Darknet Monitoring selbst machen: Tools, Grenzen, Fazit

Ja, Sie können heute anfangen: Mit kostenlosen Diensten wie Have I Been Pwned lässt sich in einer Stunde prüfen, welche Konten Ihrer Firmendomain in bekannten Datenlecks auftauchen – und sogar eine automatische Benachrichtigung für die eigene Domain einrichten. Für die gefährlichste Fundkategorie reicht das aber nicht: Frische Infostealer-Daten, geschlossene Foren und die Bewertung der Funde bleiben außen vor. Dieser Beitrag zeigt ehrlich, was DIY leistet, wie Sie es sauber aufsetzen – und ab wann ein Dienstleister die bessere Rechnung ist.

Transparenz vorweg: Wir verkaufen Darknet Monitoring. Gerade deshalb halten wir nichts davon, kostenlose Werkzeuge kleinzureden – wer mit Have I Been Pwned startet, hat mehr verstanden als die Mehrheit. Laut Enzoic-Report haben erst 19 Prozent der Unternehmen ein kontinuierliches Credential-Monitoring etabliert (Börse Express, 30.07.2026). Jeder Schritt über null hinaus ist ein Fortschritt.

Stufe 1: Der DIY-Werkzeugkasten

Have I Been Pwned (HIBP)

Der Standard-Einstieg: Die Datenbank des Sicherheitsforschers Troy Hunt prüft E-Mail-Adressen gegen hunderte bekannte Datenlecks. Für Unternehmen relevant ist die Domain-Suche: Nach einem Verifizierungsprozess (Nachweis der Domain-Inhaberschaft) sehen Sie alle Adressen Ihrer Domain in bekannten Breaches und können Benachrichtigungen für künftige Funde aktivieren. Kosten: für kleine Domains frei, darüber moderate Abos.

Browser- und Passwortmanager-Checks

Moderne Passwortmanager und Browser warnen, wenn gespeicherte Passwörter in bekannten Leaks auftauchen. Das ist nutzerbezogen statt domainweit, aber flächendeckend ausgerollt ein brauchbares Frühwarnsignal – und ein Argument mehr für den zentral verwalteten Passwortmanager.

Identity-Monitoring in bestehenden Lizenzen

Viele Unternehmen besitzen bereits Monitoring-Bausteine, ohne sie zu nutzen: Microsoft Entra ID (ab P2) markiert Nutzer mit geleakten Zugangsdaten („leaked credentials") und riskante Anmeldungen; einige EDR- und Mail-Security-Suiten bringen ähnliche Module mit. Erst Lizenzbestand prüfen, dann zukaufen.

Was Sie NICHT tun sollten

Selbst im Tor-Browser durch Foren und Marktplätze surfen, um „nachzusehen": rechtlich heikel (Umgang mit fremden personenbezogenen Daten, ggf. strafbare Inhalte), operativ gefährlich (Malware, Social Engineering) und praktisch nutzlos, weil relevante Quellen Zugang, Reputation und Sprache erfordern. Die Beschaffung gehört zu den Dingen, die man wirklich auslagert.

Stufe 2: DIY sauber aufsetzen – die Minimal-Routine

Wenn Sie es selbst machen, dann mit Prozess statt Einmal-Neugier:

1. Domain(s) bei HIBP verifizieren und Benachrichtigungen aktivieren – einmalig, danach automatisch.
2. Quartalsweise Review: Neue Funde sichten, betroffene Konten identifizieren, Passwort-Status klären.
3. Reaktionsregel definieren: Wer setzt zurück, wer informiert Betroffene, was wird dokumentiert? Die Schrittfolge liefert unsere Soforthilfe. Zugangsdaten im Darknet gefunden: 7-Schritte-Soforthilfe
4. Flankieren: MFA auf allen externen Diensten, Passwortmanager, Verbot privater Registrierungen mit Firmen-Adresse. Ohne das bleibt jedes Monitoring Symptombekämpfung.
5. Datenschutz beachten: Auch DIY-Abgleiche verarbeiten Beschäftigtendaten – Zweck, Transparenz und Zugriffsbeschränkung gelten genauso. Darknet Monitoring und DSGVO: Was erlaubt ist

Damit haben Sie eine solide Grundabdeckung für die Kategorie „bekannte, veröffentlichte Breaches". Das ist viel wert – und hat drei strukturelle Lücken.

