind. Gegen eine Datenbank auf dem Server eines Unternehmens, in der Ihr Name längst steht, richtet er nichts aus, und jeder Dienst, der etwas anderes andeutet, verkauft Ihnen etwas.
Die brauchbare Lesart
Eng gelesen sagt der Bericht, dass russische Datenbanken über achtzehn Monate die öffentlichen Dumps unter den untersuchten Regionen dominierten und dass Zentralasien aus wenigen Vorfällen einen überproportionalen Anteil der Rohmenge beisteuerte. Weit gelesen erinnert er daran, dass die Größe eines Leaks davon abhängt, wie viel zuvor erhoben wurde. Jeder Dienst, der für die Kontoprüfung einen Passscan verlangt, fügt Zeilen zu irgendjemandes künftiger Summe hinzu, und darüber zu streiten lohnt sich, solange es noch eine Entwurfsentscheidung ist und keine Nachricht.
