Initial Access Broker (IAB)

Ein Initial Access Broker (IAB) ist ein Cyberkrimineller oder eine Gruppe, die sich auf den ersten Schritt eines Angriffs spezialisiert hat: den Zugang zu einem Unternehmensnetz. Diesen Zugang, etwa VPN-Zugangsdaten, RDP-Logins, Citrix-Konten, Webshells oder kompromittierte Domain-Admin-Rechte, verkauft der Broker in Untergrundforen an andere Gruppen, die den eigentlichen Angriff durchführen, in den meisten Fällen Ransomware-Partnerprogramme.

Warum Initial Access Broker wichtig sind

Die Arbeitsteilung im Cybercrime ist der Grund, warum Ransomware-Angriffe so skaliert haben. Ein Broker muss weder Verschlüsselung noch Erpressung beherrschen; er muss nur hineinkommen. Der Käufer muss nicht mehr suchen; er bekommt einen geprüften Zugang mit Angaben zu Branche, Umsatz, Anzahl der Hosts und vorhandenen Rechten. Angebote werden oft innerhalb weniger Stunden verkauft. Für das betroffene Unternehmen bedeutet ein IAB-Inserat: Der Angreifer ist bereits drin, der Angriff selbst hat nur noch nicht begonnen. Dieses Zeitfenster ist die letzte Gelegenheit, ihn ohne Schaden zu schließen.

So arbeiten Initial Access Broker

• Beschaffung: Zugangsdaten aus Infostealer-Logs und Combolists, Ausnutzung öffentlich bekannter Schwachstellen in VPN-Gateways, Firewalls und Remote-Zugängen, Brute-Force gegen RDP, Phishing.
• Veredelung: Der Broker prüft, ob der Zugang funktioniert, welche Rechte er hat und wie groß das Unternehmen ist. Je höher die Rechte und der Umsatz, desto höher der Preis.
• Verkauf: Das Angebot erscheint in Untergrundforen, meist mit Branche, Land, Umsatz, Zugangsart und Rechten, aber ohne Firmennamen. Preise reichen typischerweise von einigen hundert bis zu mehreren zehntausend US-Dollar.
• Übergabe: Der Käufer, häufig ein Ransomware-Affiliate, übernimmt und beginnt mit Ausbreitung, Datenabfluss und Verschlüsselung.

So adressiert blacklens.io Initial Access Broker

blacklens.io setzt an den Vorstufen an, weil ein Inserat ohne Firmennamen selten direkt zuzuordnen ist. Das Darknet Monitoring findet die Zugangsdaten und Session-Cookies aus Stealer-Logs, die Broker als Rohmaterial nutzen, und ordnet sie Ihren Mitarbeitern zu. Die externe Angriffsfläche zeigt exponierte VPN-, RDP- und Verwaltungszugänge, und das Threat Center gleicht neue CVEs in genau diesen Produkten in Echtzeit mit Ihrem Inventar ab. Das Ransomware-Monitoring zeigt zusätzlich, ob Lieferanten aus Ihrer Watchlist auf Leak-Sites erscheinen.

Woher wissen Initial Access Broker, wo sie hineinkommen?

Meist aus zwei Quellen: Stealer-Logs, die neben dem Passwort auch die Login-URL des Unternehmens enthalten, und Massen-Scans nach bekannten Schwachstellen in Fernzugängen. Beides ist automatisiert; Broker suchen keine bestimmten Firmen, sondern nehmen, was offen steht.

Wie erkenne ich, ob mein Zugang verkauft wird?

Inserate nennen selten den Firmennamen, aber Branche, Land, Umsatz und Zugangsart. Ein Treffer im Darknet Monitoring auf Zugangsdaten für Ihr VPN oder Citrix-Portal ist ein deutlich früheres und zuverlässigeres Signal als das Inserat selbst.

Was schützt am wirksamsten gegen Initial Access Broker?

MFA auf allen Fernzugängen, zeitnahes Patchen von VPN-Gateways und Firewalls, Darknet Monitoring mit sofortigem Zurücksetzen betroffener Konten und ein aktuelles Inventar exponierter Verwaltungszugänge.