Leitfaden

Was ist das Darknet?Wie es funktioniert, wer es nutzt und was es für Ihre Daten bedeutet.

Das Darknet ist der Teil des Internets, den Sie nur über Anonymisierungsnetzwerke wie Tor erreichen. Es ist kleiner und weniger geheimnisvoll, als sein Ruf vermuten lässt, und es ist einer der Orte, an denen gestohlene Daten gehandelt werden. Dieser Leitfaden erklärt, wie es funktioniert, was dort wirklich zu finden ist und was Monitoring leisten kann und was nicht.

  • Rund 15 Minuten
  • 13 Kapitel
  • Verlinkte Quellen
Ihre Gefährdung prüfen So funktioniert Monitoring

Surface Web, Deep Web und Darknet

Kurz gesagtDrei Ebenen, definiert danach, wie man sie erreicht, nicht danach, wie gefährlich sie sind. Das Darknet ist ein kleiner Teil des Internets.

Das Surface Web (öffentliches Internet) ist alles, was eine Suchmaschine finden kann: Nachrichtenseiten, Shop-Seiten, öffentliche Unternehmenswebsites und Blogs. Laut Google umfasst allein der Index Hunderte Milliarden Webseiten.

Das Deep Web ist alles, was Suchmaschinen nicht indexieren können oder dürfen: Ihr Webmail und Online-Banking, Firmen-Intranets und Cloud-Dashboards, Artikel hinter Bezahlschranken, Patientenportale und die Ergebnisse in Datenbanken. Sie nutzen es täglich mit einem normalen Browser und einem Login, und fast alles davon ist legitim.

Das Darknet besteht aus Websites in Anonymisierungsnetzwerken, die spezielle Software erfordern. Im Tor-Netzwerk heißen sie Onion Services, ihre Adressen enden auf .onion. Normales DNS kann diese Adressen nicht auflösen, daher kann ein Browser ohne Tor sie nicht öffnen. Ein Darknet ist das Netzwerk selbst (Tor, I2P, Hyphanet); das Darknet im Sinne der Websites ist das, was darauf läuft. Die meisten verwenden beide Wörter für dasselbe.

Abbildung 1 · Die drei Ebenen
DarknetTor und ähnlicheDeep WebEin Login oder ein FormularSurface WebSuchmaschinen

  1. So gelangen Sie hin: Mit jedem Browser, auffindbar über Suchmaschinen

    • News-Seiten und Blogs
    • Shop- und Produktseiten
    • Öffentliche Unternehmenswebsites

    Laut Google umfasst der Index Hunderte Milliarden Webseiten.

Scrollen Sie durch die Ebenen oder wählen Sie eine aus. Das Surface Web ist, was Suchmaschinen finden, das Deep Web liegt hinter Logins und Formularen, das Darknet braucht spezielle Software. Nicht maßstabsgetreu: Das Deep Web lässt sich nicht genau messen.

Und der Eisberg?

Das bekannte Bild einer kleinen Spitze über einer riesigen dunklen Masse geht auf eine frühe Schätzung zurück, nach der das Deep Web 400- bis 550-mal größer sei als das Surface Web. Diese Zahl beschrieb durchsuchbare Datenbanken, nicht das Darknet, und sie ist älter als die Onion Services von Tor. Das Deep Web lässt sich heute nicht genau messen.

Was sich messen lässt, ist klein. Die eigenen Metriken des Tor Project schätzen zwischen einigen Hunderttausend und rund einer Million eindeutiger Onion-Adressen pro Tag, viele davon kurzlebig. Als Tor zuletzt eine Messung veröffentlichte, ging nur ein Anteil von wenigen Prozent des Datenverkehrs an Onion-Services: Die meisten nutzen Tor, um gewöhnliche Websites privat zu besuchen.

So funktionieren Tor und Onion-Routing

Kurz gesagtTor verpackt Ihren Datenverkehr in drei Verschlüsselungsschichten und leitet ihn über drei Relays. Jedes Relay entfernt eine Schicht und kennt nur seine Nachbarn, sodass kein einzelnes Relay zugleich sieht, wer Sie sind und wohin Sie gehen.

Das Onion-Routing wurde erstmals am U.S. Naval Research Laboratory als Prototyp umgesetzt. Heute ist Tor freie Software, die vom gemeinnützigen Tor Project gepflegt wird, und das Netzwerk läuft auf rund neuntausend Relays, die Freiwillige betreiben. Der Tor Browser ist eine stark angepasste Version von Firefox, die alles über Tor sendet.

