Darknet-Monitoring für Unternehmen

Darknet-Monitoring bedeutet, Untergrundforen, Märkte, Leak-Seiten und Messenger-Kanäle gezielt nach Daten eines Unternehmens zu durchsuchen: geleakte Zugangsdaten von Mitarbeitenden, gestohlene Dokumente, Kundendaten oder Hinweise auf geplante Angriffe. Das Ziel ist Frühwarnung. Wer erfährt, dass Firmenzugänge gehandelt werden, kann sie sperren, bevor jemand sie für einen Angriff nutzt.

Warum das wichtig ist#

Gestohlene Zugangsdaten sind einer der häufigsten Einstiege für Angriffe. Laut Intel 471 vergingen bei Opfern, deren Zugänge in einem großen Untergrundforum angeboten worden waren, im Mittel nur rund 19 Tage, bis sie auf der Leak-Seite einer Ransomware-Gruppe auftauchten. Laut Bitkom ist fast jedes Unternehmen in Deutschland betroffen oder vermutlich betroffen von Datendiebstahl, Spionage oder Sabotage. Das Zeitfenster zum Reagieren ist kurz.

Was überwacht wird#

Wie Anbieter arbeiten#

Spezialisierte Anbieter sammeln Daten aus vielen Quellen und gleichen sie mit den Merkmalen eines Unternehmens ab, etwa Domains, Markennamen, IP-Bereiche oder Namen von Führungskräften:

1. Automatisches Sammeln von Leak-Datenbanken, Forenbeiträgen und Leak-Seiten.
2. Abgleich mit den hinterlegten Merkmalen.
3. Bewertung durch Fachleute: Ist der Fund echt, aktuell und relevant?
4. Alarmierung mit Empfehlungen, was zu tun ist.

Seriöse Anbieter kaufen keine Daten von Kriminellen und legen offen, wie sie ihre Quellen erschließen. Werkzeuge für eigene Recherchen stellt OSINT- und Darknet-Monitoring-Tools vor.

Was es kostet#

Die Grenzen#

• Nicht alles ist sichtbar. Viele Geschäfte laufen in geschlossenen Gruppen oder über private Nachrichten.
• Fehlalarme: Alte oder gefälschte Datensätze werden als neu angeboten.
• Zu spät: Wenn die Daten auf einer Leak-Seite stehen, ist der Angriff bereits passiert.
• Kein Ersatz für Grundschutz: Monitoring nützt nur, wenn Zwei-Faktor-Authentifizierung, Updates und Backups stimmen.

Was nach einem Fund zu tun ist#

1. Zugänge sperren und Passwörter zurücksetzen, aktive Sitzungen beenden.
2. Quelle ermitteln: Infizierter Rechner? Leak bei einem Dienstleister? Phishing?
3. Geräte prüfen, wenn Infostealer-Daten auftauchen.
4. Meldepflichten prüfen: Bei personenbezogenen Daten gilt nach der DSGVO eine Meldepflicht an die Aufsichtsbehörde innerhalb von 72 Stunden, wenn ein Risiko für Betroffene besteht.
5. Polizei einschalten: Die Zentralen Ansprechstellen Cybercrime der Länder sind Anlaufstelle für Unternehmen.

Rechtliche Hinweise für die Praxis#

Das Beobachten öffentlich zugänglicher Bereiche ist grundsätzlich zulässig. Der Kauf gestohlener Daten kann dagegen als Datenhehlerei strafbar sein, auch wenn er „nur“ zur Prüfung dient. Auch bei der Auswertung von Leaks gilt die DSGVO, wenn personenbezogene Daten verarbeitet werden. Wie Unternehmen das Darknet insgesamt einordnen sollten, erklärt Das Darknet für Unternehmen.