Fragen und Antworten, alles an einem Ort.

DarknetSearch ist eine Plattform für Darknet-Monitoring und Threat Intelligence von Kaduu AG, einem Schweizer Cybersicherheitsunternehmen mit über 20 Jahren Erfahrung. Sie findet Ihre geleakten Daten und Zugangsdaten, vollständige Stealer-Logs, Geheimnisse in öffentlichem Code, exponierte Server und ähnlich aussehende Domänen und benachrichtigt Sie, sobald etwas Neues auftaucht. Teams nutzen sie im Dashboard, über die API oder beides. Über uns

Es zeigt, was Angreifer über Ihre Organisation bereits finden oder kaufen können: geleakte Daten, Zugangsdaten und Stealer-Logs, Daten im Verkauf und Gespräche über Sie, Secrets in öffentlichem Code, exponierte Server und ähnliche Domänen. Jeder Befund kommt mit Quelle, Alter und Risiko, damit Sie zurücksetzen, widerrufen, patchen oder abschalten lassen können, bevor er gegen Sie verwendet wird.

CISOs, SOC-Analysten, Teams für Threat Intelligence und Incident Response, MSSPs, Penetrationstester, Cyberversicherer, Beratungen, CERTs und Teams für Drittanbieterrisiken. Mehr als 200 MSSPs und SOCs sowie mehr als 100 Unternehmen vertrauen uns. Die Seite zu den Anwendungsfällen zeigt Rolle für Rolle, welche Fragen die Daten beantworten.

Jede Organisation mit Konten, Daten oder einer Marke, die sich missbrauchen lässt. Wir beschreiben, was leakt und was Teams beobachten, in Finanzwesen, Gesundheitswesen, Handel und E-Commerce, Medien, Behörden, Energie, Technologie, Bildung, Recht und Versicherungen; alle finden Sie auf der Seite zu den Anwendungsfällen.

Ja. Die 7-tägige kostenlose Testphase gibt Ihnen vollen Zugriff auf die echte Plattform: kostenlos, ohne Kreditkarte und unverbindlich. Sie beginnt mit einer kurzen, 15-minütigen Einführung in die wichtigsten Funktionen; direkt danach schalten wir Ihren Testzugang frei. Bitte registrieren Sie sich mit Ihrer geschäftlichen E-Mail-Adresse.

Ja. In einer Live-Demo führt Sie unser Team durch die Plattform, zeigt praxisnahe Anwendungsfälle und beantwortet Ihre technischen und kommerziellen Fragen. Buchen Sie eine Live-Demo zu einem Zeitpunkt, der Ihnen passt.

Ja. Die Domain-Prüfung auf der Startseite zählt die geleakten Datensätze, die wir zu Ihrer Domäne haben, ohne Registrierung. Um die Datensätze selbst zu sehen, Monitore einzurichten und Berichte zu erstellen, starten Sie die kostenlose Testphase.

Nein. Unified Search und Search by Source erfordern keine Registrierung von Assets: Suchen Sie nach Domäne, E-Mail, Name, IP-Adresse, Karten-BIN, Marke, Passwort, Dateiname oder Hostname, im Dashboard oder über die API. Assets registrieren Sie nur für das, was überwacht werden soll; die Anzahl der überwachten Assets hängt von Ihrem Tarif ab.

Prüfen Sie Ihre Domäne auf der Startseite und buchen Sie dann eine Live-Demo oder starten Sie die kostenlose Testphase. Mit dem Abonnement ist das Onboarding inbegriffen: Wir richten Ihre ersten Alarme gemeinsam mit Ihnen ein, damit Ihr Team mit dem passenden Monitoring-Workflow startet.

Kontext. Wir überwachen laufend eine breite Palette von Underground-Quellen und reichern jeden Befund an, damit Sie sehen, was offengelegt ist, warum es wichtig ist und wie Sie reagieren. Interne Security-Teams nutzen dies für die eigene Organisation, und MSSPs bieten ihren Kunden Darknet-Monitoring als Service an.

Wir erfassen unsere Daten selbst, Sie können suchen, ohne Assets zu registrieren, und jede Funktion lässt sich über API, Webhooks und MCP automatisieren. Der Preis liegt zwischen 1/2 und 1/10 der führenden Anbieter im Gartner-Markt, und Sie sprechen direkt mit den Entwicklern und Gründern eines Schweizer Boutique-Unternehmens. Lesen Sie, warum Teams sich für uns entscheiden und wie wir im Vergleich abschneiden.

Drei Editionen für Organisationen. Starter konzentriert sich auf geleakte Zugangsdaten, stealer logs und Ihre Angriffsfläche. Advanced ergänzt automatisierte Berichte, die REST API, Telegram und Discord, das Monitoring von ransomware-Akteuren, Darknet Chatter, Lookalike-Domains und den Live Data Broker. Pro ergänzt die Onion-Suche, offengelegten Code, Cloud-Speicher, Paste-, Kreditkarten- und URL-Shortener-Exposure, gefälschte Apps in App-Stores, webhooks und einen eigenen E-Mail-Server. MSSPs haben zwei eigene Editionen; alle finden Sie auf der Preisseite.

Zwei Dinge: die Größe Ihrer Organisation (Anzahl der Mitarbeitenden) und der Lizenztyp. Gemeinnützige Organisationen und Bildungseinrichtungen erhalten zusätzlich 20 % Rabatt. Auf der Preisseite gelten als klein 1–100 Mitarbeitende, als mittel 101–1.000 und als groß 1.001 und mehr.

Ja, für Organisationen: Die Preisseite zeigt den Listenpreis jeder Edition für Ihre Organisationsgröße und Laufzeit, in EUR, USD oder CHF, und dort können Sie Ihr Angebot anfordern. Die beiden MSSP-Editionen werden auf Anfrage bepreist.

