Fast jede Kontoübernahme, jeder Credential-Stuffing-Angriff und jeder durch Social Engineering erratene Passwortversuch führt auf einen einzigen Namen zurück: RockYou.

Die meisten Menschen haben noch nie davon gehört, aber die RockYou-Leaks sind die größte und am längsten andauernde Passwort-Katastrophe in der Geschichte des Internets — und sie werden noch heute aktiv gegen gewöhnliche Nutzer eingesetzt. Was 2009 als ein einzelnes Datenleck bei einer Social-Gaming-Seite begann, wuchs zu einer Reihe immer größerer Kompilationen heran — RockYou2021, RockYou2024 —, die zusammen zig Milliarden echter, bereits verwendeter Passwörter enthalten. Angreifer müssen Ihr Passwort nicht mehr "knacken" — es besteht eine sehr gute Chance, dass es bereits in einer dieser Dateien steht.

Kurz gesagt

2009 speicherte RockYou (ein Social-App-Unternehmen, keine Hackergruppe) 32 Millionen Nutzerpasswörter im Klartext. Das Datenleck lieferte Angreifern das erste mega-große, reale Passwort-Wörterbuch — und gab der gesamten Kategorie solcher Lecks ihren Namen.
RockYou2021 (8,4 Milliarden Einträge) und RockYou2024 (fast 10 Milliarden eindeutige Klartext-Passwörter) sind Kompilationen aus Jahren einzelner Datenlecks, keine neuen Einzel-Hacks — aber die darin enthaltenen Passwörter sind echt und bei vielen Konten noch gültig.
Eine im Juni 2025 breit berichtete Geschichte über "16 Milliarden Zugangsdaten" bedeutete nicht, dass Google, Apple oder Facebook gehackt wurden — alle drei bestätigten, dass dies nicht der Fall war. Es handelte sich um eine von Cybernews entdeckte Kompilation historischer Infostealer-Malware-Protokolle.
Passwort-Wiederverwendung ist der Grund, warum diese alten Lecks heute noch gefährlich sind. Die Lösung sind einzigartige, hochentropische, lokal generierte Passwörter für jedes Konto — niemals ein Passwort, das im Wörterbuch eines Angreifers bereits enthalten sein könnte.

Kurze Antwort

Die RockYou-Leaks sind wichtig, weil sie "welche Passwörter echte Menschen tatsächlich wählen" in einen öffentlichen, herunterladbaren Datensatz verwandelt haben, der stetig weiterwächst. Angreifer müssen nicht raten — sie prüfen Ihre E-Mail-Adresse gegen diese Dateien, und wenn Sie in den letzten 15 Jahren irgendwo ein Passwort wiederverwendet haben, besteht eine reale Chance, dass es bereits dort steht. Die einzige dauerhafte Lösung besteht darin, Passwörter nicht mehr wiederzuverwenden und sie nicht mehr selbst auszudenken: Generieren Sie für jedes Konto ein einzigartiges, zufälliges Passwort, lokal in Ihrem Browser, damit nichts, was Sie erstellen, jemals in der nächsten Version dieses Wörterbuchs landen kann.

I. Wo alles begann: das RockYou-Datenleck von 2009

Die meisten Menschen nehmen an, "RockYou" sei eine Hackergruppe. Das war es nicht — es war ein legitimes Social-Gaming-Unternehmen, das Widgets und Spiele für frühe soziale Netzwerke entwickelte und auf dem Höhepunkt zig Millionen aktive Nutzer hatte.

Sein fataler Fehler: es speicherte das Passwort jedes Nutzers im Klartext, ganz ohne Hashing. Bis 2009 waren die meisten kompetenten Plattformen bereits auf gehashte Passwortspeicherung umgestiegen, sodass selbst ein vollständiges Datenbankleck keine lesbaren Passwörter preisgegeben hätte. RockYou überging diesen Schritt vollständig.

Als Angreifer eindrangen, mussten sie nichts knacken — sie kopierten einfach die Datenbank. Das Ergebnis: 32 Millionen echte Konten, mit echten Passwörtern, im Klartext lesbar, alle auf einmal.

