Darknet Monitoring & DSGVO: Was Unternehmen dürfen

Dürfen Unternehmen geleakte Zugangsdaten ihrer Mitarbeitenden überhaupt verarbeiten? Kurz: Ja – Darknet Monitoring für die eigenen Domains lässt sich DSGVO-konform betreiben, regelmäßig gestützt auf das berechtigte Interesse an der Informationssicherheit. Entscheidend ist das Wie: Zweckbindung, Datenminimierung (etwa maskierte Passwörter), klare Prozesse und ein sauber aufgesetzter Anbieter. Dieser Beitrag erklärt die Grundlagen und liefert die Prüfkriterien.

Vorab der übliche, ernst gemeinte Hinweis: Dieser Beitrag ist allgemeine Information, keine Rechtsberatung. Die konkrete Ausgestaltung gehört mit Datenschutzbeauftragtem oder Datenschutz-Beratung abgestimmt – wir zeigen, welche Fragen dabei auf den Tisch gehören.

Das Dilemma: Leak-Daten sind personenbezogene Daten

Was beim Darknet Monitoring verarbeitet wird, sind personenbezogene Daten: E-Mail-Adressen, Passwörter oder Passwort-Fragmente, teils Gerätedaten von Mitarbeitenden. Dass diese Daten von Kriminellen gestohlen und veröffentlicht wurden, ändert daran nichts – die DSGVO gilt auch für die Verarbeitung „bereits öffentlicher" Daten. Wer also Firmendomains gegen Leak-Sammlungen und Infostealer-Logs abgleicht, verarbeitet Beschäftigtendaten und braucht dafür eine Rechtsgrundlage, einen definierten Zweck und angemessene Schutzmaßnahmen.

Die Alternative – nichts zu tun – ist allerdings keine datenschutzfreundliche Option: Die DSGVO verlangt in Art. 32 ausdrücklich technische und organisatorische Maßnahmen zur Sicherheit der Verarbeitung, und kompromittierte Zugangsdaten gehören zu den häufigsten Einfallstoren. Wie verbreitet das Problem ist, zeigt der Enzoic Credential Risk Report 2026: 73 Prozent der Unternehmen fanden binnen eines Jahres gestohlene Zugangsdaten von Mitarbeitenden oder Partnern (Börse Express, 30.07.2026).

Die Rechtsgrundlage: Berechtigtes Interesse – mit Hausaufgaben

In der Praxis wird Darknet Monitoring für eigene Unternehmensdomains regelmäßig auf Art. 6 Abs. 1 lit. f DSGVO gestützt: das berechtigte Interesse des Unternehmens (und seiner Kunden und Beschäftigten) an der Sicherheit der IT-Systeme. Der Erwägungsgrund 49 der DSGVO nennt die Gewährleistung der Netz- und Informationssicherheit ausdrücklich als mögliches berechtigtes Interesse. Für NIS2-regulierte Unternehmen kommt hinzu, dass § 30 BSIG Maßnahmen zum Risikomanagement verlangt – die Erkennung kompromittierter Zugangsdaten fügt sich hier ein; Gleiches gilt für ISO-27001-Umgebungen (Threat Intelligence ist dort als Control verankert).

„Berechtigtes Interesse" ist aber kein Freifahrtschein, sondern eine Abwägung mit Hausaufgaben:

• Interessenabwägung dokumentieren: Sicherheitsinteresse vs. Eingriffsintensität für die Betroffenen – schriftlich, bevor das Monitoring startet.
• Zweckbindung: Die Daten dienen der Gefahrenabwehr (Passwort-Reset, Kontoschutz) – nicht der Verhaltens- oder Leistungskontrolle von Beschäftigten. Dieser Punkt gehört ausdrücklich geregelt; er ist auch der Schlüssel für das Gespräch mit dem Betriebsrat, wo es einen gibt.
• Transparenz: Beschäftigte werden nach Art. 13/14 DSGVO informiert, dass und wozu Firmen-Adressen gegen Leak-Daten abgeglichen werden – etwa in der Datenschutzinformation für Beschäftigte.
• Verarbeitungsverzeichnis und ggf. DSFA: Das Monitoring gehört ins Verzeichnis der Verarbeitungstätigkeiten; ob eine Datenschutz-Folgenabschätzung nötig ist, hängt von Umfang und Ausgestaltung ab – die Prüfung dokumentieren.