Unser Standard-Abonnement läuft 6 Monate. Für ein einmaliges Projekt fragen Sie uns nach einem Ein-Monats-Tarif und nennen Sie uns die Größe Ihrer Organisation und den Umfang der geplanten Abfragen.

6, 12, 24 oder 36 Monate. Längere Laufzeiten kosten weniger: Die Preisseite gewährt 5 % Rabatt bei 12 Monaten, 10 % bei 24 Monaten und 15 % bei 36 Monaten.

Nein. Wir benachrichtigen Sie einen Monat vor Ablauf und senden Ihnen ein Verlängerungsangebot. Um Ihren aktuellen Preis zu sichern, können Sie eine längere Laufzeit von bis zu 3 Jahren anfragen.

Nein. Unified Search und Search by Source sind in jeder Edition unbegrenzt, ebenso Darknet Chatter, wo es enthalten ist; es gelten nur die allgemeinen Ratenlimits der Plattform. Was ein Tarif zählt: Admin-Plätze, überwachte Assets, API-Aufrufe, Berichte, Takedowns, Sitzungen des Live Data Broker und Suchen nach offengelegtem Code.

Sie werden nicht unerwartet abgeschaltet. Wenn Sie ein Limit erreichen oder überschreiten, etwa bei überwachten Assets, API-Abfragen oder Nutzungsvolumen, benachrichtigen wir Sie und zeigen klare Optionen: Tarif erhöhen oder Nutzung anpassen. Ziel ist ein ununterbrochenes Monitoring mit transparenter, planbarer Preisgestaltung, auch für wachsende Teams und MSSPs.

Ja. Je nach Edition können Sie jederzeit zusätzliche überwachte Assets, Admin-Plätze, API-Aufrufe, Berichte, Live-Data-Broker-Sitzungen und Code-Exposure-Suchen als Pakete hinzubuchen; ein Paket zählt, sobald seine Rechnung bezahlt ist. MSSP-Editionen können jede Kapazität einzeln erhöhen, für die Restlaufzeit auf derselben Rechnung.

Wir sammeln sie selbst. Analysten besuchen täglich Foren, Card-Shops, Telegram, Discord und Paste-Sites und protokollieren jeden Leak, den sie hinzufügen; Scraper und Telegram-Collector laufen rund um die Uhr, und Märkte der Datenhändler werden mehrmals täglich durchsucht. Eine Live-Suche ergänzt über 50 Hackerforen, mit eigenen Konten, sowie Tor-Suchmaschinen über unsere Proxys. Sehen Sie, was wir sammeln

Jede Art von Leak: Datenleck-Datenbanken und SQL-Dumps, Combo- und URL:Login:Passwort-Listen, vollständige Stealer-Logs, offener Cloud-Speicher und offene Datenbanken, Paste-Sites und Zahlungskarten. Dazu, was Datenhändler anbieten und was in Telegram- und Discord-Kanälen, Foren und auf Ransomware-Leak-Sites gesagt wird. Und Ihre Marke im offenen Web: neue Zertifikate und Domain-Registrierungen, URL-Shortener, Phishing-Seiten und App-Stores.

Over 430 billion leaked records, 296 billion leaked accounts and 134,000 leak lists, updated with our average daily intake of hundreds of millions of records. These figures cover the breach collection only: offers for sale, Telegram and forum chatter come on top. The breach page shows the running estimate.

An einem normalen Tag kommen Hunderte neuer Leak-Listen hinzu, und der neueste Upload ist meist nur wenige Minuten alt. Die Aktualität hängt von der Quelle ab: Live-Traffic von Stealern ist neu, combo lists werden oft recycelt. Deshalb trägt jeder Leak drei Daten: wann er veröffentlicht, entdeckt und hinzugefügt wurde.

Jeder Leak erhält eine schriftliche Beschreibung, Tags und drei Daten, und die Beschreibungen werden vor der Veröffentlichung geprüft. Nicht verifizierte Behauptungen von Verkäufern werden als solche gekennzeichnet, und combo lists kommen mit einer Schätzung, wie viel davon ungültig ist. Ein Befund belegt, dass etwas geleakt wurde, nicht dass ein Passwort noch funktioniert.

Ja. Wir erfassen über 2.200 Telegram-Kanäle aus dem Cybercrime-Umfeld, die meisten davon privat und nur auf Einladung, sowie Discord-Server, auf denen Tools, Logs und Leaks geteilt werden. Die Telegram-Suche unterstützt Boolesche Abfragen und wird pro Kanal dedupliziert. Telegram- und Discord-Monitoring ist Teil der Advanced-, Pro- und MSSP-Editionen. Darknet- & Forenmonitoring

Ja. Wir überwachen Ransomware-Leak-Sites auf Opfer-Beiträge nach Unternehmen, Gruppe, Branche und Land, und unsere eigenen Werkzeuge laden die geleakten Archive herunter und klassifizieren jede Datei. So sehen Sie Ihre Logins auch im Leak eines Lieferanten, selbst wenn Sie nie selbst angegriffen wurden. Das Monitoring von Ransomware-Bedrohungsakteuren ist Teil von Advanced, Pro und MSSP.

Das Gespräch rund um die Daten. Angebote zeigen, was zum Verkauf steht; Chatter zeigt, was Threat Actors, Käufer und Verkäufer in Hackerforen und auf Marktplätzen darüber sagen. Threads werden erneut geprüft, sodass auch spätere Antworten Ihre Ergebnisse erreichen, und Beiträge in anderen Sprachen werden per KI übersetzt. Darknet Chatter im Darknet- und Forenmonitoring

Eine Suche, die live in Marktplätzen von Datenhändlern im Untergrund läuft, auf denen Kriminelle Zugänge und gestohlene Daten verkaufen. Für jede Session meldet sich unser Crawler bei Bedarf an, führt Ihre Abfrage in Echtzeit aus und liefert, was er findet. Sessions sind pro Monat in Advanced, Pro und den MSSP-Editionen enthalten.

