Darknet-Monitoring: Was Unternehmen wirklich erfahren

Hinter dem Begriff stehen verschiedene Quellen.

Unter Darknet-Monitoring werden oft sehr unterschiedliche Prüfungen zusammengefasst: ein Abgleich bekannter Datenlecks, öffentlich dokumentierte Behauptungen von Erpressergruppen oder die Suche in einem lizenzierten Index. Diese Quellen haben verschiedene Zugänge, Aktualisierungsstände und Aussagegrenzen. Ein Produkt sollte deshalb konkret benennen, welche davon für Ihre Domain genutzt wurden.

Have I Been Pwned führt bekannte Datenlecks zusammen. RansomLook beobachtet unter anderem Veröffentlichungen von Ransomware-Gruppen. Intelligence X stellt eine Suchschnittstelle für seine Indizes bereit. Aus keinem dieser Angebote folgt automatisch, dass sämtliche privaten Foren, geschlossenen Gruppen oder jemals veröffentlichten Datensätze erfasst sind.

Fachliche Grundlage: Have I Been Pwned: Datenherkunft, Verifikation und Abdeckung · RansomLook: offizielle Projektdokumentation · Intelligence X: offizielle Schnittstellen-Dokumentation

Vier Fragen machen aus einem Treffer eine Einschätzung.

Ein sinnvoller Bericht hilft Ihrer IT, zuerst den Sachverhalt zu klären. Das ist besonders wichtig, wenn ein Anbieter verschiedene Arten von Hinweisen in einer gemeinsamen Liste anzeigt.

1. Passt die Zuordnung? Ist tatsächlich Ihre Domain oder ein zugehöriges Konto betroffen – oder nur ein ähnlich benanntes Unternehmen?
2. Was wurde gefunden? Eine E-Mail-Adresse in einem bekannten Datenleck ist anders zu bewerten als eine nicht überprüfte Behauptung auf einer Veröffentlichungsseite.
3. Welche Zeitpunkte sind bekannt? Datum des Vorfalls, Veröffentlichung und erstmalige Erfassung können weit auseinanderliegen.
4. Welche Daten sind betroffen? Eine öffentlich bekannte Kontaktadresse hat eine andere Bedeutung als Hinweise auf kompromittierte Zugänge oder interne Dokumente.

Neu entdeckt bedeutet nicht neu gestohlen.

Ein heute gefundener Datensatz kann aus einem älteren Vorfall stammen. Bereits veröffentlichte Angaben können erneut auftauchen oder unter einem anderen Namen verbreitet werden. Prüfen Sie deshalb, ob ein Befund neu ist, sich verändert hat oder zu einem bekannten Ereignis gehört. Eine nachvollziehbare Historie verhindert, dass Ihr Team denselben Sachverhalt immer wieder von vorn bearbeiten muss.

Auch umgekehrt ist Zurückhaltung sinnvoll: Keine Treffer bedeuten nur, dass in den tatsächlich abgefragten Quellen kein passender Hinweis gefunden wurde. Wenn eine Quelle nicht erreichbar oder nicht freigeschaltet war, gehört diese Lücke sichtbar in den Bericht.

Fachliche Grundlage: Have I Been Pwned: Datenherkunft, Verifikation und Abdeckung

Handeln, ohne den Schaden zu vergrößern.

Leiten Sie einen plausiblen Hinweis an die zuständige IT oder Ihren Sicherheitsdienstleister weiter. Halten Sie Fundstelle, Zeitpunkt und Zuordnung fest. Besteht ein Verdacht auf betroffene Konten, lassen Sie Zugänge, aktive Sitzungen und Mehrfaktor-Einstellungen prüfen. Interne Informationen gehören nur in die dafür vorgesehenen, geschützten Arbeitsabläufe.

Laden Sie nicht vorsorglich ganze Leak-Sammlungen herunter und probieren Sie keine darin genannten Zugangsdaten aus. Für die erste Einordnung sind Herkunft, Metadaten und der konkrete Bezug zu Ihrem Unternehmen entscheidend. Wenn sich ein Vorfall bestätigt, übernimmt Ihr festgelegter Prozess die technische Untersuchung und die weiteren Zuständigkeiten.

Wie Centira den Prüfumfang sichtbar macht.

Centira trennt den kostenlosen Außencheck von erweiterten Datenquellen. Öffentlich erreichbare Domainmerkmale bilden den Einstieg. Für weitergehende Abfragen müssen die passenden Quellen eingerichtet, erforderliche Anbieterzugänge vorhanden und die eigenen Domains bestätigt sowie für den jeweiligen Prüfumfang freigegeben sein.

Ein Befund soll verständlich machen, woher der Hinweis stammt, wie er zugeordnet wurde und welcher nächste Schritt sinnvoll ist. Fehlende Quellen bleiben als fehlend erkennbar. Das macht den Bericht auch dann nützlich, wenn noch nicht jede mögliche Datenquelle angebunden ist: Sie sehen die Grundlage Ihrer Entscheidung und die offenen Fragen.