Guard-Relay

Der erste Hop und der einzige, der Ihre IP-Adresse sieht. Er weiß nicht, wohin Sie wollen. Tor behält denselben Guard etwa zwei bis drei Monate lang, was vor einem bekannten Angriff schützt.

Middle Relay

Wird zufällig gewählt, gewichtet nach Bandbreite. Es kennt nur den Guard davor und den Exit danach.

Exit-Relay

Sendet Ihre Anfrage an die Website. Er sieht das Ziel, aber nicht Sie. Nutzt die Website kein HTTPS, kann der Exit den Inhalt lesen.

Ihr Tor-Client vereinbart mit jedem Relay einen eigenen Schlüssel und verschlüsselt die Anfrage dreimal, die innerste Schicht für den Exit. Jedes Relay entfernt seine eigene Schicht, wie die Haut einer Zwiebel, und gibt den Rest weiter. Die Antwort läuft auf demselben Weg zurück und erhält an jedem Relay eine Schicht dazu. Der Guard bleibt wochenlang derselbe; der Rest der Verbindung wechselt, wenn Sie neue Websites besuchen.

Abbildung 2 · Onion-Routing
Im Tor-NetzwerkSiekennt alle drei SchlüsselGuardkennt Sie, nicht die WebsiteMiddlekennt keines von beidemExitkennt die Website, nicht SieWebsitesieht den Exit, nicht SieHTTPS
  • Guard-Schlüssel
  • Middle-Schlüssel
  • Exit-Schlüssel
  1. 1Ihr Tor-Client wählt drei Relays und verschlüsselt die Anfrage dreimal, jeweils mit dem Schlüssel eines Relays.
  2. 2Das Guard-Relay entfernt die äußere Schicht. Es sieht Ihre IP-Adresse, aber nicht, wohin die Anfrage geht.
  3. 3Das Middle-Relay entfernt die zweite Schicht. Es kennt nur das Guard- und das Exit-Relay.
  4. 4Der Exit entfernt die letzte Schicht und leitet die Anfrage weiter. Er sieht das Ziel, nicht Sie. HTTPS schützt weiterhin den Inhalt.
  5. 5Auf dem Rückweg fügt jedes Relay seine Schicht wieder hinzu. Nur Ihr Client hält alle drei Schlüssel und kann die Antwort lesen.
Die Anfrage reist in drei Verschlüsselungsschichten verpackt, eine pro Relay. Jedes Relay kann nur seine eigene Schicht entfernen, sodass keines von ihnen sieht, wer Sie sind und wohin Sie gehen. Auf dem Rückweg werden die Schichten wieder hinzugefügt, und nur Ihr Tor-Client kann alle drei entfernen.

Onion-Services und .onion-Adressen

Wenn Sie eine .onion-Seite öffnen, verlässt Ihr Datenverkehr nie das Tor-Netzwerk. Der Dienst hält Verbindungen zu einigen Introduction Points offen; Ihr Client wählt einen Rendezvous Point, und beide Seiten treffen sich dort. Die vollständige Verbindung nutzt sechs Relays, drei von Ihnen gewählt und drei vom Dienst, und ist Ende-zu-Ende-verschlüsselt. Keine Seite erfährt die IP-Adresse der anderen, und der Dienst braucht keinen offenen Port, sodass er hinter einer Firewall laufen kann.

Aktuelle Onion-Adressen (Version 3) sind 56 Zeichen lang, gefolgt von .onion. Die Adresse wird aus dem öffentlichen Schlüssel des Dienstes, einer Prüfsumme und einer Versionsnummer gebildet. So belegt die Adresse selbst, dass Sie den richtigen Server erreicht haben, ganz ohne Zertifizierungsstelle. Die älteren, kürzeren Adressen der Version 2 wurden abgeschaltet.

Was Tor nicht leistet

  • Es verbirgt Sie nicht, wenn Sie sich anmelden oder Ihren Namen eingeben: Die Website weiß, wer Sie sind.
  • Es leitet keine anderen Apps auf Ihrem Gerät um, und außerhalb des Tor Browsers geöffnete Dateien können Ihre IP-Adresse verraten.
  • Ihr Internetanbieter kann sehen, dass Sie Tor nutzen, es sei denn, Sie verbinden sich über eine Bridge.
  • Das Exit Relay kann Datenverkehr sehen, der nicht durch HTTPS geschützt ist. Und kein Werkzeug bietet perfekte Anonymität.