Ja. Paste-Sites (Seiten, auf denen Texte anonym abgelegt werden) sind oft der Ort, an dem Konfigurationen, Proben und gestohlene Daten zuerst auftauchen, und wir erfassen sie als eigene Quelle. Paste-Leaks sind Teil der Pro- und MSSP-Editionen; eine Bewertung der Angriffsfläche kann außerdem live 76 Paste-Sites durchsuchen.

Ja. Wir sammeln Zahlungskarten, die kostenlos geteilt oder zum Verkauf angeboten werden, durchsuchbar nach BIN oder Karteninhaber, und Sie können Ihre Karten-BINs überwachen. Die Erkennung von Kreditkarten-Leaks ist Teil der Editionen Pro und MSSP.

Wir erfassen Quellen in jeder Sprache; Forenbeiträge in anderen Sprachen werden per KI übersetzt. Beratung, Umsetzung und Berichte gibt es auf Englisch, Deutsch, Französisch und Spanisch; Berichte zur Angriffsfläche können auch auf Italienisch verfasst werden.

Ja, jederzeit, im Dashboard oder über die API. Suchergebnisse lassen sich als JSON, CSV oder XLSX exportieren, Stealer-Logs mit einer Zeile pro Rechner, Befunde zur Code-Exposition als CSV, JSON oder XML. Bewertungen der Angriffsfläche erhalten Sie als PDF-Bericht mit CSV- und JSON-Datensätzen, Zugangsdaten-Berichte als Word-Dokument mit CSV-Dateien.

Geleakte Datensätze, die Sie durchsuchen und überwachen: unsere Leak-Sammlung, vollständige Stealer-Logs und die Dateien aus Ransomware-Leaks, wo auch immer sie veröffentlicht wurden. Sie sehen den Originaldatensatz, warum er zugeordnet wurde und was als Nächstes zu tun ist, und Sie können jede Suche in einen Monitor umwandeln. Datenleck-Erkennung. Was in Foren, auf Telegram, Discord, Paste-Sites und in Shops von Datenhändlern über Sie gesagt, angeboten oder gegen Sie vorbereitet wird, deckt das Darknet- und Forum-Monitoring ab.

Eine Domäne, E-Mail, einen Namen, eine IP-Adresse, eine Kreditkarten-BIN, eine Marke, ein Passwort, einen Dateinamen oder Hostnamen oder beliebigen Freitext. Die Abfragesprache unterstützt AND, OR und NOT, Phrasen, Wörter in der Nähe zueinander sowie Felder wie Dateityp, Dateiname, Datum und Leak-ID.

Ja. Jeder Treffer zeigt die geleakte Zeile selbst, warum sie zugeordnet wurde, wie neu sie ist und wo das Passwort sonst verwendet wurde, dazu den Leak, aus dem sie stammt: Typ, Größe, Zeitpunkt der Veröffentlichung und Entdeckung sowie eine schriftliche Analyse. Originale Leak-Dateien können im Dashboard und über die API heruntergeladen werden.

Jede deduplizierte Zugangsdaten-Kombination erhält zwei Bewertungen von 0 bis 10: Neuheit, also wie neu sie für unsere Sammlung ist, und Risiko. Sie sehen außerdem, ob das Passwort bei anderen Konten wiederverwendet wird, in welchen Leaks die Zugangsdaten aufgetaucht sind und ob ein geleaktes Passwort Ihre Passwortrichtlinie noch erfüllt. Zugangsdaten im Dashboard

Eine Combo List ist eine aggregierte Liste von E-Mail:Passwort- oder Benutzername:Passwort-Paaren mit geringer oder ohne Herkunftsangabe, gemischt aus alten Datenlecks, geknackten Hashes, Stealer-Logs und früheren Listen. Dieselben Zugangsdaten tauchen in vielen davon auf, daher können fünf Funde auf eine einzige ursprüngliche Kompromittierung zurückgehen. Wir entfernen Duplikate (derselbe Server, Benutzername und dasselbe Passwort zählen einmal) und schätzen, wie groß der Anteil ungültiger Einträge in einer Liste ist.

Ja. Zugangsdaten werden in Ansichten sortiert: eigene Infrastruktur, Organisations-E-Mails, private Aktivität, bei Drittdiensten und von Dritten, dazu Richtlinientreffer und schwache Passwörter. Ihre eigenen Systeme, Ihre Mitarbeitenden bei anderen Diensten und Externe auf Ihren Portalen werden nie vermischt.

Er stellt Abteilungen, Tochtergesellschaften oder Vergleichsunternehmen nebeneinander: Stealer-Logs im Vergleich zu Combo-Lists, ein Dreimonatstrend, die externen Systeme Ihrer Mitarbeitenden, Ihre Systeme in der Nutzung durch Dritte und eine Passwortanalyse. Sie können ihn einmalig ausführen oder am 1. jedes Monats für den Vormonat erhalten. Er dauert in der Regel rund 15 Minuten und kommt als Word-Dokument mit je einer CSV-Datei pro Ansicht, mit vollständigen oder maskierten Passwörtern.

