Daten von 15 Millionen Kasachen im Angebot: der eGov-Einbruch ist nicht bestätigt

Am 12. August 2026 tauchte in einem Darknet-Forum ein Angebot auf: eine Datenbank, die laut Beschreibung des Verkäufers 15 Millionen Einwohner Kasachstans umfasst. Passdaten, Telefonnummern, E-Mail-Adressen, Passwörter, Arbeitsstellen und Dokumentenscans. Das sind rund drei Viertel des Landes. Der Verkäufer behauptet, die Daten stammten aus eGov, dem staatlichen Serviceportal. Das zuständige Ministerium sagt, davon sei nichts bestätigt.

Was verkauft wird

Das Angebot tauchte über den Telegram-Kanal Mash auf, am 12. August griffen es kasachische Medien auf. Ein Nutzer mit dem Namen shymzz13 stellte eine Datei von 2,7 GB mit rund 47 Millionen Zeilen zu etwa 15 Millionen Menschen ein und verlangt dafür 0,5 Bitcoin. Die angepriesenen Felder sind genau die, die wehtun: vollständige Passdaten, Telefonnummern, E-Mail-Adressen, Passwörter, Angaben zum Arbeitsplatz und gescannte Dokumente.

Den vollständigen Datensatz hat ausserhalb des Forums niemand gesehen. Öffentlich sind die Beschreibung des Verkäufers, eine Stichprobe und der Preis. Der Unterschied zählt, denn auf dem Markt für gestohlene Daten wird eine gute Geschichte fast so gut bezahlt wie gute Daten.

Was der Staat sagt

Das Ministerium für künstliche Intelligenz und digitale Entwicklung bestätigte, dass es von den Veröffentlichungen weiss und gemeinsam mit anderen Behörden eine technische Prüfung durchführt. Sein zentrales Argument ist kein Dementi des Lecks an sich, sondern eine Unstimmigkeit in der Beschreibung.

Warum ein Hack keiner sein muss

Kasachstan hatte das schon. Im Sommer 2025 kursierte ein Datensatz mit 16,3 Millionen Einträgen: Namen, Personennummern, Geburtsdaten, Adressen, Telefonnummern, Staatsangehörigkeit. Die Behörden prüften, und der Vizeminister Doszhan Mussaliew schilderte später das Ergebnis. Der wahrscheinlichste Weg war kein Einbruch, sondern Zugang über legitime Konten: Login und Passwort wurden weitergegeben oder gestohlen, danach lud man die Daten schlicht herunter. Der grösste Teil jenes Datensatzes stammte laut Prüfung bereits aus dem Jahr 2022 und wurde später nur teilweise aufgefrischt.

So sehen solche Geschichten meistens aus. Ein frisches Angebot ist oft ein alter Datenbestand, neu verpackt, ergänzt und unter lauterer Überschrift erneut verkauft. Davon hängt auch die Reaktion ab: nach einem Loch im Portal zu suchen bringt nichts, wenn die Tür mit einem echten Schlüssel geöffnet wurde.

Ein Eingang für alles

Der unangenehme Teil hat mit dem konkreten Vorfall wenig zu tun. Ein Staatsportal ist genau deshalb bequem, weil es das einzige ist: ein Login für Steuern, Immobilien, Medizin, die Schule des Kindes. Dieselbe Eigenschaft macht es zum Single Point of Failure. Was von dort abfliesst, ist kein Passwort, das man ändern kann, sondern Tatsachen über einen Menschen, und die lassen sich nicht neu ausstellen.

Eine lokale Besonderheit ist das auch nicht. 2021 verlor Argentiniens nationales Ausweisregister Daten von zig Millionen Bürgern, und der Dieb kündigte es ebenfalls mit einer Verkaufsanzeige an. Überall, wo Identität zentralisiert ist, wächst der Wert einer einzigen Kopie der Datenbank mit jedem weiteren angeschlossenen Dienst.

Was eine Person wirklich tun kann

1. Das Passwort im Staatsportal und in der damit verknüpften Mailadresse ändern und dieses Passwort nirgendwo sonst verwenden.
2. Zwei-Faktor-Schutz überall aktivieren, wo es ihn gibt, lieber per App als per SMS: eine Telefonnummer aus so einer Datenbank wird zuerst für den SIM-Tausch genutzt.
3. Anrufe und Nachrichten, in denen man Ihre Daten bereits kennt, grundsätzlich als verdächtig behandeln. Passnummer und Arbeitsstelle im Mund des Anrufers sind jetzt billig.
4. Wo ein Dienst den Scan eines Dokuments als Nachweis akzeptiert, nach einem anderen Weg fragen. Ein Scan, der beim Laden oder Vermieter liegt, ist das nächste Leck.

Ein VPN ändert hier nichts

Das gehört klar gesagt, weil Lecks und Datenschutzwerkzeuge gern in einem Atemzug genannt werden. Ein VPN schützt den Verkehr unterwegs: es verbirgt die Verbindung vor Netz und Anbieter. Auf eine Datenbank, in der Ihre Passdaten bereits liegen, hat es keinerlei Wirkung, denn die Kopie ist auf der anderen Seite. Es hilft gegen Abhören und Sperren, nicht dagegen, dass ein staatliches Register kopiert wurde.