Darknet Monitoring

Darknet Monitoring ist die laufende Überwachung von Untergrundforen, Marktplätzen, Messenger-Kanälen, Ransomware-Leak-Sites und Infostealer-Logs auf Daten, die einem Unternehmen zugeordnet werden können: Zugangsdaten von Mitarbeitern und Kunden, Session-Cookies, infizierte Geräte, interne Dokumente und Erwähnungen des Unternehmens als Angriffsziel. Ziel ist, von einer Kompromittierung zu erfahren, bevor sie zum Einfallstor wird.

Warum Darknet Monitoring wichtig ist

Viele Ransomware-Angriffe beginnen nicht mit einem Exploit, sondern mit einem gültigen Login. Die Zugangsdaten stammen aus Infostealer-Infektionen auf privaten oder dienstlichen Geräten, aus Datenlecks bei Drittanbietern oder aus Phishing. Sie werden in Combolists und Stealer-Logs gehandelt und von Initial Access Brokern zu fertigen Netzwerkzugängen veredelt. Zwischen dem Leak und dem Angriff liegen oft Tage bis Wochen. Genau dieses Zeitfenster nutzt Darknet Monitoring: Ein zurückgesetztes Passwort oder eine widerrufene Session kostet Minuten, ein Incident Wochen.

Ohne Monitoring erfährt ein Unternehmen von einem Leak in der Regel erst, wenn ein Angreifer ihn bereits genutzt hat.

So funktioniert Darknet Monitoring

• Quellen: Untergrundforen und Marktplätze, Messenger-Kanäle, Ransomware-Leak-Sites, Combolists und vor allem Stealer-Logs, also die Datenpakete, die Infostealer von infizierten Geräten senden.
• Abgleich: Treffer werden gegen die Domains, E-Mail-Adressen und Marken des Unternehmens abgeglichen. Gute Lösungen unterscheiden automatisch zwischen Mitarbeiter-Konten (eigene Domain) und Kunden-Konten (fremde Domain, aber Login auf Ihrem Dienst).
• Anreicherung: Quelle (Malware oder Combolist), Infektionsdatum, betroffenes Gerät, Betriebssystem, installierte Antivirus-Software, Pfad des Stealers und Standort helfen bei der Einordnung. Der Abgleich mit dem eigenen Identitätsverzeichnis zeigt, ob das Konto existiert, privilegiert ist und ob das Passwort inzwischen geändert wurde.
• Reaktion: Passwort zurücksetzen, Sessions invalidieren, Gerät isolieren, MFA erzwingen, Kunden informieren.

So setzt blacklens.io Darknet Monitoring um

blacklens.io meldet kompromittierte Identitäten (Passwort, Cookie oder personenbezogene Daten, mit Quelle Malware oder Combolist) und kompromittierte Geräte (IP, Hostname, Betriebssystem, Antivirus-Liste, Stealer-Pfad, Infektionsdatum, Geolokation). Treffer werden automatisch als Mitarbeiter oder Kunde klassifiziert, abgelaufene Session-Cookies automatisch archiviert. Der Abgleich läuft standardmäßig alle 24 Stunden.

Jeder geleakte Benutzername wird mit den Benutzerkonten im IAM-Inventar abgeglichen, etwa aus Microsoft 365 oder dem Active-Directory-Scan mit Sentry. So sehen Sie, ob das Konto privilegiert ist, ob ihm MFA fehlt (diese Angabe liefert Microsoft 365) und ob das Passwort geändert wurde, seit blacklens.io den Leak erfasst hat. Eine Passwortrichtlinie, die Sie in blacklens.io festlegen, zeigt, welche geleakten Mitarbeiter-Passwörter ihr entsprechen und damit noch in Verwendung sein könnten. Taucht ein bereits erfasstes Paar aus Benutzername und Passwort erneut auf, wird es als bereits bekannte Zugangsdaten markiert und mit dem ersten Fund verknüpft, ohne zweiten Alert. Gestohlene Session-Cookies bewertet die selbst betriebene KI anhand des Cookie-Namens und seines Eintrags in der Open Cookie Database; der Cookie-Wert wird dafür nicht verwendet.

Ransomware-Leak-Sites werden etwa alle 30 Minuten gegen Ihre Lieferanten-Watchlist geprüft, also gegen die Domains Ihrer Lieferanten und nicht gegen Ihren eigenen Prüfumfang. Die wöchentliche Sicherheitsbewertung im Supply Chain Monitoring zeigt das Risiko eines Lieferanten schon vor einem Angriff. Alerts erreichen Sie per E-Mail, Mobile-App-Push, Slack, Teams oder Ticketsystem.

Ist Darknet Monitoring legal?

Ja. Es werden Daten ausgewertet, die Kriminelle bereits veröffentlicht oder gehandelt haben. Der Betreiber greift nicht in fremde Systeme ein. Die Verarbeitung der Treffer erfolgt im Auftrag des betroffenen Unternehmens, das ein berechtigtes Interesse an der Sicherheit seiner Konten hat.

Was tun bei einem Treffer?

Zuerst das Infektionsdatum und die Quelle prüfen: Ein frischer Stealer-Log mit gültigem Session-Cookie ist dringender als ein Eintrag aus einer alten Combolist, ein privilegiertes Konto ohne MFA dringender als ein Standardkonto. Dann Passwort zurücksetzen, aktive Sessions beenden, MFA prüfen und bei kompromittierten Geräten die Maschine neu aufsetzen, da Stealer häufig weitere Schadsoftware nachladen.

Reicht die Überwachung der eigenen Domain?

Nein. Kunden-Konten auf Ihren Diensten, Session-Cookies für SaaS-Anwendungen wie Microsoft 365 und Vorfälle bei Lieferanten betreffen Sie ebenfalls. Deshalb gehören die Unterscheidung von Mitarbeiter- und Kunden-Konten, die Bewertung gestohlener Cookies und der Blick auf Ihre Lieferanten zu einem vollständigen Monitoring: Eine Ransomware-Watchlist meldet einen Angriff auf einen Lieferanten, eine Sicherheitsbewertung zeigt seine Schwächen schon davor.