Ja. Die Credential check-API (Prüfung von Zugangsdaten) testet eine E-Mail-Adresse, ein Passwort oder beides bei Registrierung, Anmeldung oder Passwortänderung und antwortet, ob der Eintrag gefunden wurde und in wie vielen Leaks. Ihr Server sendet die Anfrage, sodass Sie den Nutzer um ein anderes Passwort bitten oder das Konto für einen Reset markieren können. Leitfaden zum Credential check

Nach unserer eigenen Erfahrung war knapp über 1 % der geleakten Zugangsdaten, die in Kundenumgebungen geprüft wurden, noch gültig. Das ist dennoch viel: Ein gültiges Konto kann für eine Kompromittierung genügen. Die Plattform testet geleakte Passwörter nicht gegen Ihre Systeme; Risikowert und Abgleich mit Ihren Richtlinien helfen Ihnen bei der Priorisierung.

Ja. Logins und Session-Cookies für Webmail, VPN, SSO und SaaS-Dienste tauchen in Stealer-Logs, Combo-Lists und Datenlecks auf, und jeder Treffer nennt den Dienst, zu dem er gehört. Auch Geheimnisse wie Cloud-Schlüssel, API-Tokens und Verbindungsstrings sind abgedeckt, in Leaks und in öffentlichem Code.

Ja. Leaks enthalten weit mehr als Passwörter: E-Mail-Adressen, Telefonnummern, Privatadressen, Ausweisdaten, Bank- und Kartennummern. Raw-Leaks halten den Originalinhalt durchsuchbar, und Dateien aus Ransomware-Leaks werden nach Datentyp klassifiziert. Die E-Mail-Exposition im Surface Web (öffentliches Internet) gehört zu Advanced, Pro und MSSP.

Ja. Wenn Sie offengelegte Zugangsdaten und Session-Cookies früh finden, können Sie Passwörter zurücksetzen, Sitzungen widerrufen, MFA erzwingen und den Zugriff sperren, bevor Angreifer die Konten nutzen. Das senkt das Risiko von Business-E-Mail-Compromise, Cloud-Einbrüchen und Ransomware-Einstiegen.

Behandeln Sie es als Sicherheitssignal. Prüfen Sie die Exposition, setzen Sie betroffene Zugangsdaten zurück, widerrufen Sie Sessions und Tokens, falls Cookies geleakt wurden, prüfen Sie Zugriffsprotokolle und untersuchen Sie das Gerät hinter einem Stealer-Log. Richten Sie danach einen Monitor ein, damit Sie vom nächsten Fall erfahren.

Ja, mit CyberFrog, unserem Schwesterunternehmen. CyberFrog liest die von Ihnen gewählten DarknetSearch-Alarmregeln, ordnet jeden Befund über die geschäftliche E-Mail einem Mitarbeitenden zu und sendet ihm eine kurze Mitteilung und Lektion darüber, was tatsächlich geleakt wurde: den Leak, wo er kursierte, wann er zuerst gesehen wurde und die genaue Zeile. Sie sehen, wer begonnen und abgeschlossen hat. Vom Leak-Alarm zum Training

Nein. Es ist für jeden DarknetSearch-Kunden kostenlos enthalten. Unser Team schaltet es für Sie frei: Fragen Sie uns.

Nur so weit, wie Ihre Datenschutzeinstellungen es erlauben: vollständig, teilweise maskiert oder verborgen. Der Mitarbeitende sieht seinen eigenen Datensatz, und niemand außerhalb Ihrer Organisation wird kontaktiert, denn neue Adressen werden nur für Ihre eigene Domäne hinzugefügt, und nur, wenn Sie es erlauben.

Nein. Wir finden, was geleakt wurde und in unsere Sammlung gelangt ist; ein sauberes Ergebnis beweist daher nicht, dass ein Konto sicher ist. Geschlossene Quellen ändern sich, und niemand kann jede Quelle an jedem Tag garantieren.

Nicht als Ganzes: Sehr große Free-Mail-Domains lassen sich nicht als Domäne überwachen. Einzelne E-Mail-Adressen können Sie dennoch prüfen und überwachen.

Ein infostealer infiziert einen Rechner und entnimmt die Identität, die in dessen Browsern und Apps gespeichert ist: Passwörter, Cookies, Sitzungs-tokens, Autofill-Daten, Browserverlauf, Krypto-Wallets, App-Logins, lokale Dateien und Systemdetails. Ein stealer log ist dieses Paket: ein Abbild einer digitalen Identität, nicht nur ein Passwort-Leak. Zugangsdaten und stealer logs

Das vollständige Log pro infiziertem Rechner: Hostname, Benutzer, IP-Adresse und Land, Infektionsweg, Malware-Familie mit Konfidenzniveau, gespeicherte Logins, Cookies nach Website, Tokens, Autofill-Daten, besuchte Login-Seiten, ein Screenshot und der Dateibaum. Laden Sie es als JSON im Dashboard oder über die API herunter; Exporte liefern eine Zeile pro Rechner.

Mit einer aktiven Session braucht ein Angreifer das Passwort womöglich gar nicht, und MFA hält ihn nicht auf. Wenn also ein Cookie oder Token geleakt wird, widerrufen Sie zuerst die Sessions und Tokens, setzen dann die Zugangsdaten zurück, untersuchen das Gerät und registrieren MFA bei Bedarf neu.

ULP steht für URL, Login und Passwort. Eine ULP-Zeile ist nützlich, weil sie den Zieldienst nennt. Sie wurde aber meist aus einem größeren Stealer-Log herausgelöst, sodass der Großteil des Kontexts fehlt. Das vollständige Log ist der Nachweis: Rechner, Daten, Cookies, Tokens und die anderen Konten auf demselben Gerät.

Wir erfassen auch Live-Stealer-Traffic, nicht nur Sammlungen, die über öffentliche Kanäle recycelt werden. Jedes Log zeigt, wann das Gerät infiziert wurde und wann das Log bei uns ankam, denn beides fällt selten auf denselben Tag.

