Dark Web Monitoring: Darknet-Überwachung für Unternehmen

Was ist Dark Web Monitoring?

Gestohlene Daten werden gehandelt, getauscht oder öffentlich gemacht. Das passiert oft an Orten, die normale Suchmaschinen nicht finden. Dark Web Monitoring durchsucht diese Orte laufend. Es gleicht die Funde mit Merkmalen Ihres Unternehmens ab, etwa Ihrer Domain oder Ihrem Firmennamen.

Das Ziel ist Zeit. Je früher Sie von einem Leak wissen, desto eher sperren Sie Zugänge und informieren Betroffene. Ohne Monitoring erfahren viele Firmen erst durch einen Angriff oder durch Dritte davon.

Dark Web, Deep Web und Surface Web

Das Internet lässt sich grob in drei Schichten teilen:

• Surface Web: alles, was Suchmaschinen finden, etwa Websites und Nachrichtenseiten.
• Deep Web: Inhalte hinter einem Login, zum Beispiel Postfächer, Kundenportale oder Firmen-Intranets. Diese Inhalte sind meist völlig legal.
• Dark Web: ein bewusst versteckter Teil. Er ist nur über Anonymisierungsnetzwerke wie Tor erreichbar. Hier liegen viele Foren und Marktplätze für gestohlene Daten.

Mehr zu Aufbau und Geschichte lesen Sie im Glossar-Eintrag Dark Web.

Wie gelangen Firmendaten ins Darknet?

• Ransomware mit Datendiebstahl: Viele Gruppen stehlen Daten, bevor sie Systeme verschlüsseln. Zahlt das Opfer nicht, landen die Daten auf einer Leak-Seite. Mehr dazu unter Ransomware.
• Schadsoftware auf Endgeräten: Sogenannte Infostealer lesen gespeicherte Passwörter und Sitzungsdaten aus dem Browser aus. Das betrifft auch private Geräte, mit denen Mitarbeitende auf Firmenkonten zugreifen.
• Datenpannen bei Dienstleistern: Wird ein Webshop, ein Lieferant oder ein Cloud-Dienst gehackt, sind oft auch Ihre Konten dort betroffen.
• Phishing: Gefälschte Login-Seiten sammeln Zugangsdaten. Diese werden später gebündelt verkauft.

Aus solchen Sammlungen entstehen lange Listen mit E-Mail-Adressen und Passwörtern. Angreifer testen sie automatisch bei vielen Diensten. Das nennt man Credential Stuffing.

Was wird überwacht?

Für Unternehmen sind vor allem diese Merkmale wichtig:

• Domains: alle E-Mail-Adressen und Logins, die auf Ihre Firmendomain enden.
• Firmen- und Markenname: zum Beispiel in Opferlisten von Ransomware-Gruppen oder in Verkaufsangeboten.
• Konten von Schlüsselpersonen: Geschäftsführung, Administratoren und Finanzabteilung sind beliebte Ziele.
• Systeme und Zugänge: etwa angebotene Zugänge zu Ihrem VPN oder Ihrer Fernwartung.
• Kunden- und Mitarbeiterdaten: Datensätze, die aus Ihren Systemen stammen.

Angebote für Privatpersonen prüfen meist nur einzelne E-Mail-Adressen, Telefonnummern oder Kreditkarten.

Wie funktioniert Dark Web Monitoring?

1. Sammeln: Der Dienst beobachtet Quellen wie Leak-Seiten, Foren, Marktplätze und Messenger-Kanäle. Er speichert neue Einträge und Datensätze.
2. Abgleichen: Er sucht in den Funden nach Ihren Merkmalen, zum Beispiel nach Ihrer Domain.
3. Bewerten: Nicht jeder Treffer ist gleich wichtig. Ein neues Passwort im Klartext wiegt schwerer als ein bekannter Fund von vor fünf Jahren.
4. Melden: Relevante Treffer gehen als Warnung an Ihr Team. Gute Dienste liefern dazu Quelle, Datum und Datenart.

Monitoring ist ein Teil von Threat Intelligence, also Wissen über Angreifer und ihre Methoden. Es lässt sich mit Threat-Intelligence-Feeds und einem SOC verbinden.