Datenminimierung in der Praxis: Woran Sie einen sauberen Dienst erkennen

Die DSGVO-Konformität entscheidet sich weniger im Vertrag als in der technischen Ausgestaltung. Sechs Kriterien trennen saubere Anbieter von problematischen:

1. Maskierte Passwörter: Für den Zweck (Betroffene warnen, Reset auslösen) genügt es zu wissen, dass ein gültiges Passwort betroffen ist – nicht, wie es lautet. Seriöse Berichte maskieren Passwörter (z. B. „Vx****3!") und geben allenfalls Länge und Komplexität an.
2. Beschränkung auf eigene Domains: Überwacht werden die Domains des Auftraggebers – nicht private Mail-Adressen der Beschäftigten (das wäre eine andere, deutlich heiklere Verarbeitung) und nicht beliebige Dritte.
3. Keine Vorratssammlung: Der Dienst gleicht gegen vorhandene Quellen ab und meldet Treffer – er legt kein dauerhaftes Schattenarchiv aller je geleakten Daten Ihrer Belegschaft an. Speicher- und Löschfristen sind definiert.
4. Auftragsverarbeitungsvertrag (Art. 28 DSGVO): Der Monitoring-Anbieter verarbeitet weisungsgebunden; AVV mit TOMs, Unterauftragnehmern und Löschkonzept ist Pflicht. EU-/DACH-Verarbeitung vereinfacht die Drittlandsfrage erheblich.
5. Sichere Übermittlung und Zugriffskonzept: Fundmeldungen mit Personenbezug gehören verschlüsselt übermittelt und nur an definierte Empfänger (IT-Sicherheit, nicht der große Verteiler).
6. Klarer Prozess nach dem Fund: Wer informiert die betroffene Person, wer setzt zurück, was wird dokumentiert? Ein definierter Reaktionsprozess ist zugleich Datenschutz- und Sicherheitsanforderung. Die Schrittfolge haben wir hier beschrieben. Zugangsdaten im Darknet gefunden: 7-Schritte-Soforthilfe

Beim Valyros Darknet Monitoring und Exposure-Check sind maskierte Passwörter, Domain-Beschränkung und AVV Standard – genau weil die meisten unserer Kunden selbst reguliert sind. Darknet Monitoring von Valyros: DSGVO-konform aufgesetzt

Sonderfälle, die Sie kennen sollten

• Privatgeräte in Stealer-Logs: Infostealer-Funde stammen oft von Privatrechnern mit gespeicherten Firmen-Logins. Verarbeitet werden dürfen die firmenbezogenen Funde; der Umgang mit dem Privatgerät selbst (Bereinigung) läuft über Information und Mitwirkung der betroffenen Person – nicht über Zugriff des Arbeitgebers.
• Funde zu Dritten (Beifang): Tauchen in Quellen Daten von Kunden oder Partnern auf, gilt Zurückhaltung: keine Weiterverarbeitung ohne eigene Grundlage; im Zweifel die betroffene Organisation auf dem kurzen Dienstweg warnen statt Daten weiterzureichen.
• Meldepflichten: Ein Darknet-Fund fremden Ursprungs ist zunächst kein eigener meldepflichtiger Vorfall; anders, wenn Daten aus den eigenen Systemen stammen oder ein Konto nachweislich missbraucht wurde – dann greifen Art. 33/34 DSGVO und ggf. die NIS2-Meldewege. Details zur NIS2-Aufsicht hier. NIS2-Durchsetzung: BSI startet Kontrollen

Fazit: Datenschutz ist beim Monitoring Auswahlkriterium, kein Hindernis

Darknet Monitoring und DSGVO sind kein Widerspruch – im Gegenteil: Richtig aufgesetzt ist das Monitoring Teil der in Art. 32 DSGVO geforderten Sicherheitsmaßnahmen. Der Datenschutz entscheidet aber über das Wie und damit über die Anbieterwahl: maskierte Passwörter, Domain-Beschränkung, AVV, definierte Prozesse. Wer diese Punkte im Angebot nicht findet, sollte nachfragen – oder weiterziehen. Einen datenschutzkonform aufgesetzten Einstieg bietet unser kostenloser Exposure-Check. Exposure-Check anfragen – Passwörter maskiert

Quellen

• Börse Express: Gestohlene Logins – 73 % der Firmen betroffen (Enzoic Credential Risk Report 2026, 30.07.2026): https://www.boerse-express.com/news/articles/gestohlene-logins-73-der-firmen-betroffen-nur-19-geschuetzt-933761
• DSGVO: Art. 6 Abs. 1 lit. f, Erwägungsgrund 49, Art. 13/14, Art. 28, Art. 32–34 (Gesetzestext)
• BSIG: § 30 (Risikomanagement-Maßnahmen)