Häufige Familien sind RedLine, Lumma, Vidar, Raccoon, Stealc und Rhadamanthys. Jedes Log nennt die erkannte Familie mit einem Konfidenzniveau.

Ja. Die Ausgabe von Stealer-Malware sammeln wir als Botnet-Datensätze: Jeder Bot ist ein infiziertes Gerät, und wir zählen eindeutige infizierte Rechner. Ein Stealer-Treffer belegt, dass das Gerät kompromittiert wurde, was auch immer mit einem einzelnen Passwort geschieht; er gehört daher in Incident Response, nicht nur in ein Passwort-Reset. Erkennung von Botnet-Infektionen

Nicht vollständig. Malware ist ein Weg, eine Identität zu stehlen; Adversary-in-the-Middle-Phishing ist ein anderer, und keiner deckt kompromittierte Datenbanken ab. Wir erfassen auch die anderen Wege: Datenlecks, offene Datenbanken, Combo-Lists, Ransomware-Leaks sowie die Foren und Kanäle, in denen gestohlene Logins gehandelt werden.

GitHub, GitLab, Gists, Postman und über 50 weitere Seiten per Google Dorking, etwa Bitbucket und Azure DevOps, für Ihre Domäne, Ihre Marke und interne Namen. Jeder Befund zeigt Repository, Dateipfad, Trefferzeilen und einen direkten Link, dazu einen Risikowert von 0 bis 10 und einen Hinweis, was zu tun ist. Code-Exposition

Nein. Wir durchsuchen nur öffentliche Quellen und benötigen nie Zugriff auf Ihre Repositories. Private Repositories und interne Git-Server sind nicht Teil des Umfangs.

Es ist der höhere von zwei Werten: ein Muster-Score aus über 150 bekannten Geheimnisformaten, etwa private Schlüssel, Cloud-Schlüssel und API-Tokens (auch Ihre eigenen Regex-Muster zählen), und eine KI-Bewertung des Ausschnitts mit kurzer schriftlicher Begründung. Ab 7 gilt das Risiko als hoch, 4 bis 6 als mittel.

Ein optionaler erster Schritt auf GitHub und GitLab. Wir lesen die öffentlichen Repositorys Ihrer Organisation (bis zu 100 pro GitHub-Organisation, Forks und Bots werden übersprungen, oder bis zu 20 Projekte pro GitLab-Gruppe) und listen alle auf, die dort committen. Sie wählen bis zu 10 Entwickler aus, und der Scan nach Suchbegriffen läuft auf den öffentlichen Repositorys dieser Personen.

Ein Suchbegriff zählt als eine Suche, auf wie vielen Quellen er in einer Anfrage auch läuft; ein Contributor-Scan zählt ebenfalls als eine, und Statusabfragen, Ergebnisse, Exporte und Vorlagen sind kostenlos. Code Exposure ist Teil von Pro (5, 8 oder 10 Suchen nach Suchbegriffen und Contributors pro Monat, je nach Unternehmensgröße) und der MSSP-Editionen (5 + 5 und 15 + 15). Kontingente erneuern sich am 1. des Monats, und Pakete können jederzeit hinzugebucht werden.

Ja. Ihre Suchbegriffe stehen unter ständiger Beobachtung, sodass neue Funde eintreffen, ohne dass Sie einen Scan von Hand starten. Sie können Scans auch über die REST-API starten und Funde darüber lesen oder einen KI-Assistenten über unseren MCP-Server fragen; Dashboard und API teilen sich einen Scan-Verlauf und ein Kontingent.

Suchen Sie nach dem, was ein Secret umgibt, nicht nach dem Secret selbst: Ihre Domäne, Produkt- oder Markennamen, interne Namespaces, Dienst- oder Paketnamen, Präfixe von Umgebungsvariablen und API-Hosts. Verwenden Sie niemals einen echten Schlüssel, ein echtes Passwort oder ein echtes Token als Suchbegriff.

Die Erkennung und Bewertung von allem, was eine Organisation zum Internet hin offenlegt: Domänen, Subdomains, IP-Bereiche, Server, offene Dienste, Cloud-Speicher sowie die Personen und Zugangsdaten, die Angreifer finden können. Sie beginnt von außen, mit den Augen eines Angreifers, und findet daher auch Assets, die in Ihrem Inventar fehlen. Wir ergänzen 17 Subdomain-Quellen, geleakte Zugangsdaten, CISA KEV (Katalog bekannter ausgenutzter Schwachstellen) und ransomware-Kontext. Erkennung der Angriffsfläche

Nein. Eine Bewertung beginnt bei der öffentlichen Domäne, die Sie angeben. Sie brauchen weder CMDB, Netzwerkdiagramm, Serverliste noch IP-Bereiche. Genau das ist der Punkt: Wir zeigen, was ein Außenstehender finden kann.

Die schnelle Attack Surface Discovery ist rein passiv. Bei einer vollständigen Bewertung ist passive Aufklärung der Standard. Aktive Module wie Port-Scans, Subdomain-Brute-Force und die schreibgeschützte Prüfung auf Schwachstellen sind pro Scan optional und nutzen sichere GET/HEAD-Anfragen ohne Ausnutzung. Aktivieren Sie sie nur für Domänen, die Sie testen dürfen.

Ein passiver Schnellscan zeigt innerhalb von 30 Minuten jeden exponierten Server mit Ports, CVEs und Risikogruppe, im Dashboard oder über die API. Eine vollständige Bewertung dauert rund 3 Stunden und liefert einen Bericht mit über 100 Seiten. Die genaue Dauer hängt von der Größe der Angriffsfläche und den aktivierten Modulen ab.