I2P, Hyphanet und andere Netzwerke

Kurz gesagtTor ist das bekannteste Anonymisierungsnetzwerk, aber nicht das einzige. Die anderen sind für andere Aufgaben gebaut.

I2P

Ein anonymes Netzwerk, das vor allem für Dienste innerhalb des Netzwerks gebaut ist, mit Seiten auf .i2p. Der Verkehr nutzt Einweg-Tunnel, einen hin und einen getrennten zurück, und die „Garlic“-Verschlüsselung bündelt mehrere Nachrichten. Es ist nicht als Zugang zum normalen Web gedacht.

Hyphanet (früher Freenet)

Ein Peer-to-Peer-Datenspeicher: Nutzer stellen Speicherplatz bereit, der verschlüsselte Inhaltsteile enthält. Im Friend-to-Friend-Modus, den es schon „Darknet“ nannte, lange bevor das Wort populär wurde, verbinden Sie sich nur mit Personen, denen Sie vertrauen. Der Name Freenet gehört inzwischen zu einem anderen Projekt.

Private Chatgruppen und Server nur auf Einladung sind im technischen Sinn kein „Darknet“. Ein Großteil des Handels im Untergrund findet trotzdem dort statt; deshalb behandelt Kapitel 7 Telegram und gewöhnliche Foren.

Wer das Darknet nutzt

Kurz gesagtViele Tor-Nutzer sind ganz normale Menschen, die ihre Privatsphäre schützen. Auch Kriminelle nutzen es, denn derselbe Schutz hilft ihnen, sich zu verbergen.

Legitime Nutzung

  • Journalisten und Quellen. SecureDrop, das quelloffene Hinweisgebersystem der Freedom of the Press Foundation, läuft als Onion-Service; Redaktionen wie die Financial Times, Der Spiegel, Bloomberg News und CBC führen SecureDrop-Adressen auf.
  • Leserinnen und Leser unter Zensur. Die BBC hat eine Onion-Version ihrer Nachrichtenseite für Leser in Ländern gestartet, die sie sperren, und Facebook betreibt seit Jahren eine. Bridges und Snowflake helfen Menschen, sich dort zu verbinden, wo Tor selbst gesperrt ist.
  • Aktivisten und Forschende, die kommunizieren oder sensible Themen untersuchen müssen, ohne verfolgt zu werden.
  • Security-Teams, die kriminelle Seiten besuchen, um Bedrohungen zu erforschen, ohne das Netzwerk ihres Unternehmens zu gefährden.

Kriminelle Nutzung

  • Marktplätze für Drogen, gestohlene Daten und Betrugswerkzeuge. Europol beschreibt sie als zunehmend fragmentiert, spezialisiert und kurzlebig: Nach einem Takedown wandern die Nutzer schnell ab, und Nachfolger erscheinen oft binnen weniger Wochen.
  • Foren, in denen Angreifer Daten handeln, Malware verkaufen und Mitglieder anwerben.
  • Ransomware-Gruppen, die Leak-Sites und Verhandlungsportale als Onion-Dienste betreiben.
  • Crime as a Service: gemietete Malware, Hosting und Geldwäsche.

Wie viel vom Darknet ist kriminell? Eine akademische Untersuchung einiger tausend Onion-Seiten ergab, dass gut die Hälfte der klassifizierbaren Seiten illegale Inhalte hostete. Die Autoren betonten, dass dies nichts über Tor insgesamt aussagt, und die meisten Tor-Zugriffe gehen ohnehin auf gewöhnliche Websites.

Was gehandelt wird

Kurz gesagtVor allem Daten und Zugänge: Logins, ganze infizierte Rechner, Passwortlisten, ein Weg in Unternehmensnetzwerke und die Werkzeuge, um noch mehr zu stehlen.

  • Gestohlene Zugangsdaten

    Benutzernamen und Passwörter aus Datenlecks, neu verpackt, verkauft und oft kostenlos weitergegeben.

  • Stealer-Logs

    Alles, was ein Infostealer von einem Computer entwendet hat: Passwörter, Session-Cookies, Autofill-Daten, Systemdetails, manchmal Dateien.