Die Folgen gingen weit über RockYous eigene Nutzer hinaus:

Passwort-Wiederverwendung war bereits verbreitet — dasselbe Passwort, das Menschen für RockYous Spiele nutzten, war oft dasselbe, das ihre E-Mail, Foren und Einkaufskonten schützte.
32 Millionen tatsächlich genutzte Klartext-Passwörter wurden zum ersten mega-großen, realen Passwort-Wörterbuch — ein weitaus besseres Angriffswerkzeug als jede theoretische Wortliste, weil dies Passwörter waren, die echte Menschen tatsächlich gewählt hatten.
Es etablierte das Vorgehen, das die gesamte Branche noch heute bekämpft: eine geleakte Passwortliste nehmen, sie gegen jede erreichbare Login-Seite laufen lassen, und schauen, was funktioniert.

Das ist auch der Grund, warum "RockYou" aufhörte, nur ein Firmenname zu sein. Jede große Passwortlisten-Kompilation, die danach folgte, übernahm diesen Namen — RockYou2021, RockYou2024 —, weil das Muster, das damit begann, nie aufhörte.

II. Die Kompilationen wachsen immer weiter (2021-2025)

Das Datenleck von 2009 war der Anfang, nicht das Ende. In den folgenden zehn Jahren wurden geleakte Zugangsdaten aus unzähligen, voneinander unabhängigen Datenlecks weiter gesammelt, dedupliziert und in immer größere Dateien neu verpackt — jede brach den vorherigen Rekord.

1. RockYou2021 (Juni 2021): die erste Kompilation im Milliardenmaßstab

Im Juni 2021 teilte ein Beitrag in einem Hacking-Forum eine neue Datei — über 100 GB groß, mit 8,4 Milliarden eindeutigen Passworteinträgen. Es war nicht das Datenleck eines einzelnen Unternehmens, sondern eine massive Zusammenführung jahrelanger, getrennter Lecks aus sozialen Netzwerken, Foren, E-Commerce, Gaming und Arbeitsplatzsystemen, vereint in einer einzigen Referenzdatei. Zu dieser Zeit war es die größte je öffentlich verbreitete Passwortsammlung.

2. RockYou2024 (Juli 2024): fast 10 Milliarden eindeutige Klartext-Passwörter

Im Juli 2024 veröffentlichte ein Nutzer eines Hacking-Forums die Datei rockyou2024.txt: eine verfeinerte, deduplizierte Version, die auf RockYou2021 aufbaute und rund 1,5 Milliarden zusätzliche, zwischen 2021 und 2024 gesammelte Passwörter enthielt — insgesamt 9.948.575.739 eindeutige Klartext-Passwörter.

Was diese Version gefährlich macht, ist nicht Raffinesse, sondern Präzision. Jeder Eintrag ist ein Passwort, das irgendeine reale Person tatsächlich benutzt hat, oft wiederholt, über mehrere Konten hinweg. Angreifer müssen nichts per Brute-Force knacken — sie müssen nur ausprobieren, was bereits in der Datei steht. (Manche Forscher weisen darauf hin, dass die Datei so groß ist, dass ein Großteil davon für gezieltes Knacken wertloses Rauschen darstellt — aber genau ihre Größe macht sie für breit angelegtes, automatisiertes Credential Stuffing so wirksam.)

3. Die "16-Milliarden-Zugangsdaten"-Geschichte von 2025 — und was sie tatsächlich war

Im Juni 2025 berichteten Sicherheitsforscher von Cybernews, sie hätten 30 offengelegte, ungesicherte Datensätze mit insgesamt über 16 Milliarden Zugangsdaten-Einträgen gefunden, von denen einige Login-URLs für Dienste wie Google, Apple und Facebook enthielten, neben vielen anderen.