Ein PDF-Bericht mit über 100 Seiten in fünf Kapiteln (Netzwerk, Menschen, Anwendungen, Infrastruktur und Bedrohungslage), im White-Label mit Ihrem Branding, auf Englisch, Deutsch, Französisch, Italienisch oder Spanisch. Dazu kommen 22 Datensätze als CSV oder JSON; die Bewertung ist auch über die API verfügbar. Beispielbericht (PDF)

Gezielte Berichte, die nur die Module ausführen, die ein Risikobereich braucht: Domain-Spoofing, VIP-Führungskräfte, Social Media, Anwendungssicherheit, Datenlecks, Infrastruktur und exponierte Assets. Alle sieben sind Teil der vollständigen Bewertung. Das monatliche Kontingent ist ein gemeinsamer Pool für eine beliebige Mischung der sieben Typen.

Jede CVE hat eine Nachweisstufe: Verified, Observed, Inferred oder Potential. Treffer, die nur auf einer Produktversion beruhen, sind entsprechend gekennzeichnet. Im Schritt „Ausschlüsse“ können Sie Ihre bekannten Dienstversionen eintragen, um False Positives zu entfernen, bevor der Bericht erstellt wird.

Zwölf Kategorien ergeben zusammen einen Wert von 0 bis 100, wobei Zugangsdaten und Schwachstellen am stärksten gewichtet werden. Gibt es Assets mit hohem Risiko, wird der Wert begrenzt, und der Bericht nennt den Grund. Nicht bewertete Bereiche fließen nicht in den Wert ein und werden nie als unauffällig gezählt.

Nein. Es wird nichts ausgenutzt, und es werden keine Anmeldungen versucht. Ein CVE-Treffer oder ein Hinweis auf ein Datenleck ist ein Indikator, der zu prüfen ist, kein Beweis für eine Kompromittierung, und die ermittelte Zuständigkeit sollte intern bestätigt werden.

Über 45 Permutationsalgorithmen erzeugen 30.000 bis 70.000 Varianten pro Domäne: Tippfehler, Homoglyphen einschließlich Punycode, andere Endungen, Bitsquats und Kombinationen mit Wörtern. Wir prüfen, welche davon registriert sind, und beobachten außerdem neue Domain-Registrierungen, CT-Logs (Certificate Transparency), Such- und Social-Anzeigen sowie Phishing- und Malware-Listen. Die Erkennungs-Engine stammt von SpoofGuard, unserer Schwesterfirma. Erkennung von Domain-Spoofing

Jedes registrierte Lookalike erhält einen Screenshot, einen Logo- und Markenabgleich mit Ihrer Brand library, seine DNS- und Mail-Einträge sowie einen URL-Score, der sich selbst erklärt. Jede Domäne durchläuft acht Zustände, von nicht registriert und geparkt über verdächtig, Bedrohung und abgeschaltet bis inaktiv. Ihre vertrauenswürdigen Domänen werden nie markiert, und ein Lookalike, das Ihnen gehört, können Sie auf die Whitelist setzen.

14 Monitore beobachten jede Look-alike-Domain, und das Prüfintervall steigt je nach Zustand über 7 Stufen: von einmal im Monat bei ruhenden Domänen bis alle 30 Minuten bei aktiven Bedrohungen. Bestimmte Quellen sind live: Neue Daten liegen in unserer Datenbank, sobald sie eintreffen. Alarme enthalten einen Änderungsverlauf: Text-Diff, Screenshots vorher und nachher sowie die Weiterleitungskette.

Ein Klick macht aus einer Fälschung eine Takedown-Anfrage. Wir ermitteln die Abuse-Kontakte des Hosting-Anbieters und des Registrars, fügen den Nachweis und Ihre unterschriebene Vollmacht bei und informieren Blocklisten von Browsern und Phishing-Schutzdiensten. Unser Takedown-Team verfolgt jede Anfrage von Hand, eskaliert, wenn ein Anbieter nicht reagiert, und Sie sehen jeden Schritt im Dashboard.

Ja. Jede Edition mit Lookalike-Domains (Advanced, Pro und die MSSP-Editionen) enthält pro Vertragsjahr eine Anzahl an Website-Takedowns, aufgeführt auf der Preisseite, zum Beispiel 20 in MSSP Small und 60 in MSSP Large. Sie wählen aus, welche Fälschungsseiten eingereicht werden, und weitere Takedowns können hinzugebucht werden.

Das hängt von den Registraren und Hosting-Anbietern ab. Deshalb informieren wir auch Blocklisten: Sie schützen Nutzer, solange ein Anbieter langsam oder gar nicht reagiert. Unser Team eskaliert, bis die Anfrage erledigt ist.

Ein Monitor überwacht für ein Asset eine Quelle oder alle Quellen und meldet per E-Mail oder Webhook nur, was seit dem letzten Lauf neu ist. Mit einem Klick wird jede Suche zum Monitor. Ausschlüsse sind präzise: ein Passwort, ein Benutzername, ein Server oder ein exaktes Paar, sodass dieselbe E-Mail-Adresse mit neuem Passwort weiterhin alarmiert.

Sie wählen pro Monitor, von täglich bis monatlich; neue Monitore laufen standardmäßig täglich. Ein Monitor läuft einmal, wenn Sie ihn anlegen, und danach nach seinem Zeitplan; die Baseline, die Sie zuerst sehen, deckt ab, was bereits im Umlauf ist. Lookalike-Domains haben eigene Intervalle, bei aktiven Bedrohungen bis zu alle 30 Minuten. Monitoring-Leitfaden

Ja, über Webhooks: Slack, Discord und Microsoft Teams werden über ihre Webhook-URLs unterstützt. Alarm-E-Mails können mit dem eigenen E-Mail-Server von Pro und den MSSP-Editionen auch von Ihrem eigenen Mailserver und mit Ihrer eigenen Vorlage kommen.