  • Combo- und ULP-Listen

    Riesige Listen mit E-Mail:Passwort-Paaren oder mit Zeilen im Format URL:Login:Passwort aus Stealer-Logs. Alte und neue Daten gemischt.

  • Initial Access

    Ein Brückenkopf in einem Unternehmen, etwa ein VPN-, Remote-Desktop- oder Cloud-Login, verkauft von Access Brokern.

  • Malware as a Service

    Infostealer im Abonnement, Loader, Botnets und Hosting, das Missbrauchsmeldungen ignoriert.

  • Phishing-Kits

    Fertige gefälschte Login-Seiten für bekannte Marken, einige davon darauf ausgelegt, die Sitzung nach MFA abzugreifen.

  • Ransomware-Leak-Sites

    Gruppen nennen ihre Opfer beim Namen und veröffentlichen gestohlene Dateien, wenn kein Lösegeld gezahlt wird.

  • Datenbanken und Dokumente

    Kundendatenbanken und interne Dateien, ganz oder als Proben angeboten, um den Diebstahl zu belegen.

  • Karten und Identitäten

    Zahlungskartendaten und gescannte Ausweisdokumente, genutzt für Betrug und gefälschte Konten.

Stealer-Logs verdienen einen genaueren Blick. Ein gestohlenes Session-Cookie kann einem Angreifer Zugang zu einem Konto ohne Passwort verschaffen, und die Multi-Faktor-Authentifizierung verhindert das nicht. Auch Ransomware hat sich verändert: Europol stellt fest, dass viele Opfer inzwischen zahlen, damit ihre Daten nicht veröffentlicht werden, und nicht, um sie zurückzubekommen.

Wir beschreiben dies bewusst nur auf hoher Ebene. Dieser Leitfaden nennt keine aktiven Marktplätze oder Foren und erklärt nichts zum Kaufen.

Wie Daten dorthin gelangen

Kurz gesagtDie meisten Daten im Darknet wurden nicht im Darknet gestohlen. Sie stammen aus ganz gewöhnlichen Angriffen auf gewöhnliche Systeme und Menschen.

Datenlecks
Ein Angreifer nutzt ein ungepatchtes System oder ein gestohlenes Login und kopiert eine Datenbank. Studien zu Datenlecks wie der DBIR von Verizon führen ausgenutzte Schwachstellen, gestohlene Zugangsdaten und Phishing unter den häufigsten Einfallstoren.
Infostealer
Malware, die gespeicherte Passwörter, Session-Cookies, Autofill-Daten und Dateien von einem Computer kopiert. Sie gelangt über Phishing-E-Mails, gefälschte Software-Downloads, bösartige Suchanzeigen, gecrackte Software und gefälschte CAPTCHA-Seiten auf den Rechner, die zum Einfügen eines Befehls auffordern. Europol nennt Infostealer einen zentralen Wegbereiter für das gesamte Spektrum von Cyberangriffen.
Phishing
Gefälschte Login-Seiten sammeln Passwörter. Adversary-in-the-Middle-Kits gehen weiter: Sie leiten die echte Anmeldung weiter, sodass das Opfer die MFA abschließt und das Kit die Sitzung behält.
Insider
Mitarbeitende oder Auftragnehmer, die Daten oder Zugänge verkaufen. Europol zählt Insider zu den Wegen, auf denen Ransomware-Akteure eindringen.
Offener Speicher
Falsch konfigurierte Cloud-Speicher und Datenbanken, die jeder herunterladen kann. Die Daten werden danach erneut veröffentlicht.

Einmal draußen, werden Daten kopiert, zusammengeführt und weiterverkauft. Europol beschreibt, wie gestohlene Daten „in einem Teufelskreis“ weiterverkauft werden, in dem dieselben Opfer erneut getroffen werden. Ein privater Laptop, der für die Arbeit genutzt wird, kann Firmenlogins preisgeben, auch wenn die Systeme des Unternehmens nie angegriffen wurden.

Abbildung 3 · Der Weg eines gestohlenen Logins
  1. 1

    Infizierter Rechner

    Ein gefälschter Download oder ein gefälschtes CAPTCHA installiert einen Infostealer.

  2. 2

    Stealer-Log

    Gespeicherte Passwörter, Session-Cookies und Autofill-Daten werden in einem Log gebündelt.