Die drei Grenzen des Selbermachens

1. Die Datenlücke: Infostealer und geschlossene Quellen

Öffentliche Leak-Datenbanken enthalten überwiegend bekannt gewordene Breaches – also die alte, vielfach kopierte Ware. Die akut gefährliche Kategorie sind frische Infostealer-Logs von aktuell infizierten Geräten, gehandelt in Telegram-Kanälen und geschlossenen Foren, oft binnen Stunden nach Infektion. Allein im ersten Halbjahr 2026 sammelten Infostealer laut Flashpoint rund 1,7 Milliarden Zugangsdaten von 7,4 Millionen Geräten ein (Infosecurity Magazine, 17.08.2026). In diese Quellen kommen kostenlose Tools kaum oder mit großer Verzögerung – kommerzielle Threat-Intelligence-Zugänge sind der eigentliche Grund, warum Managed-Dienste Geld kosten.

2. Die Bewertungslücke: Treffer sind keine Erkenntnisse

HIBP sagt Ihnen, dass eine Adresse in „Breach XY (2019)" vorkommt. Es sagt Ihnen nicht, ob das Passwort noch gilt, ob der Fund aus einer recycelten Combolist oder einem frischen Stealer-Log stammt und welches Gerät betroffen ist – genau die Unterscheidung, die über Routine oder Alarm entscheidet. Infostealer vs. Combolist: Die Quelle entscheidet Diese Bewertung kostet intern Zeit und Fachwissen – oder sie unterbleibt, und Alarme werden zur ignorierten Routine.

3. Die Reaktionslücke: Nachts um drei passiert trotzdem

Zwischen Fund und Missbrauch liegen oft nur Stunden. Eine Quartals-Review fängt das nicht; selbst tägliche Benachrichtigungen helfen nur, wenn jemand sofort reagiert – Konten sperrt, Sitzungen invalidiert, Anmeldungen überwacht. Spätestens hier wird aus dem Tool-Thema ein Betriebs-Thema: Monitoring ohne Reaktionsfähigkeit ist ein Messgerät ohne Feuerwehr. In Managed-Modellen fließen Funde deshalb direkt in die 24/7-Überwachung. MDR: Funde fließen direkt ins 24/7-Monitoring

Die ehrliche Entscheidungsmatrix

DIY reicht vorerst, wenn: wenige Domains, keine erhöhten Compliance-Anforderungen, jemand im Haus übernimmt die Quartals-Routine verlässlich – und MFA plus Passwortmanager sind bereits flächendeckend umgesetzt (sonst zuerst das).

Ein Dienstleister lohnt sich, wenn: Infostealer-Risiko relevant ist (Homeoffice, BYOD, viele Fernzugänge), Funde bewertet und priorisiert ankommen sollen statt als Rohliste, NIS2/ISO 27001/Versicherer nachweisbares Monitoring erwarten – oder schlicht niemand da ist, der es dauerhaft betreibt. Was das kostet und wie Sie Angebote vergleichen, steht im Kosten-Beitrag. Darknet Monitoring: Kosten, Preismodelle & ROI

Der pragmatische Mittelweg: erst messen, dann entscheiden. Ein professioneller Einmal-Check zeigt, was über die öffentlichen Quellen hinaus über Ihre Domains kursiert – insbesondere in Stealer-Daten. Fällt er unauffällig aus, fahren Sie mit der DIY-Routine weiter; zeigt er frische Funde, wissen Sie, wofür Sie Budget brauchen. Bei Valyros ist dieser Erst-Check kostenlos, Passwörter maskiert. Kostenlosen Exposure-Check anfragen

Quellen

• Börse Express: Gestohlene Logins – 73 % betroffen, nur 19 % mit kontinuierlichem Monitoring (Enzoic Credential Risk Report 2026, 30.07.2026): https://www.boerse-express.com/news/articles/gestohlene-logins-73-der-firmen-betroffen-nur-19-geschuetzt-933761
• Infosecurity Magazine: Infostealers Harvest 1.7 Billion Credentials in Six Months (Flashpoint, 17.08.2026): https://www.infosecurity-magazine.com/news/infostealers-17-billion/
• Have I Been Pwned: haveibeenpwned.com (Domain-Suche)