Ja. Jede Funktion hat eine dokumentierte REST API, und neben jedem Suchergebnis können Sie die genaue Anfrage als JSON oder cURL kopieren. Die REST API ist Teil von Advanced (für mittlere und große Organisationen), Pro und den MSSP-Editionen; Starter hat keinen API-Zugriff. Anleitungen nach Ziel und jeden Endpoint finden Sie im API-Wiki.

Mit einem API-Token im Header X-API-Key. Org-Admins erstellen Tokens im Dashboard unter Manage, API tokens, jeweils einen Satz pro Workspace; ein Token wird nur einmal angezeigt, läuft nie ab oder nach 30 Tagen, 90 Tagen oder einem Jahr ab und lässt sich sofort widerrufen. Rufen Sie die API von Ihrem Server aus auf, nie von einer Browserseite. Anleitung zur Authentifizierung

Zwei pro Organisation: ein Limit pro Sekunde und ein monatliches Kontingent an API-Aufrufen, von 1.000 pro Monat in MSSP Small bis 50.000 in MSSP Large. Nur erfolgreiche Antworten zählen, jede Abfrage und jede Ergebnisseite ist ein Aufruf, und das Kontingent wird am 1. um 00:00 UTC zurückgesetzt. Die Nutzung des Dashboards wird nie angerechnet. Leitfaden zu Rate Limits

Webhooks sind Teil von Pro und den MSSP-Editionen, mit bis zu 10 pro Organisation. Jeder zugestellte Treffer wird als POST gesendet, signiert mit HMAC-SHA256 im Header X-AlertSystem-Signature. Die Nutzdaten nennen den Monitor, die Quelle, die Trefferzahlen und einen Link zu den Ergebnissen.

Ja, über webhooks und die REST API: Monitore übergeben Treffer als JSON an Ihr SIEM, SOAR oder Ticketing-System. Advanced und Pro enthalten Integrationssupport, bei dem unsere Ingenieure Ihnen helfen, Wrapper und Konnektoren für Ihre Tools zu schreiben.

Er lässt KI-Assistenten mit DarknetSearch arbeiten: Richten Sie einen beliebigen MCP-Client auf https://mcp.darknetsearch.com/mcp und melden Sie sich mit Ihrem DarknetSearch-Konto an, eine Organisation pro Anmeldung. Es gibt Tools für Leaks und Zugangsdaten, Stealer-Logs, Gespräche, Markenmissbrauch, Bedrohungsakteure, Monitore, Berichte, Exporte, Angriffsfläche, Lookalike-Domains und Code-Exposure. Der Zugriff ist standardmäßig schreibgeschützt; alles, was Kontingent verbraucht oder das Monitoring ändert, braucht zusätzliche Berechtigung und Ihr ausdrückliches Ja.

Nein. Sie melden sich mit Ihrem DarknetSearch-Konto an; der REST-API-Token wird für MCP nicht verwendet. Der Server weist den Assistenten außerdem an, Text aus Leaks und Foren als nicht vertrauenswürdige Daten zu behandeln, niemals als Anweisungen.

Ja. Ein Partnerkonto für alle Ihre Kunden, mit zwei Modellen nebeneinander: Sie betreiben den Service selbst in Ihrem Workspace, oder Sie verkaufen jedem Kunden einen eigenen Workspace zu 40 % unter dem Endkunden-Listenpreis weiter. Jede Funktion kommt mit REST API, webhooks, MCP und White-Label-Berichten. Darknet-Monitoring für MSSPs

Im Managed Service erfassen Sie die Assets jedes Kunden in Ihrem Workspace, Ihr Team bearbeitet die Alarme und versendet White-Label-Berichte, und Kunden brauchen nie einen Login. Ein Kunden-Workspace ist ein separates Konto mit eigenen Nutzern, Tarif, Kontingenten und API-Tokens, das Sie an den Kunden weiterverkaufen. Die meisten Partner betreiben alles in einem Workspace und legen Kunden-Workspaces für Kunden an, die einen eigenen Login möchten.

Der Einjahres-Listenpreis für den Endkunden abzüglich Ihres Partnerrabatts von 40 %. Kunden-Workspaces und zusätzliche Kapazität, die Sie im Dashboard hinzufügen, werden per Rechnung mit 30 Tagen Zahlungsziel oder per Kreditkarte abgerechnet; Upgrades laufen für Ihre Restlaufzeit auf derselben Rechnung.

Beide enthalten alle Funktionen, die REST-API und Webhooks. MSSP Small für Boutique-MSSPs mit bis zu etwa zehn Kunden bietet 10 Admin-Plätze, 25 überwachte Assets und 1.000 API-Aufrufe pro Monat; MSSP Large bietet 50 Plätze, 200 Assets und 50.000 Aufrufe, mit Erweiterungspaketen zum halben Preis pro Einheit von Small. Preise auf Anfrage; die MSSP-Seite listet alle Kapazitäten auf.

Ja. Die App kann mit Ihrem Logo, Ihrer Domäne, Ihren Farben und Ihrem Look-and-feel laufen, jeder Bericht trägt Ihr Logo, und jeder Kunden-Workspace hat in Dashboards und Berichten sein eigenes Logo. Sicherheitsanbieter können unsere Daten außerdem vollständig als White-Label in ihr eigenes Produkt einbauen.

