Darknet-Monitoring beobachtet die Orte, an denen gestohlene Daten gehandelt werden, gleicht jeden neuen Datensatz mit Ihren Domänen, Personen und Karten ab und benachrichtigt Sie per Alarm. Dieser Leitfaden zeigt, wo gesucht wird, was gefunden wird, wie Sie auf einen Alarm reagieren und wie Sie einen Anbieter auswählen.
Kein Dienst kann das Darknet einfach durchsuchen. Monitoring ist Sammelarbeit: Menschen und Maschinen besuchen die Orte, an denen mit Daten gehandelt wird, wandeln Dumps, Beiträge und Angebote in Datensätze um und bewahren sie auf.
Jeder neue Datensatz wird mit dem abgeglichen, was Sie beobachten, etwa Domänen, E-Mail-Adressen, Namen, IP-Bereiche, Karten-BINs und Marken, und Sie werden benachrichtigt. Ältere Datensätze bleiben durchsuchbar, sodass Sie auch zurückblicken können.
Es findet Datenabflüsse. Es kann sie nicht löschen: Sobald Daten kursieren, werden sie kopiert und erneut veröffentlicht. Monitoring zeigt Ihnen, was wo im Umlauf ist, damit Sie es unbrauchbar machen können.
Einmaliger Scan oder Monitoring
Zehn Arten von Quellen. Einige liegen im Tor, viele nicht: Telegram, Paste-Sites und öffentlicher Code befinden sich im normalen Internet, daher muss das Monitoring beides abdecken.
Analysten besuchen täglich Foren, Card-Shops, Telegram, Discord und Paste-Sites; Scraper und Collector laufen rund um die Uhr.
Datenbanken und SQL-Dumps aus Datenlecks sowie combo lists aus E-Mail-Passwort-Paaren, die oft wiederverwendet und neu gemischt werden.
Alles, was ein infostealer von einem infizierten Rechner mitgenommen hat: gespeicherte Passwörter, Cookies, tokens und Autofill-Daten, alles in einem Log.
Threads, in denen Zugänge, Datenbanken und Tools verkauft werden und Käufer sagen, wonach sie suchen. Übersetzt und auf spätere Antworten erneut geprüft.
Kanäle und Server, in denen Leaks veröffentlicht, Tools geteilt und Käufer gefunden werden. Wir erfassen über 2.200 Telegram-Kanäle aus der Cyberkriminalität, die meisten davon privat und nur mit Einladung zugänglich.
Offenes Web, oft ohne Konto: Zugangsdaten, Konfigurationsdateien und Proben, offen eingestellt und oft schnell wieder entfernt.
Shops, die personenbezogene und Unternehmensdaten verkaufen. Ein Treffer bedeutet: Daten mit Bezug zu Ihnen sind gerade jetzt im Handel.
Zuerst die Opferankündigung, dann die geleakten Archive. Ihre Logins können im Leak eines Lieferanten liegen, auch wenn Sie nie angegriffen wurden.
Zahlungskarten, die kostenlos in Dumps und Kanälen geteilt werden, sowie Karten, die in Darknet-Marktplätzen zum Verkauf stehen.
Cloud-Speicher und Datenbanken, die offen im Internet stehen und für jeden lesbar sind, der sie findet.
GitHub, GitLab, Gists, Postman und über 50 Seiten, die per Google dorking gefunden werden, durchsucht nach Ihrer Domäne, Ihrer Marke und internen Namen.
Sieben Arten von Befunden. Jeder kommt mit dem Originaldatensatz, dem Fundort und dem Zeitpunkt, damit Sie entscheiden können, was zu tun ist.
Illustration mit fiktiven Daten: ein Beispielbefund pro Art, wie ihn ein Monitor melden würde.
Combo list, geteilt in einem Telegram-Kanal
Ein wiederverwendetes Passwort kann VPN, Webmail und Cloud-Konten öffnen.
Setzen Sie es und jede Wiederverwendung zurück und erzwingen Sie dann MFA.
Stealer-Log von einem infizierten Rechner
Mit einer aktiven Sitzung braucht ein Angreifer das Passwort womöglich gar nicht, und MFA hält ihn nicht auf.
Sitzungen und Tokens widerrufen, die Zugangsdaten zurücksetzen, das Gerät untersuchen.
Angebot in einem Card-Shop
Betrug beginnt mit Daten: Eine gelistete Karte wird gleich verwendet oder weiterverkauft.
Sperren oder neu ausstellen und den Treffer in Ihre Betrugsprüfungen einspeisen.
Russischsprachiges Zugangsforum, übersetzt
Zugangsverkäufe nennen selten das Opfer: Branche, Land und Größe sind der Hinweis.
VPN- und RDP-Logins prüfen, Zugänge erneuern, auf den nächsten Beitrag achten.
Discord-Server, Jobs-Kanal, übersetzt
Pläne tauchen vor dem Vorfall auf, solange noch Zeit zum Handeln bleibt.
Die Teams informieren, die angesprochen werden könnten, und den Thread beobachten.
Neue Domain-Registrierung
Für Ihre Kunden, Beschäftigten und Lieferanten sieht eine Lookalike-Domain aus wie Sie.
Beobachten Sie sie und lassen Sie sie mit Nachweisen entfernen, sobald sie feindselig wird.
Öffentliches Repository eines Entwicklers, ana-example
Ein geleakter Schlüssel, der noch funktioniert, öffnet die Tür, für die er gemacht wurde.
