Access Broker Economy: Wenn Ihr Netzzugang im Darknet verkauft wird

Ransomware-Angriffe beginnen selten mit der Ransomware. Sie beginnen mit einem kompromittierten Account, einer offenen VPN-Schwachstelle oder gestohlenen Zugangsdaten – und häufig mit jemandem, der genau diesen Zugang im Darknet weiterverkauft.

Initial Access Broker – ein eigener Wirtschaftszweig

Das Darknet hat eine funktionierende Arbeitsteilung entwickelt. Initial Access Broker (IABs) sind spezialisierte Akteure, die sich auf eine einzige Aufgabe konzentrieren: Zugang zu Unternehmensnetzwerken zu beschaffen und diesen Zugang weiterzuverkaufen.

Ihr Angebot ist präzise katalogisiert und umfasst VPN-Zugangsdaten mit Angaben zu Unternehmensname, Branche und Jahresumsatz, RDP-Zugänge zu bestimmten Servern, kompromittierte Admin-Accounts mit bekannten Berechtigungsstufen sowie aktive Sessions zu Citrix- oder VMware-Umgebungen. Die Käufer, darunter Ransomware-Gruppen, Spionageakteure und Erpresser, wissen so genau, was sie erhalten, noch bevor sie den Kauf abschließen.

Die Preise richten sich nach dem Wert des Ziels. Ein Zugang zu einem mittelgroßen europäischen Industrieunternehmen mit hohem Umsatz bringt deutlich mehr als ein Zugang zu einem kleinen Dienstleister. Der Markt funktioniert nach Angebot und Nachfrage.

Warum diese Arbeitsteilung gefährlich ist

Für betroffene Unternehmen bedeutet dieses Modell eine strukturelle Verschiebung: Der eigentliche Breach – der Moment, in dem jemand unbefugten Zugang erlangt – ist nicht identisch mit dem Moment, in dem der Schaden sichtbar wird.

Wenn Ransomware ausgerollt wird, ist der initiale Zugang möglicherweise Wochen alt. In dieser Zeit hat der ursprüngliche Angreifer das Netzwerk erkundet, Zugangsdaten dokumentiert, das Listing vorbereitet und den Käufer gefunden. Der Ransomware-Akteur betritt eine bereits erschlossene Umgebung.

Klassische Reaktionsmuster greifen hier zu spät: Wer erst reagiert, wenn Dateien verschlüsselt werden, hat den entscheidenden Zeitraum bereits verpasst.

Was im Darknet über Ihr Unternehmen steht

IAB-Listings sind oft überraschend umfangreich. Neben Zugangsweg und Unternehmensnamen enthalten sie häufig Angaben zur Anzahl erreichbarer Systeme, zur Berechtigungsstufe kompromittierter Konten, zur eingesetzten Sicherheitssoftware und teilweise sogar Hinweise darauf, welche EDR-Lösungen bereits vorhanden sind und bei einem weiteren Angriff umgangen werden müssten.

Diese Informationen stammen nicht aus Datenbank-Leaks. Sie wurden aktiv aus dem Netzwerk extrahiert, bevor das Listing erstellt wurde. Ein IAB-Eintrag bedeutet: Jemand war bereits drin.

Wo blacklens.io ansetzt

Das Darknet Monitoring von blacklens.io setzt beim Rohmaterial an, aus dem Broker ihre Zugänge häufig gewinnen: Zugangsdaten und Session-Cookies aus Infostealer-Logs und Combolists. Daneben erfasst es Angebote von Initial Access Brokern in Untergrundforen und auf Marktplätzen. Es meldet kompromittierte Identitäten mit Passwort, Session-Cookie oder persönlichen Daten sowie kompromittierte Geräte und ordnet automatisch zu, ob Mitarbeitende oder Kunden betroffen sind.

Zu jedem Fund sieht das Team, welches Konto betroffen ist und ob die Daten aus Infostealer-Malware oder einer Combolist stammen. Bei einem kompromittierten Gerät kommen Hostname, Betriebssystem, installierte Virenschutzprogramme und Infektionsdatum hinzu. Abgelaufene Session-Cookies archiviert die Plattform automatisch.

Genau hier liegt der Unterschied zu klassischer, reaktiver Incident Response: Ein solcher Fund bedeutet nicht zwangsläufig, dass bereits jemand im Netzwerk war. Er zeigt, dass Zugangsdaten oder Sessions abgeflossen sind, aus denen ein Broker einen verkaufbaren Zugang machen kann. Wer dann Passwörter zurücksetzt und betroffene Sessions beendet, entzieht ihm dieses Rohmaterial – im besten Fall, bevor er es nutzen konnte.