Ja. Ein Kunden-Workspace hat eigene Benutzer, Assets, Monitore, einen eigenen Tarif, eigene Kontingente und eigene API-Tokens; nichts wird mit Ihrem Workspace oder anderen Kunden geteilt. Sie verwalten Kunden-Workspaces über Ihr Partnerkonto und wechseln zwischen ihnen, ohne sich erneut anzumelden. Ein einzelner Workspace trennt Kunden nicht; ein Kunde, der sich selbst anmelden soll, erhält deshalb einen eigenen.

Senden Sie eine Partneranfrage über die MSSP-Seite oder buchen Sie eine Partner-Demo. Wir richten Ihren Partner-Workspace ein, führen Ihr Team durch die Plattform und unterstützen Sie beim ersten Kunden; das MSSP-Onboarding ist inbegriffen. Mehr zum Partnerprogramm.

Kundendaten werden in Deutschland gehostet, in der Europäischen Union. DarknetSearch wird von der Kaduu AG entwickelt, einem Schweizer Unternehmen mit Sitz in Zug.

Nein. Was Sie suchen, wird nicht gespeichert: nicht in der App, nicht in Server-Logs und nicht in API-Logs. Eine Ausnahme ist die Code-Exposure: Scans behalten absichtlich einen Verlauf, damit Sie zu den Befunden zurückkehren können, und Sie können einen Scan samt Befunden jederzeit löschen.

Nein. Die meisten Suchen laufen gegen unsere eigene Datenbank und sind außerhalb davon nicht sichtbar. Live-Suchen in Foren nutzen unsere eigenen Accounts, sodass Ihre Suche für Forennutzer unsichtbar bleibt, und Tor-Suchmaschinen werden über unsere Proxys abgefragt. Monitore lassen sich mit Markennamen oder Domänen einrichten, ohne personenbezogene Daten zu teilen.

Ihr Team sieht geleakte Passwörter so, wie sie gefunden wurden, je nach Leak im Klartext oder als Hash, weil Sie das zur Beurteilung von Wiederverwendung und Richtlinien brauchen. Jeder Zugangsdaten-Bericht kann sie maskieren, und Analysen der Angriffsfläche zeigen nie ein Passwort im Klartext. Der Zugriff ist auf verifizierte Organisationen und die Benutzer Ihres Workspace beschränkt.

Nur die Nutzer Ihres Workspace. Treffer und Scan-Verlauf gehören zu Ihrem Workspace, und andere Workspaces sehen sie nie; Kunden-Workspaces eines MSSP teilen untereinander nichts.

Ja. Multi-Faktor-Authentifizierung (MFA) ist Teil von Advanced, Pro und den MSSP-Editionen und kann pro Workspace vorgeschrieben werden; die Registrierung wird pro Mitglied angezeigt. Jeder Workspace hat zwei Rollen: Org Admin (Nutzer, Assets, Zustellung von Alarmen, Tarif und Abrechnung) und Org User (Suchen, Berichte und bestehende Monitore).

Nur verifizierte Partner und Kunden. Wir verkaufen keine Abonnements an Privatpersonen oder an Organisationen ohne offiziellen Handelskammereintrag, und wir behalten uns vor, bestimmten Organisationen den Zugang zu verweigern.

Sie können jedes Asset abfragen, das zu Ihrem Vertragstyp passt: IP-Adressen, Domänen, Benutzer, Kreditkarten, Marken, Threat Actors und mehr. MSSPs haben keine Einschränkungen. Endkunden können alles abfragen, was zu ihrer eigenen juristischen Organisation gehört.

Ja. Kaduu verarbeitet Daten, die bereits offengelegt oder in offenen bzw. Underground-Quellen geteilt wurden; wir hacken keine Systeme und greifen nicht auf private Konten zu. Die Plattform unterstützt Sicherheit, Betrugsprävention und Risikomanagement und folgt den Grundsätzen der DSGVO wie berechtigtes Interesse, Datenminimierung und Zweckbindung. Siehe unsere Datenschutzerklärung.

Wir sammeln Leaks, die kostenlos geteilt werden, und Muster von Daten, die zum Verkauf stehen. Ein Erwerb erfolgt nur auf Anfrage, mit ausdrücklicher Erlaubnis und unter strengen Vertraulichkeits- und Ethikregeln.

Ja. Berichte zur Angriffsfläche erzählen die Geschichte für Management und Prüfer, monatliche Berichte zu Zugangsdaten zeigen Trends im Zeitverlauf, und jeder Bericht kann Ihr Branding tragen. Exporte und die API bringen dieselben Daten in Ihre Governance- und Risiko-Tools.

Ja, in jeder Edition. Starter enthält eine geführte Einführung mit gemeinsamer Einrichtung Ihrer ersten Alarme; Advanced und Pro ergänzen Premium-Onboarding und Unterstützung bei der Integration; Pro bietet außerdem einen halbjährlichen Intelligence-Review und priorisierten Support. MSSP-Editionen enthalten MSSP-Onboarding: Schulung für Ihr Team und die gemeinsame Einrichtung Ihres ersten Kunden.

Schreiben Sie an support@kaduu.io für Produkt- und technische Fragen oder an info@darknetsearch.com für Preise, Partnerschaften und Demos; das Team antwortet selbst. Sie können uns auch in der Schweiz unter +41 26 543 41 08 oder in Spanien unter +34 609 74 74 31 anrufen oder das Kontaktformular nutzen.

Ja. Unsere Analysten führen auf Anfrage manuelle Untersuchungen durch, und wir können neue Quellen hinzufügen, wenn Sie danach fragen. Da wir unser Produkt selbst entwickeln, geht eine Änderung meist in Tagen live, nicht in Monaten.

Die API-Anleitungen, nach Ziel und Endpoint für Endpoint, finden Sie im API-Wiki. Die Dokumentationsseite erklärt die Funktionen der Plattform, und die Wissensdatenbank enthält Artikel und ein Glossar.