Das ist der Teil, den man richtig verstehen sollte: Google, Apple und Facebook bestätigten allesamt, dass ihre eigenen Systeme nicht kompromittiert wurden. Die Zahl von 16 Milliarden war kein frischer Hack eines dieser Unternehmen — es handelte sich um eine Kompilation historischer Infostealer-Malware-Protokolle, die über mehrere Jahre von einzeln infizierten Geräten gesammelt und in einem ungesicherten Speicher offengelegt zurückgelassen wurden, nicht um ein einzelnes neues Mega-Datenleck. Sicherheitsberichte aus dieser Zeit wiesen zudem darauf hin, dass ein erheblicher Teil der Daten veraltet, doppelt vorhanden oder von geringer Qualität war.

Diese Unterscheidung ist wichtig, lässt das praktische Risiko aber nicht verschwinden: Die Datei stellt weiterhin einen der größten, sofort einsatzbereiten Credential-Stuffing-Datensätze dar, die je zusammengestellt wurden, und sie floss direkt in dasselbe RockYou-artige Kompilations-Ökosystem ein.

III. Warum diese alten Lecks heute noch funktionieren

Eine verbreitete Annahme: "Dieses Datenleck liegt Jahre zurück, ich habe meine Passwörter seitdem geändert, mir kann nichts passieren." In der Praxis halten zwei Gewohnheiten diese alten Datensätze gefährlich:

Passwort-Wiederverwendung. Die meisten Menschen verwenden weiterhin dasselbe Passwort, oder enge Variationen davon, für mehrere Konten. Selbst nachdem ein Passwort auf einer Seite "geändert" wurde, funktioniert das alte (geleakte) oft noch woanders.
Schwache, vorhersehbare Passwörter. 123456, password, qwerty, ein Geburtsdatum, eine Telefonnummer — diese stehen Jahr für Jahr ganz oben in jedem Leak, und ein kompiliertes Wörterbuch wie RockYou2024 findet sie in Millisekunden.
Geleakte Daten verfallen nicht. Sobald ein Passwort einmal in einer dieser Dateien steht, bleibt es dort dauerhaft, wird in die nächste Kompilation übernommen und immer wieder von automatisierten Credential-Stuffing-Tools ausprobiert.

IV. Was das 2026 tatsächlich stoppt

"Wählen Sie ein komplexeres Passwort" reicht gegen ein Wörterbuch mit 10 Milliarden echten, bereits verwendeten Einträgen nicht mehr aus. Was tatsächlich funktioniert:

Ein einzigartiges Passwort pro Konto, ohne Ausnahme. Wiederverwendung ist der wichtigste Grund, warum alte Lecks gefährlich bleiben — ein wiederverwendetes Passwort kann jedes Konto kompromittieren, auf dem es verwendet wurde.
Verwenden Sie zufällige, hochentropische Passwörter statt selbst ausgedachter. Alles, was ein Mensch sich leicht ausdenken und merken kann, steht überproportional wahrscheinlich bereits in einem geleakten Wörterbuch. Ein Passwort ohne Muster — mit zufälliger Länge, Groß-/Kleinschreibung, Zahlen und Symbolen — findet sich in diesen Dateien schlicht nicht.
Generieren Sie Passwörter lokal, nicht über ein Online-Tool, das sie speichert oder protokolliert. Ein Passwort-Generator, der das Erzeugte an einen Server hochlädt, kann selbst zu einem künftigen Datenleck werden. Die einzige Möglichkeit, sicherzustellen, dass ein frisch generiertes Passwort niemals in der morgigen Version von RockYou landet, besteht darin, es vollständig auf dem eigenen Gerät zu generieren, ohne dass irgendetwas übertragen wird.

V. Wo PassGenerate hier ansetzt

PassGenerate basiert genau auf dieser Logik: jedes Passwort wird lokal in Ihrem Browser generiert, mithilfe der Web Crypto API — nichts wird hochgeladen, protokolliert oder auf einem Server gespeichert, sodass nichts, was Sie hier generieren, jemals zu einem Datenpunkt in einer künftigen Leak-Kompilation werden kann.

