Darknet Monitoring: Schutz für Unternehmen erklärt

Die meisten Unternehmen erfahren erst von einem Datenleck, wenn es zu spät ist: wenn der Erpresserbrief kommt, ein Kunde sich über Betrug beschwert oder die Presse anruft. Dabei liegen die Spuren oft schon Wochen vorher offen sichtbar herum — nur eben an Orten, an denen niemand aus dem Unternehmen hinschaut: in Darknet-Foren, auf Leak-Marktplätzen, in Telegram-Kanälen und in sogenannten Infostealer-Logs. Allein im vergangenen Jahr erfassten Sicherheitsforscher von KELA rund 2,86 Milliarden kompromittierte Zugangsdaten aus solchen Quellen; etwa 347 Millionen davon stammten von rund 3,9 Millionen mit Infostealer-Schadsoftware infizierten Rechnern (KELA-Report via Borncity, 04/2026).

Darknet Monitoring dreht diese Blickrichtung um: Statt zu warten, bis gestohlene Daten gegen Sie verwendet werden, beobachten Sie systematisch, ob und wo Daten Ihres Unternehmens auftauchen. Dieser Beitrag erklärt, was hinter dem Begriff steckt, welchen konkreten Nutzen das Monitoring bringt, welche Assets sich überwachen lassen — und woran Sie erkennen, ob Ihr Unternehmen es braucht.

Was ist Darknet Monitoring?

Darknet Monitoring (auch Dark Web Monitoring oder Leak Monitoring) ist die kontinuierliche, automatisierte und analystengestützte Überwachung von Quellen, auf denen gestohlene Daten gehandelt, getauscht oder veröffentlicht werden — mit dem Ziel, Treffer zum eigenen Unternehmen so früh wie möglich zu erkennen.

Zu diesen Quellen gehört deutlich mehr als das klassische „Darknet" im engeren Sinne (Tor-basierte Marktplätze und Foren). Ein ernstzunehmendes Monitoring deckt mehrere Ebenen ab:

Darknet im engeren Sinne: Untergrund-Marktplätze, Hacking-Foren und Leak-Sites von Ransomware-Gruppen, auf denen gestohlene Datensätze zum Verkauf oder zur Veröffentlichung angeboten werden.

Deep Web und Graubereiche: Paste-Sites, Filehoster, geschlossene Foren und Telegram- bzw. Messenger-Kanäle, über die heute ein Großteil des Datenhandels läuft — oft schneller und niedrigschwelliger als über klassische Darknet-Märkte.

Leak- und Breach-Datenbanken: Aggregierte Sammlungen kompromittierter Zugangsdaten aus historischen und aktuellen Datenlecks, einschließlich sogenannter Combolists (zusammengeführte E-Mail-Passwort-Listen).

Infostealer-Logs: Die derzeit gefährlichste Quelle. Infostealer sind Schadprogramme, die auf infizierten Rechnern Browser-Passwörter, Session-Cookies und Systemdaten abgreifen und als „Logs" verkaufen. Ein einzelnes Log kann die kompletten Zugangsdaten eines Mitarbeiters enthalten — inklusive gültiger Sitzungs-Cookies, mit denen Angreifer sogar Multi-Faktor-Authentifizierung umgehen können.

Wichtig zur Einordnung: Seriöses Darknet Monitoring ist rein passive Beobachtung. Es wird nichts gekauft, nichts angefragt und nicht mit Kriminellen interagiert — ausgewertet wird, was ohnehin zirkuliert.

Was bringt Darknet Monitoring konkret?

1. Zeitvorsprung vor dem Angriff

Gestohlene Zugangsdaten sind heute das häufigste Einfallstor: Analysen von Cloudflare und CrowdStrike zufolge kamen bei rund 75 Prozent der jüngsten Einbrüche gestohlene Zugangsdaten oder gültige Konten zum Einsatz (via Borncity). Zwischen dem Auftauchen von Daten im Untergrund und ihrer Verwendung liegt oft ein Zeitfenster von Tagen bis Wochen. Wer in diesem Fenster erfährt, dass etwa das VPN-Passwort eines Mitarbeiters in einem Infostealer-Log steht, kann es zurücksetzen, bevor jemand damit einsteigt — aus einem potenziellen Ransomware-Vorfall wird ein Routinevorgang von zehn Minuten.

2. Sichtbarkeit für das, was Endpoint-Schutz nicht sieht

Virenschutz und EDR sehen nur die eigenen Systeme. Ein großer Teil der Leaks entsteht aber außerhalb: auf dem Privatrechner eines Mitarbeiters, der sich mit dem Dienstpasswort einloggt, beim Dienstleister, der Ihre Daten verarbeitet, oder in einem Altbestand aus einem Jahre zurückliegenden Breach. Darknet Monitoring ist die einzige Kontrollinstanz für diese blinden Flecken.

