Geleakte Zugänge finden, bevor sie genutzt werden

Häufige Fragen

Was ist Darknet Monitoring für Unternehmen?

Darknet Monitoring (auch Dark Web Monitoring) beobachtet Foren und Marktplätze im Untergrund, Stealer-Logs, Combolists und Ransomware-Leak-Sites auf Daten, die zu Ihrem Unternehmen gehören: E-Mail-Adressen und Passwörter Ihrer Domains, Session-Cookies, persönliche Daten, infizierte Firmengeräte und Nennungen Ihrer Zulieferer. blacklens.io ordnet jeden Treffer Mitarbeitern oder Kunden zu, gleicht ihn mit Ihrem IAM-Inventar ab und macht daraus einen Alert mit konkreter Handlungsempfehlung.

Wie schnell erfahre ich von einem Treffer?

Ransomware-Leak-Sites werden etwa alle 30 Minuten abgefragt. Kompromittierte Identitäten und Geräte werden standardmäßig alle 24 Stunden geprüft. Neue Treffer erzeugen einen Alert, der innerhalb weniger Minuten per E-Mail, Push-Nachricht in der Mobile App oder über Ihre Integrationen zugestellt wird. Taucht ein bereits bekanntes Paar aus Benutzername und Passwort erneut auf, wird es markiert, ohne einen zweiten Alert auszulösen.

Was ist der Unterschied zwischen einem Stealer-Log und einer Combolist?

Ein Stealer-Log stammt von Malware auf einem konkreten Gerät und enthält neben Zugangsdaten oft auch Session-Cookies, Browserdaten und Systeminformationen. Das Passwort ist dann aktuell, und das Gerät ist weiterhin infiziert. Eine Combolist ist eine gesammelte Liste aus älteren Datenlecks, häufig mit veralteten Passwörtern. blacklens.io zeigt die Quelle bei jedem Treffer und liefert bei Stealer-Logs die Gerätedetails, damit Sie Passwort und Gerät gemeinsam behandeln.

Warum sind gestohlene Session-Cookies so kritisch?

Mit einem gültigen Session-Cookie meldet sich ein Angreifer an, ohne Passwort und ohne zweiten Faktor. blacklens.io bewertet Cookies anhand des Namens mithilfe der Open Cookie Database und der eigenen KI, kennzeichnet abgelaufene Cookies und archiviert sie automatisch. Bei gültigen Cookies sollten Sie die betroffenen Sitzungen sofort beenden.

Welche Daten brauche ich, um Darknet Monitoring zu starten?

Ihre Domains genügen. Die Plattform erkennt alle Adressen dieser Domains in den überwachten Quellen. Für den Abgleich mit Ihrem IAM-Inventar binden Sie Microsoft 365 an oder nutzen den Active-Directory-Scan des Sentry Agents. Für die Lieferanten-Watchlist importieren Sie Ihre Zulieferer als CSV. Die Lizenz richtet sich nach der Anzahl der überwachten Postfächer.

Werden meine Daten an externe KI-Dienste übermittelt?

Nein. Die Bewertung von Cookies und anderen Treffern erfolgt durch ein self-hosted LLM von blacklens.io in der EU. Externe KI-Anbieter kommen nicht zum Einsatz, und die KI-Funktionen werden pro Workspace ausdrücklich freigegeben. Bei Session-Cookies wird nur der Cookie-Name ausgewertet und mit der Open Cookie Database abgeglichen.

Welche Details liefert blacklens.io zu kompromittierten Geräten?

Kompromittierte Geräte sind Rechner, auf denen Infostealer-Malware Zugangsdaten abgegriffen hat. Aus dem Stealer-Log zeigt blacklens.io IP-Adresse, Hostname, Betriebssystem, installierte Antivirus-Produkte, den Pfad des Stealers, das Infektionsdatum und den Standort, dazu die Identitäten, die von diesem Gerät stammen. So kann der Helpdesk das Gerät eindeutig identifizieren, isolieren und bereinigen, statt nur das Passwort zurückzusetzen.

Wie überwacht blacklens.io Ransomware-Leak-Sites und Lieferanten?

Die Überwachung von Ransomware-Leak-Sites erfasst etwa alle 30 Minuten neue Opfer, die Erpressergruppen veröffentlichen, mit Unternehmen, Branche, Domain, Tätergruppe, Land, Link zum Beitrag und Screenshot. blacklens.io gleicht diese Einträge mit Ihrer Lieferanten-Watchlist ab, die Sie als CSV importieren und exportieren. Steht ein Zulieferer auf einer Leak-Site, erhalten Sie den Alert „Ransomware threat discovered“. Mit „Monitor in Supply Chain“ übernehmen Sie Lieferanten zusätzlich in das Lieferanten-Rating, das ihr Risiko schon vor einem Angriff bewertet.

Wie gleicht blacklens.io Darknet-Treffer mit unseren Konten ab?

Jeder geleakte Benutzername wird mit den Benutzerkonten in Ihrem IAM-Inventar abgeglichen, über Kontoname oder E-Mail-Adresse und nur innerhalb Ihres Workspaces. Microsoft 365 liefert über die Integration MFA-Fähigkeit, Kontostatus, Verzeichnisrollen und die letzte Passwortänderung. Active Directory liefert über den Sentry-AD-Scan Admin-Rechte und die letzte Passwortänderung und wird per E-Mail-Adresse abgeglichen. Unbekannte Werte gelten nie als sicher. Der Abgleich wird nach jedem Darknet-, AD- und Cloud-Scan aktualisiert; Statusänderungen lösen keinen eigenen Alert aus.

Wird ein Passwort übertragen, wenn ich die Passwortrichtlinie teste?

Nein. Das Testfeld „Try a password“ prüft lokal in Ihrem Browser, nichts wird gesendet oder gespeichert. Die Passwortrichtlinie legen Sie in blacklens.io fest, sie wird nicht aus Active Directory oder Entra ID übernommen: Mindestlänge, ausgeschlossene Begriffe wie der Firmenname, geforderte Zeichenklassen oder ein eigener regulärer Ausdruck. Nach dem Speichern werden alle gespeicherten Klartext-Passwörter neu geprüft, neue Funde beim Import. „Policy compliant“ bedeutet, dass ein geleaktes Passwort Ihre Regeln erfüllt und noch in Verwendung sein könnte.