100 % clientseitig, kein Server-Upload. Zufallsgenerierung, Stärkebewertung und das Zusammensetzen von Passphrasen laufen alle in Ihrem Browser über crypto.getRandomValues(). Kein von Ihnen generiertes Passwort verlässt jemals Ihr Gerät.
Keine Konten, keine Datenspeicherung. Es gibt keine Anmeldung und keine Datenbank, also gibt es von vornherein nichts, das gehackt werden könnte.
Open Source und überprüfbar. Der Code ist öffentlich, sodass die Behauptung "es läuft lokal" keine Vertrauensfrage ist.
Individuelle Zufallspasswörter oder einprägsame Passphrasen. Passen Sie Länge und Zeichensätze für vollständig zufällige Passwörter an, oder nutzen Sie den Passphrasen-Modus (mit Trennzeichen, Großschreibung und Zahlen) für etwas, das sich leichter eintippen lässt, ohne auf ein vorhersehbares Muster zurückzufallen.
Massengenerierung und -download sowie eine Echtzeit-Stärkeanzeige, damit Sie genau sehen, wie weit ein Passwort davon entfernt ist, "bereits in einem geleakten Wörterbuch" zu stehen.

Das Tool ist kostenlos, funktioniert in 18 Sprachen, und der Blog behandelt verwandte Themen wie Passwort-Entropie, ob Passwort-Manager sicher sind und warum Angreifer von Menschen erstellte Passwörter lieben, wenn Sie tiefer einsteigen möchten.

Die wichtigsten Erkenntnisse

Das RockYou-Datenleck von 2009 (32 Mio. Klartext-Passwörter) schuf das erste mega-große, reale Passwort-Wörterbuch und gab jeder späteren Kompilation ihren Namen.
RockYou2021 (8,4 Mrd. Einträge) und RockYou2024 (~10 Mrd. eindeutige Passwörter) sind Zusammenführungen jahrelanger, einzelner Lecks, keine neuen Einzel-Datenlecks — aber jedes darin enthaltene Passwort ist echt und funktioniert überall dort noch, wo es wiederverwendet wird.
Die "16-Milliarden-Zugangsdaten"-Geschichte von 2025 war eine von Cybernews entdeckte Kompilation von Infostealer-Protokollen, kein Datenleck der eigenen Systeme von Google, Apple oder Facebook — beides kann gleichzeitig zutreffen: kein neuer Unternehmens-Hack, und trotzdem ein massives, reales Credential-Stuffing-Risiko.
Passwort-Wiederverwendung und vorhersehbare Passwörter sind der Grund, warum 15 Jahre alte Lecks heute noch Kontoübernahmen verursachen.
Die Lösung sind einzigartige, zufällige, lokal generierte Passwörter für jedes Konto — niemals eines, das im Wörterbuch eines Angreifers bereits enthalten sein könnte.

Fazit

Siebzehn Jahre nach dem ursprünglichen RockYou-Datenleck hat sich die Lehre daraus nicht geändert, nur das Ausmaß: Angreifer müssen selten ein starkes Passwort knacken — sie brauchen nur, dass Sie ein schwaches wiederverwendet haben. Ein Passwort im Nachhinein zu ändern, macht ein Jahrzehnt der Wiederverwendung auf anderen Konten nicht ungeschehen. Der einzige Ansatz, der Angriffe im RockYou-Stil tatsächlich unterbindet, besteht darin, für jedes Konto lokal ein einzigartiges, hochentropisches Passwort zu generieren, damit es niemals die Chance hat, in der nächsten Kompilation zu landen.

Warum Sie PassGenerate vertrauen können

Passwörter werden lokal in Ihrem Browser mit der Web Crypto API generiert.
Es werden keine Passwörter an Server übertragen.
Nutzt einen kryptografisch sicheren Pseudozufallszahlengenerator (CSPRNG).
Folgt modernen Sicherheits-Best-Practices, empfohlen von NIST und OWASP.

Quellen

Cybernews – Untersuchung zur Kompilation von 2025 mit 30 Datensätzen und 16 Milliarden Zugangsdaten
Malwarebytes – RockYou2024: Fast 10 Milliarden Passwörter online geleakt
Have I Been Pwned – Pwned-Passwords-Datensatz
NIST SP 800-63B – Digital Identity Guidelines, Authentication and Lifecycle Management

Die RockYou-Passwort-Leaks: Eine vollständige Geschichte von 2009 bis 2026 (und wie Sie sich wirklich schützen)