Chess.com-Daten von mehr als 7 Millionen Nutzern veröffentlicht

Chess.com ist eine Plattform für Online-Schach, auf der Nutzer spielen, trainieren und ihre Wertungszahl verfolgen können. Nun ist ein Datensatz mit 7.337.395 Nutzer-Einträgen in zwei Leak-Foren aufgetaucht, kostenlos verteilt, nicht verkauft.

Laut einer Analyse von Ransomnews handelt es sich tatsächlich um aktuelle Daten von Chess.com. Die Datei soll zwischen dem 26. Juli und 3. August 2026 in täglichen Etappen gesammelt worden sein. Enthalten sind unter anderem E-Mail-Adressen, Nutzernamen, echte Namen, Länder, Ortsangaben, Wertungen, Abo-Stufen sowie Daten zur Kontoaktivierung und zu Werbe-Zielgruppen.

Passwörter, Passwort-Hashes oder Zahlungsdaten sollen nicht enthalten sein. Ein unmittelbarer Passwortwechsel allein ist daher nicht die dringlichste Maßnahme. Wer Chess.com nutzt, sollte aber die Zwei-Faktor-Authentifizierung aktivieren und in den kommenden Wochen besonders genau auf angebliche Mails vom Anbieter achten.

Denn die Kombination aus Name, E-Mail-Adresse, Nutzername, Wertung und Premium-Status ist für gezielte Phishing-Nachrichten ziemlich brauchbar. Denkbar wären  gefälschte Hinweise zu einer Abo-Verlängerung, einer Fair-Play-Prüfung oder einer angeblichen Kontowiederherstellung. Links in unerwarteten Mails sollte man besser nicht anklicken, sondern Chess.com direkt im Browser öffnen.

Interessant ist die Einordnung des Vorfalls. Die Daten wirken laut Analyse nicht wie ein einmaliger Datenbank-Export nach einem Einbruch. Sie wurden über neun Tage hinweg in unterschiedlich großen Mengen erfasst, zudem tauchen rund 7,4 Prozent der Nutzerkennungen mehrfach auf – jeweils mit aktualisierten Daten. Das spricht eher für ein groß angelegtes, schrittweises Auslesen einer Schnittstelle.

Ganz sauber ist die Sache dennoch nicht. Besonders auffällig sind interne Werbe-Zielgruppen, die in jedem Datensatz auftauchen. Diese Informationen liefert die öffentliche Chess.com-Programmierschnittstelle laut Ransomnews nicht. Möglich wäre also ein angemeldeter oder interner Zugangspunkt, der sich abgreifen ließ. Chess.com selbst hatte zum Zeitpunkt der Veröffentlichung noch keine Stellungnahme abgegeben.

Bereits 2023 waren ähnliche Chess.com-Daten veröffentlicht worden. Damals erklärte das Unternehmen, es habe keinen Systemeinbruch gegeben. Betroffen gewesen sei eine missbrauchte Funktion zur Kontaktsuche. Die neue Sammlung ist mit mehr als sieben Millionen Einträgen allerdings deutlich größer.

Hinweis: Dieser Artikel enthält Affiliate-Links. Kauft ihr darüber ein, erhalten wir eine kleine Provision - ohne Aufpreis für euch und ohne Einfluss auf unsere redaktionelle Meinung.