Im April tauchte auf Darknet-Marktplätzen ein Angebot für die Datenbank von Meloncraft auf, einem Minecraft-Multiplayer-Server. Das Leak-Monitoring-Portal Brinztech meldete es als mutmaßliches Leck von 663.726 Datensätzen. Sie schienen aus LiteBans zu stammen, dem Plugin, mit dem viele Server Banns, Mutes und Verwarnungen protokollieren. Für Spieler, die irgendwann einmal auf dem Server waren, war nicht die eigene Bann-Historie das Problem, sondern das, was daneben stand.
Was das Meloncraft-Leck angeblich enthielt
Laut dem Angebot, wie Brinztech es beschreibt, enthielt der Datensatz Benutzernamen, IP-Adressen und Passwort-Hashes im Format von AuthMe, einem auf Offline-Mode-Servern verbreiteten Login-Plugin, dazu die Strafprotokolle. Das Leck ist nicht unabhängig bestätigt, und wir konnten keine Stellungnahme des Servers finden.
Falls die Daten echt sind, sind zwei Teile gefährlich. IP-Adressen lassen sich für Doxxing-Versuche und DDoS-Angriffe gegen Spieler nutzen, die von zu Hause hosten. Passwort-Hashes können bei schwachen Passwörtern geknackt werden, und viele Spieler nutzen dasselbe Passwort auf anderen Servern und manchmal für ihre E-Mail.
Die wichtigsten Fakten
- Meloncraft (April 2026): 663.726 angebliche Datensätze mit Benutzernamen, IPs, AuthMe-Passwort-Hashes und Bann-Logs. Tauchte auf Darknet-Marktplätzen auf und ist nicht unabhängig bestätigt.
- Das „18-Millionen“-Leck (Oktober 2026): Zwei Verkäufer behaupteten 18 bzw. 9 Millionen Datensätze, nutzten aber dieselbe Stichprobe von 1.000 Datensätzen.
- Urteil zum großen Leck: Cybernews führte die Stichprobe auf nur drei Community-Server zurück. Es sah nach recycelten Infostealer-Daten aus, nicht nach einem Hack bei Mojang oder Microsoft.
Oktober: das Leck, das keins war
Sechs Monate später kam eine deutlich größere Schlagzeile. Zwei Verkäufer in Cybercrime-Foren boten Minecraft-Spielerdaten an, der eine sprach von 18 Millionen Datensätzen, der andere von 9 Millionen. Beide Beiträge enthielten Stichproben mit Benutzernamen, E-Mail-Adressen und einigen Passwort-Hashes. Einen Tag lang sah es nach dem größten Minecraft-Leck seit Jahren aus.
Dann luden Forscher von Cybernews die Stichproben herunter. Beide Verkäufer hatten dieselben 1.000 Datensätze angehängt, die aus nur drei Community-Servern stammten. Es gab keine Zeitstempel, die belegten, dass die Daten neu waren, keine Mojang-Account-Tokens oder Microsoft-Logins, und viele E-Mails waren schon aus älteren Lecks bekannt. Die Forscher kamen zu dem Schluss, dass es sich um Infostealer-„Combolists“ handelte: Zugangsdaten, die von infizierten Spieler-PCs abgegriffen und mit aufgeblähten Zahlen neu verpackt wurden. Die deutsche PC Games Hardware kam zum selben Ergebnis. Minecraft selbst wurde nicht gehackt.
Was das für Spieler bedeutete
Beide Geschichten zeigen dasselbe Risiko: Dein Minecraft-Account geht selten durch einen Hack bei Mojang verloren. Er geht über die schwache Datenbank eines Drittservers verloren oder über Malware auf deinem eigenen PC, die stiehlt, was dein Browser gespeichert hat. Die Lösung ist in beiden Fällen dieselbe.
- Nutze ein eigenes Passwort für deinen Microsoft-Account, nie eines, das du schon bei /login oder /register auf einem Server eingegeben hast.
- Aktiviere die zweistufige Überprüfung für deinen Microsoft-Account.
- Prüfe deine E-Mail-Adresse bei Have I Been Pwned und ändere jedes Passwort, das dort auftaucht.
- Wenn du einen Server betreibst, halte LiteBans, AuthMe und deine Datenbank vom öffentlichen Internet fern, nutze starkes Hashing und halte deine Plugins aktuell.
- Meide gecrackte Clients und zufällige Mods. So füllen Infostealer diese Combolists. Siehe unseren Guide zu Mod-Malware.