  3. 3

    Marktplatz oder Telegram

    Das Log wird in einem Shop verkauft oder in einem Kanal gepostet.

  4. 4

    Käufer

    Jemand filtert die Logs nach Firmenlogins: VPN, E-Mail, Cloud.

  5. 5

    Kontoübernahme

    Login fails: password reset, sessions revoked.

Monitoring findet das Log

Das Log wird erfasst, Ihrer Domäne zugeordnet, und Sie erhalten einen Alarm.

Sie setzen das Passwort zurück, widerrufen Sitzungen und bereinigen das Gerät.

Mit Monitoring kann der Alarm kommen, solange das Log noch gehandelt wird, bevor es jemand nutzt.

Ein einziger infizierter Rechner genügt. Das Log des Infostealers wird verkauft oder veröffentlicht, ein Käufer filtert es nach Firmen-Logins und meldet sich an. Monitoring kann die Infektion nicht verhindern, aber es kann das Log finden, solange es gehandelt wird. So wird das Passwort zurückgesetzt und werden die Sitzungen widerrufen, bevor jemand sie nutzt.

Jenseits von Tor: Telegram und Clear-Web-Foren

Kurz gesagtDie Untergrundszene ist heute ein Hybrid. Ein Großteil des Handels findet in Messaging-Apps und auf gewöhnlichen Websites statt, nicht nur auf .onion-Seiten.

Europol stellt fest, dass die Grenze zwischen Kanälen des Surface Web und des Darknets zunehmend verschwimmt: Kriminelle Foren betreiben eine normale Website und eine Tor-Seite nebeneinander, und Marktplätze sind mit Messaging-Plattformen verflochten.

  • Telegram. Kanäle und Gruppen bieten gestohlene Logins, Stealer-Logs, combo lists und Hacking-Tools an oder teilen sie. Eine wissenschaftliche Studie zu 339 Telegram-Kanälen von Cyberkriminellen mit zusammen mehr als 23 Millionen Followern fand Zugangsdaten, Malware und Betrugsmaschen sowie Kanäle, die nach einer Sperrung schnell zu neuen wechselten. Manche Daten werden kostenlos veröffentlicht; vieles zirkuliert nur in privaten Gruppen, die man nur auf Einladung betreten kann.
  • Clear-Web-Foren. Mehrere Hackerforen sind mit einem normalen Browser erreichbar, oft mit einem Tor-Mirror als Ausweichlösung.
  • Discord und Paste-Sites. Server, auf denen Tools, Logs und Leaks geteilt werden, und Paste-Sites, auf denen Konfigurationsdateien und Proben oft zuerst auftauchen.

Die Folge für Verteidiger: Ein Monitoring, das nur .onion-Seiten durchsucht, übersieht einen großen Teil dessen, was wichtig ist.

Risiken für Unternehmen und Privatpersonen

Kurz gesagtGeleakte Daten sind selten das Ende eines Angriffs. Meist sind sie der Anfang des nächsten.

Für Unternehmen

Kontoübernahme
E-Mail-, VPN-, Cloud- und SaaS-Konten, die mit einem geleakten Passwort oder einer gestohlenen Sitzung geöffnet werden.
Ransomware
Gestohlene Zugänge werden an Ransomware-Gruppen weiterverkauft; gestohlene Dateien landen auf einer Leak-Seite.
Zahlungsbetrug
Ein übernommenes Postfach wird genutzt, um Bankverbindungen auf echten Rechnungen zu ändern.
Lieferanten-Exposure
Das Datenleck eines Partners legt Ihre Daten oder gemeinsam genutzte Logins offen.
Markenmissbrauch
Ähnlich aussehende Domänen und Phishing-Seiten nutzen Ihren Namen gegen Ihre Kunden.

Für Privatpersonen

Credential stuffing
Ein anderswo wiederverwendetes Passwort wird automatisch auf Hunderten weiteren Websites ausprobiert.
Gezieltes Phishing
Geleakte persönliche Angaben machen Betrugs-E-Mails und -Anrufe deutlich überzeugender.
Identitäts- und Kartenbetrug
Kartendaten und Ausweisdokumente werden für Einkäufe, Kredite oder neue Konten genutzt.

