Chess.com: 7,3 Millionen Profile offengelegt – Daten deuten auf groß angelegtes Scraping hin

Kostenlos veröffentlichtes Archiv mit 7.337.395 Datensätzen

Ein Archiv mit Daten zu 7.337.395 Chess.com-Nutzern ist kostenlos in zwei Foren aufgetaucht, die sich auf die Verbreitung gestohlener Daten spezialisiert haben. Die am 14. August 2026 veröffentlichte Analyse bewertet das Material als authentisch und aktuell, fand jedoch keine ausreichenden Hinweise auf eine Kompromittierung der Server der Plattform.

Die Datei ist ein 744 MB großes 7-Zip-Archiv. Nach dem Entpacken entsteht eine etwa 15,5 GB große, tabulatorgetrennte Tabelle mit einer Kopfzeile und 7.337.395 Datensätzen. Jede Zeile enthält 38 Felder.

Betroffen sind keine bestimmten Softwareversionen. Offen gelegt wurden vielmehr Profildaten sowie einzelne Informationen aus der kommerziellen Infrastruktur von Chess.com.

Zu den enthaltenen Feldern gehören:

• E-Mail-Adresse und teilweise maskierte Variante der Adresse;
• Benutzername, User-ID und UUID;
• Vor- und Nachname;
• Land, Ort und Locale-Einstellungen;
• Schachtitel;
• Rating, Spielstärke und höchste Wertung;
• Art des offiziellen Ratings;
• Status und Bezeichnung des Premium-Abonnements;
• Verifizierungs- und Aktivierungsindikatoren;
• Registrierungsdatum und letzter Zugriff.

In etwa drei Vierteln der Datensätze ist eine E-Mail-Adresse enthalten. Die Kombination mit Klarnamen, geografischem Standort, Rating und Abonnement macht den Datensatz für gezielte Kampagnen attraktiv, auch wenn keine Zugangsdaten direkt enthalten sind.

UUIDs bestätigen die Herkunft der Daten

Die technische Überprüfung erforderte keinen Zugriff auf die Systeme von Chess.com. Die in den Datensätzen enthaltenen UUIDs sind Version-1-UUIDs – ein Typ, der auch den genauen Zeitpunkt ihrer Erstellung im Wert codiert.

Die Forscher dekodierten den verborgenen Zeitstempel in 200.000 Beispieldatensätzen und verglichen ihn mit dem Registrierungszeitpunkt der jeweiligen Konten. Das Ergebnis war vollständig konsistent: Der Zeitstempel der UUIDs stimmte bis auf die Millisekunde mit dem Registrierungsdatum überein.

Ein solches Ergebnis lässt sich nur schwer mit erfundenen oder zufällig erzeugten Daten erklären. Es weist vielmehr darauf hin, dass zumindest die Identifikatoren tatsächlich von der Plattform stammen oder aus einem System abgerufen wurden, das sie direkt von Chess.com erhalten hat.

Allein dadurch ist kein Eindringen in interne Datenbanken bewiesen. Es bestätigt jedoch, dass das Material aus realen Daten besteht und den angegebenen Konten zugeordnet werden kann.

Warum die Scraping-Hypothese derzeit am plausibelsten ist

Die Struktur des Datensatzes spricht eher für eine wiederholte automatisierte Sammlung als für einen einmaligen vollständigen Datenbankexport.

Die Datensätze wurden in täglichen Batches über neun aufeinanderfolgende Tage erstellt. Eine solche Abfolge passt zu einem Scraper, der die Plattform schrittweise abfragt, und weniger zu einem Angreifer, der eine einzige Datenbankkopie herunterlädt.

Auch die Duplikate stützen diese Interpretation. Rund 7,4 % der Konten erscheinen zweimal, wobei dasselbe Konto an unterschiedlichen Tagen erfasst wurde. Diese Wiederholungen sind mit mehreren Zugriffen eines automatisierten Tools und einer inkrementellen Datensammlung vereinbar.

Zudem gibt es einen technischen Präzedenzfall. Die Funktion find-friends wurde bereits genutzt, um externe Listen mit E-Mail-Adressen zu überprüfen und festzustellen, welche davon realen Konten zugeordnet waren. 2023 war ein ähnliches Archiv mit etwa 828.000 Datensätzen aufgetaucht; später wurde eine weitere Sammlung mit rund 476.000 Nutzern beobachtet.

Der neue Datensatz scheint mit derselben Technik kompatibel zu sein, allerdings in einem Umfang, der etwa neunmal größer ist als beim vorherigen Vorfall. Damals erklärte Chess.com, dass es sich nicht um eine Datenschutzverletzung handle und Infrastruktur, Konten sowie Passwörter sicher seien.

