Wenn die Daten eines Unternehmens auf einer Ransomware-Leak-Seite auftauchen, muss die betroffene Organisation vier Fragen beantworten – schnell und belastbar: Wer ist betroffen? Welche Zugangsdaten sind jetzt offen? Was steckt sonst noch drin? Und: Taucht ein bestimmter Begriff irgendwo auf? Das Leak-Ingest-Modul in SecTepe.Core.CTI beantwortet genau diese Fragen – und tut es entlang klar gezogener DSGVO-Bahnen.
DSGVO ist hier kein Beiwerk, sondern der Rahmen
Das Modul unterstützt die Meldepflichten der betroffenen Organisation nach Art. 33 DSGVO (72-Stunden-Meldung an die Aufsichtsbehörde) und Art. 34 DSGVO (Benachrichtigung der Betroffenen). SecTepe agiert dabei als Auftragsverarbeiter nach Art. 28 DSGVO. Besondere Kategorien personenbezogener Daten nach Art. 9 werden erkannt und gezählt, die Rotationsliste für Zugangsdaten stützt sich auf Art. 32(1)(b) und Art. 34(3)(a), und die Such-Protokollierung dient der Rechenschaftspflicht nach Art. 5(2).
Harte Sicherheits-Gates by Design
- Opt-in je (Tenant, Opfer-Domain): ohne ausdrückliche Freigabe bleibt der Status
refused– es wird nichts geladen. - Ausgehend nur über Tor, nur
.onion: eine Clearnet-URL führt zu HTTP 400. - ClamAV-Scan vor der Extraktion: infizierte Dateien werden in Quarantäne gelegt und niemals entpackt oder ausgeführt; dazu Zip-Bomb-Deckel und ein Limit von 10 MiB pro Datei.
- Verschlüsselter Objektspeicher: Ablage in MinIO, streng nach
leaks/<tenant>/<dataset>/…getrennt.
Credentials erkennen, ohne sie zu exportieren
Zugangsdaten werden in drei Spuren erkannt – aus Spalten (Passwort, Hash, API-Key), aus Text (Stealer-Logs, Connection-Strings, PEM-Blöcke, AWS-Keys) und aus Dateien (.kdbx, id_rsa, .ovpn, .env). Entscheidend: Der Geheimwert selbst verlässt das Erkennungsmodul nie. Weitergegeben werden nur Benutzername, Zielsystem, die Form des Geheimnisses und der Fundort – genug, um zu rotieren, ohne das Geheimnis erneut zu exponieren.
Tenant-weite Keyword-Suche mit Konfidenz-Stufen
Über POST /api/v1/leak-records/search lässt sich der gesamte Bestand eines Mandanten durchsuchen – mit Konfidenz-Stufen high (ganzes Wort in Spalte/Identifier), medium (Teilstring) und low (nur Snippet oder Dateiname). Treffer nennen matched_keywords und matched_fields (Spaltennamen, nie Werte) – die Oberfläche kann also zeigen, warum ein Datensatz passt, ohne den Inhalt preiszugeben.
OCR, SQL-Dumps, Wiedererkennung und beweisbare Löschung
Das Modul liest Text auch aus Bildern (OCR), interpretiert SQL-Dumps als Tabellen mit Join-Beziehungen (samt Konfidenz-Angabe), erkennt dieselbe Person über mehrere Vorfälle hinweg und bietet eine beweisbare Löschung in drei Stufen. Der bilinguale Opfer-Warnbericht (Markdown, JSON und PDF) wird ausschließlich aus Datei-Metadaten erzeugt – nie aus geleaktem Inhalt.
Fazit
Leak-Ingest macht aus einem Ransomware-Leak einen kontrollierten, DSGVO-konformen Auswertungsprozess: Opt-in, nur Tor, ClamAV zuerst, Credentials ohne Klartext, Suche mit Nachweis und beweisbarer Löschung. Die Ergebnisse fließen in das Leak-Datensatz-Modul von SecTepe.Core – von der rohen Datei bis zur meldefähigen Aussage.