Wie Darknet-Monitoring funktioniert

Kurz gesagtMonitoring sammelt dort, wo Daten gehandelt werden, gleicht jeden neuen Datensatz mit Ihren Domänen und Personen ab und löst einen Alarm aus. Es findet Gefährdungen; löschen kann es sie nicht.

Kein Dienst kann das Darknet einfach „durchsuchen“. Darknet-Monitoring ist Sammelarbeit: Menschen und Maschinen besuchen die Quellen, nehmen auf, was veröffentlicht wird, machen aus unstrukturierten Dumps Datensätze und speichern sie, sodass ein neuer Datensatz sofort beim Eintreffen abgeglichen und ein alter später noch gefunden werden kann.

Abbildung 4 · So funktioniert Monitoring
Onion-ForenMarktplätze und BrokerRansomware-Leak-SeitenTelegram und DiscordPaste-Sites, ForenLeaks, Stealer-LogsAlles andere bleibt durchsuchbarErfassungVerarbeitungAbgleichnorthwind-example.com
  1. 1

    Quellen

    Onion- und Clear-Web-Foren, Marktplätze, Leak-Seiten, Telegram, Paste-Sites, Datenlecks und Stealer-Logs.

  2. 2

    Erfassung

    Analysten mit eigenen Forenkonten, Scraper und Telegram-Collector, rund um die Uhr.

  3. 3

    Verarbeitung

    Dumps werden in Felder zerlegt, Duplikate entfernt, jeder Leak beschrieben und datiert.

  4. 4

    Abgleich

    Jeder neue Datensatz wird mit Ihren Domänen, Postfächern, IP-Bereichen, Marken und Schlüsselwörtern abgeglichen.

  5. 5

    Alarm

    E-Mail oder Webhook mit dem Originaldatensatz, damit Sie zurücksetzen, widerrufen und untersuchen können.

Täglich treffen neue Datensätze aus vielen Quellen ein. Nach Erfassung und Verarbeitung wird jeder mit dem abgeglichen, was Sie überwachen. Die meisten Datensätze betreffen Sie nicht und bleiben durchsuchbar; die, die passen, lösen einen Alarm mit dem Originaldatensatz aus. Die Domäne und der Datensatz sind fiktiv.

Was Monitoring leisten kann

  • Zeigen, welche Konten, Rechner und Datensätze betroffen sind und wo sie gefunden wurden
  • Sie warnen, solange Daten gehandelt werden, oft bevor sie genutzt werden
  • Ihnen den Originaldatensatz als Nachweis liefern, mit Quelle und Alter
  • Lieferanten, Marken und IP-Bereiche überwachen, nicht nur die eigene Domäne

Was es nicht kann

  • Daten aus dem Darknet löschen: Sobald sie draußen sind, werden sie kopiert
  • Jeden privaten Chat, jede Gruppe nur mit Einladung oder jeden Einzelverkauf einsehen
  • Jede Quelle an jedem Tag garantieren: Geschlossene Quellen ändern sich
  • Die Behauptung eines Verkäufers belegen oder Patching, MFA und Endpoint-Sicherheit ersetzen

Alter und Quelle zählen ebenso wie der Treffer. Geleakte Zugangsdaten sind oft alt: Nach unserer eigenen Erfahrung waren nur knapp über 1 % der in Kundenumgebungen geprüften geleakten Zugangsdaten noch gültig. Ein gültiges Konto kann dennoch für eine Kompromittierung reichen. Ein guter Dienst zeigt daher, wann und wo jeder Datensatz gefunden wurde, und lässt Sie bei den relevanten handeln.

So macht es DarknetSearch

Eine Suche deckt unsere Leak-Sammlung, vollständige Stealer-Logs, über 2.200 Telegram-Kanäle (überwiegend privat), Foren, Datenhändler und Ransomware-Leak-Sites ab und zeigt den Originaldatensatz und warum er übereinstimmt. Analysten besuchen täglich Foren, Telegram, Discord und Paste-Sites; Scraper und Collector laufen rund um die Uhr. Alarme kommen per E-Mail oder Webhook, und API und Webhooks sind in jeder Funktion enthalten. Wir speichern keinen Suchverlauf, und Kundendaten werden in Deutschland gehostet.

So schützen Sie sich

Kurz gesagtDie meisten Schutzmaßnahmen sind unspektakulär: eindeutige Passwörter, Phishing-resistente MFA, saubere Geräte und eine schnelle Reaktion, wenn etwas geleakt wird.