Werbefelder sind die auffälligste Anomalie

Das wichtigste Detail, das eine eindeutige Einordnung des gesamten Vorfalls als simples öffentliches Scraping verhindert, sind die letzten beiden Tabellenfelder: gam_audiences und audiences_member_of.

Beide Felder sind in jedem Datensatz ausgefüllt und enthalten Zielgruppensegmente aus Google Ad Manager. Beispiele sind Testgruppen zur Bewerbung von Coaches, Nutzer mit Anspruch auf Probezeiträume, inaktive Konten sowie Segmentierungen nach Rating-Bereichen.

Diese Informationen gehören zum Marketing-Stack und nicht zu dem Profil, das normalerweise für andere Nutzer sichtbar ist. Laut technischer Analyse werden sie außerdem nicht über die reguläre öffentliche Entwickler-API von Chess.com bereitgestellt.

Wie diese Daten erlangt wurden, ist daher weiterhin unklar. Mögliche Erklärungen sind der Zugriff auf einen authentifizierten Endpoint, der Missbrauch einer internen Schnittstelle oder die Verwendung einer Sitzung mit höheren Berechtigungen als denen eines normalen Besuchers.

Dieses Detail reicht nicht aus, um eine Kompromittierung der Server zu belegen. Es zeigt jedoch, dass zumindest ein Teil der Sammlung möglicherweise eine nicht öffentliche oder undokumentierte Angriffsfläche genutzt hat. Für Chess.com ist dies der dringendste Prüfpunkt.

Keine Passwörter, aber konkrete Phishing-Gefahr

Das Material enthält offenbar keine Passwörter, Passwort-Hashes oder Zahlungsdaten. Das Archiv ermöglicht daher keinen direkten Zugriff auf Chess.com-Konten über darin enthaltene Zugangsdaten.

Das Risiko ist dennoch erheblich. Ein Angreifer verfügt möglicherweise über E-Mail-Adresse, Namen, Land, Ort, Rating, Abonnementstatus und Hinweise zur Nutzeraktivität. Damit lassen sich deutlich glaubwürdigere Nachrichten erstellen als mit einer allgemeinen Phishing-Kampagne.

Eine betrügerische E-Mail könnte beispielsweise Folgendes vortäuschen:

• eine Aufforderung zur Verlängerung des Abonnements;
• ein Angebot für einen Premium-Testzeitraum;
• einen Vorwurf im Zusammenhang mit Fair Play;
• eine Warnung zum Rating oder zur jüngsten Aktivität;
• eine Aufforderung zur Kontoverifizierung.

Eine bestätigte E-Mail-Adresse kann außerdem Angriffe auf andere Dienste erleichtern. Wer dasselbe Passwort bei mehreren Plattformen verwendet, bleibt für Credential-Stuffing-Angriffe anfällig. Präzise Profilinformationen können zudem Social Engineering und betrügerische Kontowiederherstellungen unterstützen.

Was Nutzer tun sollten

Chess.com-Nutzer sollten Nachrichten als verdächtig betrachten, die sich auf ihr Rating, Abonnement, gespielte Partien oder tatsächlich ausgeführte Aktivitäten beziehen.

Für die Prüfung einer Verlängerung, einer Beschwerde oder einer Anmeldeanfrage sollte die offizielle Website oder App direkt geöffnet werden – nicht über Links in E-Mails. Dasselbe Passwort sollte nicht bei mehreren Diensten verwendet werden. Wurde es an anderer Stelle genutzt, sollte es auch dort geändert werden.

Wenn verfügbar, sollte die Multi-Faktor-Authentifizierung aktiviert werden. Außerdem empfiehlt es sich zu prüfen, ob die eigene E-Mail-Adresse in anderen bekannten Datenleaks auftaucht. Besondere Vorsicht ist bei Nachrichten geboten, die den echten Namen des Nutzers kennen oder scheinbar vertrauliche Angaben wie Rating und Abonnementstufe enthalten.

Für Chess.com sollten die vorrangigen Prüfungen die mit Google Ad Manager verknüpften Felder, authentifizierte und interne Endpoints, den Missbrauch von find-friends, Schutzmechanismen gegen die Enumeration von Konten per E-Mail sowie Anti-Automatisierungs-Systeme umfassen. Derzeit ist nicht bekannt, ob die Plattform die Herkunft des Archivs öffentlich bestätigt oder konkrete Gegenmaßnahmen ergriffen hat.