Den Schlüssel widerrufen und austauschen, dann prüfen, worauf er Zugriff hatte.
Ein Monitor überwacht Ihre Assets, meldet nur, was seit dem letzten Durchlauf neu ist, und übergibt jeden Befund dorthin, wo Ihr Team arbeitet.
Jede Funktion hat eine dokumentierte REST API, und neben jedem Suchergebnis können Sie die genaue Anfrage als JSON oder cURL kopieren. Welcher Tarif die API und webhooks enthält, steht auf der Preisseite. Tarife und ihre Leistungen
Jeder Anbieter sagt, er decke das Darknet ab. Sechs Fragen zeigen den Unterschied in einer Testphase, auch bei uns.
Unser Vergleich stellt DarknetSearch und andere Plattformen anhand von 33 Funktionen gegenüber, jede Zelle mit Link zur öffentlichen Quelle.
Plattformen vergleichen Anbieterwechsel? Zur PreisgarantieStealer-Logs, Telegram, private Kanäle: selbst erfasst oder zugekauft?
DarknetSearch Wir erheben unsere Daten selbst: Analysten täglich, Collectors rund um die Uhr.
Combo lists werden oft recycelt. Ohne Datumsangaben lässt sich Altes nicht von Neuem unterscheiden.
DarknetSearch Jeder Leak trägt drei Daten: veröffentlicht, entdeckt und hinzugefügt.
Handeln können Sie nur bei dem, was Sie lesen können: welcher Login, welcher Host, welche Datei.
DarknetSearch Der Originaldatensatz, woher er stammt und warum er zugeordnet wurde.
Befunde gehören in Ihr SIEM, SOAR oder Ticketing-System, nicht in ein Postfach.
DarknetSearch Eine dokumentierte REST API für jede Funktion und signierte webhooks.
Verborgene Preise machen jeden Vergleich langsam.
DarknetSearch Listenpreise für Organisationen sind öffentlich, in EUR, USD oder CHF.
Niemand sieht jeden privaten Chat, und ein sauberes Ergebnis ist kein Beweis für Sicherheit.
DarknetSearch Unsere Grenzen finden Sie weiter unten auf dieser Seite.
DarknetSearch gliedert das Darknet-Monitoring nach der Frage, die Sie stellen. Jede Seite behandelt einen Teil ausführlich.
Es kann nicht
Sobald Daten im Umlauf sind, werden sie kopiert und erneut gepostet. Sie machen sie stattdessen unbrauchbar: zurücksetzen, widerrufen, sperren, warnen.
Ein sauberes Ergebnis bedeutet, dass nichts in die Sammlung gelangt ist, nicht dass nichts geleakt wurde. Geschlossene Quellen ändern sich täglich.
Gruppen nur mit Einladung entstehen und verschwinden. Niemand kann jede Quelle an jedem Tag versprechen.
Chatter ist, was Menschen sagen. Verkäufer übertreiben, Angebote werden wiederverwendet und gefälschte Datensätze sind häufig.
der in Kundenumgebungen geprüften geleakten Zugangsdaten waren nach unserer eigenen Erfahrung noch gültig. Schon eine kann genügen, daher zählen Alter und Quelle.
So arbeiten wir
Nein. Niemand kann Daten zuverlässig löschen, sobald sie zirkulieren, denn sie werden kopiert und erneut veröffentlicht. Monitoring zeigt Ihnen, was wo offenliegt, damit Sie es wertlos machen können: Passwörter zurücksetzen, Sitzungen widerrufen, Karten sperren und Betroffene warnen.
Technisch nicht: Telegram ist eine gewöhnliche App im normalen Internet. Aber viele Cybercrime-Kanäle und -Gruppen handeln dort mit gestohlenen Logins, stealer logs und Tools, oft in privaten Gruppen nur auf Einladung. Deshalb muss das Monitoring Telegram und Foren im Clear Web einschließen.
Sie wählen pro Monitor, von täglich bis monatlich; neue Monitore laufen standardmäßig täglich. Ein Monitor läuft einmal, wenn Sie ihn anlegen, und danach nach seinem Zeitplan; die ersten Ergebnisse zeigen, was bereits im Umlauf ist. Lookalike-Domains haben eigene Intervalle, bei aktiven Bedrohungen bis alle 30 Minuten.
Nein. Monitoring findet, was geleakt wurde und in die Sammlung gelangt ist; ein sauberes Ergebnis beweist daher nicht, dass ein Konto sicher ist. Geschlossene Quellen ändern sich, und niemand kann jede Quelle an jedem Tag garantieren.
Behandeln Sie es als Sicherheitssignal. Prüfen Sie die Gefährdung, setzen Sie betroffene Zugangsdaten zurück, widerrufen Sie Sitzungen und tokens, falls Cookies geleakt wurden, prüfen Sie Zugriffsprotokolle und untersuchen Sie das Gerät hinter einem stealer log. Lassen Sie danach einen Monitor aktiv, damit Sie vom nächsten Fall erfahren.
Ja. Die 7-tägige kostenlose Testphase gibt Ihnen vollen Zugriff auf die echte Plattform: kostenlos, ohne Kreditkarte und unverbindlich. Sie beginnt mit einer kurzen, 15-minütigen Einführung; bitte registrieren Sie sich mit Ihrer geschäftlichen E-Mail-Adresse.
Starten Sie eine kostenlose Testphase und suchen Sie nach Ihrer eigenen Domäne, oder buchen Sie eine Live-Demo und lassen Sie sich die Plattform von unserem Team zeigen.