Was tun bei einem Treffer?

Ein Treffer nützt nur, wenn schnell und geordnet reagiert wird. Diese Schritte haben sich bewährt:

1. Einordnen: Welche Daten sind betroffen? Wie alt ist der Fund? Stammt er aus Ihren eigenen Systemen oder von einem Dienstleister?
2. Zugänge sichern: Passwörter zurücksetzen, offene Sitzungen beenden und betroffene Konten bei Bedarf sperren.
3. Zweiten Faktor prüfen: Ist Multi-Faktor-Authentifizierung für alle betroffenen Konten aktiv?
4. Ursache suchen: Gibt es ein infiziertes Gerät oder einen laufenden Angriff? Dann greift Ihr Incident-Response-Plan.
5. Meldepflichten prüfen: Sind personenbezogene Daten betroffen, kann eine Meldung an die Aufsichtsbehörde nötig sein (siehe unten).
6. Betroffene warnen: Mitarbeitende und Kunden sollten wissen, dass sie mit gezieltem Phishing rechnen müssen.
7. Dokumentieren: Halten Sie fest, was Sie wann gefunden und getan haben.

Grenzen von Dark Web Monitoring

• Keine vollständige Sicht: Geschlossene Foren und private Kanäle sind nur zum Teil einsehbar. Kein Dienst findet alles.
• Es meldet, es verhindert nicht: Wenn Daten im Darknet auftauchen, ist der Diebstahl schon passiert.
• Kein Löschen: Einmal veröffentlichte Daten lassen sich praktisch nicht zurückholen.
• Alte Funde und Fehlalarme: Viele Treffer stammen aus bekannten, älteren Leaks. Ohne Bewertung droht Alarmmüdigkeit.

Dark Web Monitoring ergänzt daher Grundschutz wie Updates, Backups, Passwortregeln und Schulungen. Es ersetzt ihn nicht.

Datenschutz und Meldepflichten

Leaks enthalten fast immer personenbezogene Daten. Wer sie lädt und auswertet, verarbeitet diese Daten. Dafür brauchen Sie klare Regeln: Wer darf die Funde sehen? Wofür werden sie genutzt? Wann werden sie gelöscht? Ihr Datenschutzbeauftragter sollte von Anfang an beteiligt sein.

Stammen die Daten aus Ihrem Unternehmen, liegt meist eine Datenpanne vor. Nach Art. 33 der DSGVO melden Sie diese binnen 72 Stunden der Aufsichtsbehörde, nachdem Sie davon erfahren haben. Besteht ein hohes Risiko für die Betroffenen, müssen Sie diese nach Art. 34 informieren.

Fällt Ihr Unternehmen unter NIS-2, gelten für erhebliche Sicherheitsvorfälle zusätzlich Meldefristen an das BSI: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht innerhalb eines Monats. Dark Web Monitoring schreibt NIS-2 nicht vor. Es kann aber der erste Hinweis auf einen solchen Vorfall sein.

Dark Web Monitoring mit SecTepe

In SecTepe.Core gibt es zwei Bausteine für das Thema:

• SecTepe Leak-Ingest: gleicht täglich die Opferlisten von Leak-Seiten mit Ihrer Domain und Ihrem Firmennamen ab. Nach Freigabe durch Ihren Datenschutzbeauftragten wertet das Modul den Leak aus. Es erkennt Ihre Betroffenen und bereitet die Meldung nach Art. 33 und 34 DSGVO vor.
• Threat Intelligence in SecTepe.Core: gleicht Ihre Domains und Mail-Adressen mit Bedrohungs-Feeds ab. Treffer erscheinen als Warnung für Ihren Mandanten.

Fazit

Dark Web Monitoring sagt Ihnen, wann Daten Ihres Unternehmens in falschen Händen sind. Es verhindert keinen Angriff. Aber es verkürzt die Zeit, in der Angreifer gestohlene Daten unbemerkt nutzen können. Den größten Nutzen hat es, wenn klar ist, wer Treffer bewertet und was dann passiert.