Für alle

  • Nutzen Sie einen Passwortmanager und für jede Website ein anderes Passwort.
  • Aktivieren Sie MFA überall; bevorzugen Sie Passkeys oder Sicherheitsschlüssel, die gegen Phishing resistent sind.
  • Installieren Sie niemals gecrackte Software und fügen Sie niemals einen Befehl ein, den eine Website Sie auszuführen auffordert.
  • Wenn ein Dienst meldet, dass Ihre Daten geleakt wurden: Ändern Sie dieses Passwort und jede Wiederverwendung davon, melden Sie alle Sitzungen ab und prüfen Sie Ihre Kontoauszüge.

Für Unternehmen

  • Prüfen Sie Passwörter gegen Listen kompromittierter Passwörter und erzwingen Sie einen Wechsel bei Nachweis einer Kompromittierung, nicht nach festem Zeitplan.
  • Führen Sie Phishing-resistente MFA ein, beginnend mit E-Mail, VPN und Admin-Konten.
  • Bei einem Stealer-Log: Sitzungen und Tokens widerrufen, die Zugangsdaten zurücksetzen, das Gerät untersuchen und bei Bedarf MFA neu einrichten.
  • Patchen Sie aus dem Internet erreichbare Systeme zügig und halten Sie verschlüsselte Offline-Backups bereit.
  • Überwachen Sie Ihre Domänen, Lieferanten und Ihre Marke und legen Sie vorab fest, wer auf einen Alarm reagiert.

Diese orientieren sich an den Passwort-Empfehlungen des U.S. National Institute of Standards and Technology und an den Hinweisen der CISA zu Phishing-resistenter MFA und zu Ransomware.

Häufig gestellte Fragen

In den meisten Ländern nicht. Tor ist freie, legale Software, die von Journalisten, Unternehmen und ganz normalen Menschen genutzt wird. Einige Staaten blockieren oder beschränken sie. Was Sie dort tun, kann illegal sein, genau wie im normalen Web: Der Kauf gestohlener Daten, von Drogen, Waffen, Malware oder Zugängen ist eine Straftat, ebenso der Besitz bestimmten Materials.

Wichtige Begriffe

Tor
Freie Software und ein Netzwerk von Freiwilligen, das Ihre Identität verbirgt, indem es den Datenverkehr über drei Relays leitet.
Onion-Service
Eine Website oder ein Dienst, nur innerhalb von Tor erreichbar, unter einer Adresse mit der Endung .onion.
Guard, middle, exit
Die drei Relays einer Tor-Verbindung: erster Hop, zweiter Hop und das Relay, das mit der Website spricht.
Bridge
Ein nicht gelisteter Tor-Eintrittsrelay, der Menschen hilft, sich dort zu verbinden, wo Tor blockiert ist.
I2P
Ein anonymes Netzwerk, das vor allem für Dienste innerhalb des Netzwerks gebaut ist und Einweg-Tunnel nutzt.
Infostealer
Malware, die gespeicherte Passwörter, Cookies und andere Daten von einem Computer kopiert.
Stealer-Log
Das Datenpaket, das ein Infostealer von einem infizierten Rechner entnimmt.
Combo-Liste
Eine Liste von Paaren aus E-Mail:Passwort oder Benutzername:Passwort, oft aus vielen alten Datenlecks.
ULP-Liste
Zeilen im Format URL:Login:Passwort, meist aus Stealer-Logs gezogen.
Initial Access Broker
Ein Krimineller, der anderen einen Zugang zum Netzwerk eines Unternehmens verkauft.
Credential stuffing
Geleakte Paare aus Benutzername und Passwort werden automatisch auf vielen anderen Websites ausprobiert.
Double Extortion
Die Systeme eines Opfers verschlüsseln und drohen, die gestohlenen Daten zu veröffentlichen.

Weitere Begriffe im Cybersecurity-Glossar

Ihre Gefährdung

Finden Sie heraus, was bereits über Ihr Unternehmen im Umlauf ist.

Eine Suche über unsere Leak-Sammlung, vollständige Stealer-Logs, Telegram, Foren, Datenhändler und Ransomware-Leak-Seiten, mit dem Originaldatensatz und einem Alarm, sobald etwas Neues auftaucht.

Kostenlose Testphase starten Sprechen Sie uns anPreise ansehen