Der Cybervorfall bei Chess.com hat eine neue Dimension erreicht: Das Have-I-Been-Pwned-Projekt (HIBP) hat rund 4,7 Millionen eindeutige Datensätze der Online-Schachplattform in seine Datenbank aufgenommen. Die Informationen wurden offenbar durch systematisches Scraping von der Webseite abgegriffen und anschließend in einem Untergrundforum kostenlos veröffentlicht. Für die betroffenen Nutzer bedeutet dies ein erhöhtes Risiko gezielter Phishing-Angriffe.
Hintergrund des Datenlecks: 7,3 Millionen Zeilen und 4,7 Millionen E-Mail-Adressen
Projektbetreiber Troy Hunt bestätigte die Aufnahme der kompromittierten Daten in den HIBP-Fundus. Die Sammlung umfasst insgesamt 7,3 Millionen Zeilen, enthält jedoch lediglich 4,7 Millionen eindeutige E-Mail-Adressen. Neben den E-Mail-Adressen fanden sich in den Daten User-Namen, vollständige Namen, Länderangaben sowie Kontoinformationen von Chess.com. Die Datei mit einem Volumen von 15,5 Gigabyte wurde zwischen dem 26. Juli und dem 3. August 2026 gesammelt und am 12. August 2026 in einem Untergrundforum zum Download bereitgestellt – ohne Lösegeldforderung.
Bemerkenswert ist die Analyse der bereits bekannten Daten: 99 Prozent der E-Mail-Adressen waren HIBP zufolge bereits in anderen Datenlecks aufgetaucht. Diese hohe Überschneidung stützt die Theorie, dass die Informationen nicht durch einen Einbruch in die Server von Chess.com erlangt wurden, sondern durch Scraping – also das programmatische Auslesen öffentlich zugänglicher Daten. Die Täter haben keine Sicherheitslücken ausgenutzt, sondern lediglich die von der Plattform bereitgestellten Informationen in großem Umfang kopiert.
Wie Scraping funktioniert und warum es gefährlich ist
Scraping bezeichnet das automatisierte Extrahieren von Daten aus Webseiten oder deren Schnittstellen (APIs). Dabei werden keine Passwörter geknackt oder verschlüsselte Verbindungen umgangen. Stattdessen nutzen die Angreifer die Tatsache, dass viele Plattformen Nutzerinformationen standardmäßig öffentlich machen – oder dies zumindest in den Standardeinstellungen vorshen. Bei Chess.com handelt es sich um Profildaten, die für die Spielfindung und Community-Funktionen benötigt werden.
Die Gefahr liegt im Kontext der Daten. Da die Sammlung eindeuig mit dem Thema Schach verbunden ist, können Kriminelle gezielt Phishing-Nachrichten erstellen, die auf das Interesse der Betroffenen abzielen. Ein Löschversuch per E-Mail mit dem Betreff „Ihr Chess.com-Konto wurde gespert“ hat eine ganz andere Trefferquote als eine generische Betrugs-Mail. Zudem lassen sich aus den gesammelten Namen, Ländern und Kontoinformationen Profile erstellen, die für soziale Manning-Angriffe genutzt werden können.
Parallelen zum WhatsApp-Scraping und Lehren für Nutzer
Der Vorfall steht in einer Reihe mit ähnlichen Scraping-Angriffen auf große Plattformen. Erst im November 2024 wurde bekannt, dass IT-Forscher aus Österreich rund 3,5 Milliarden Datensätze von WhatsApp durch Scraping abziehen konnten – ebenfalls ohne die Ende-zu-Ende-Verschlüsselug zu umgehen. Bei WhatsApp hatten die Nutzer in 30 Prozent der Fälle selbst Informationen im „Info“-Feld angegeben, die politische Einstellungen, sexuelle oder religiöse Orientierung, aber auch E-Mail-Adressen und Links zu sozialen Netwerken enthielten. Das Muster ist identisch: Die Daten waren öffentlich zugänglich, wurden aber in einer Weise aggregiert, die die Privatsphäre massiv gefährdet.
Für Chess.com-Nutzer bedeutet dies: Sie sollten dringend übeprüfen, welche Informationen sie in ihrem Profil öffentlich gemacht haben. Dazu gehören der angezeigte Name, das Land, aber auch anere Angaben, die für die Spielfindung oder Ranglisten sichtbar sind. Viele Plattformen bieten in den Einstellungen die Möglichkeit, die Sichtbarkeit von Profildaten einzuschränken. Auch die Verwendung einer Wegwerf-E-Mail-Adresse für die Registrierung kann das Risiko reduzieren. Grundsätzlich gilt: Jede Information, die öffentlich im Web verfügbar ist, kann gescrapt werden – unabhängig davon, ob die Plattform selbst sicher ist oder nicht.
Was das für die Cybersicherheit bedeutet
Scraping-Angriffe stellen eine besondere Herausforderung dar, weil sie keine klassischen Sicherheitslücken ausnutzen. Die Verantwortung liegt teils bei den Plattformbetreibern, die durch Ratenbegrenzungen (Rate Limiting), Captchas und strengere API-Richtlinien das massenhafte Auslesen erschweren müssen. Teils liegt sie aber auch bei den Nutzern selbst, die ein Bewusstsein dafür entwickeln müssen, welche Daten sie preisgeben. Der Vorfall bei Chess.com zeigt einmal mehr, dass die Grenze zwischen öffentlich und privat im digitalen Raum oft unscharf ist – und dass ein Datenleck nicht immer einen Hackerangriff voraussetzt. Die Betroffenen sollten sich darüber im Klaren sein, dass ihre Schachvorliebe nun Teil eines Datensatzes ist, der gezielt für Betrug genutzt werden kann. Eine wachsame Prüfung eingehender Nachrichten und die Nutzung von Zwei-Faktor-Authentifizierung sind daher dringend empfehlenswert.