3. Faktenbasis statt Bauchgefühl

Ein Monitoring beantwortet die Frage „Sind wir betroffen?" mit überprüfbaren Funden statt Vermutungen: Welche Konten, seit wann, aus welcher Quelle, Klartext-Passwort oder Hash, Erst-Erscheinung oder Re-Zirkulation eines alten Leaks? Diese Unterscheidung entscheidet über die richtige Reaktion — ein frisches Infostealer-Log vom Laptop des Geschäftsführers verlangt sofortiges Handeln, eine fünf Jahre alte Combolist-Zeile meist nur einen Passwort-Check.

4. Compliance und Sorgfaltspflicht

Für NIS2-regulierte Unternehmen gehört die kontinuierliche Risikoanalyse und Vorfallserkennung zu den Pflichten nach § 30 BSIG; auch ISO 27001 verlangt Threat Intelligence (Control 5.7). Darknet Monitoring liefert dafür einen dokumentierbaren Baustein — und im Ernstfall den Nachweis, dass die Geschäftsleitung ihrer Überwachungspflicht nachgekommen ist. Auch die DSGVO-Bewertung eines Vorfalls („Welche Daten sind tatsächlich im Umlauf?") wird mit konkreten Funden deutlich belastbarer.

Was kann man alles monitoren?

Die Leistungsfähigkeit eines Darknet Monitorings hängt davon ab, welche Assets überwacht werden. Die wichtigsten Kategorien:

Domains und E-Mail-Adressen

Der Klassiker: Alle Funde, die Ihre Unternehmens-Domain enthalten — kompromittierte Mitarbeiter-Konten (name@ihrefirma.de) in Leaks, Combolists und Infostealer-Logs. Gute Systeme unterscheiden dabei, ob die Domain als Konto (Ihr Mitarbeiter ist betroffen) oder als Ziel-Host (jemand hat Zugangsdaten für Ihre Login-Portale, z. B. VPN, Citrix, OWA) auftaucht — letzteres ist der kritischere Fund. Dazu gehört auch die Überwachung neu registrierter Tippfehler-Domains (Typosquatting), die für Phishing gegen Ihre Kunden und Mitarbeiter vorbereitet werden.

Zugangsdaten und Session-Cookies

Gestohlene Zugangsdaten sind die Währung des Untergrunds. Überwacht wird, ob Benutzername-Passwort-Kombinationen Ihrer Mitarbeiter im Klartext zirkulieren — und zunehmend wichtiger: ob gültige Session-Cookies aus Infostealer-Infektionen angeboten werden, denn mit einem gestohlenen Cookie übernehmen Angreifer eine laufende Sitzung, ohne Passwort und ohne MFA-Abfrage.

Marke und Unternehmensname (Brand Monitoring)

Taucht Ihr Firmenname in Foren oder auf Leak-Sites auf, ist das oft der früheste Indikator: Angreifer bieten „Zugang zu einem deutschen Maschinenbauer" an, eine Ransomware-Gruppe kündigt eine Veröffentlichung an, oder Betrüger verkaufen gefälschte Rechnungen und Shops unter Ihrem Namen. Brand Monitoring erfasst solche Erwähnungen, ebenso Fake-Profile und markenmissbräuchliche Phishing-Kits.

IP-Adressen und Infrastruktur

Ihre öffentlichen IP-Bereiche lassen sich auf zwei Dinge überwachen: Erwähnungen im Untergrund (etwa in Listen „verwundbarer" oder bereits kompromittierter Hosts, die als Initial-Access-Angebote gehandelt werden) und Auffälligkeiten wie offene Dienste oder kompromittierte Systeme, die in Botnetz-Daten auftauchen. Das verbindet Darknet-Intelligence mit klassischem Attack-Surface-Management.

TLS-Zertifikate

Über Certificate-Transparency-Logs lässt sich beobachten, wer Zertifikate für Domains ausstellt, die Ihrer ähneln — ein frisch ausgestelltes Zertifikat für „ihrefirma-login.de" ist ein starkes Frühwarnsignal für eine bevorstehende Phishing-Kampagne, oft Tage bevor die Seite live geht. Auch unautorisiert ausgestellte Zertifikate für Ihre echten Domains werden so sichtbar.

Kreditkarten- und Zahlungsdaten

Für Händler, Hotellerie, Praxen mit Kartenzahlung und alle Unternehmen mit Firmenkreditkarten relevant: Carding-Shops und -Foren handeln gestohlene Kartendaten in großem Stil — im Frühjahr 2025 tauchten in einem einzigen Fund die Daten von über zwei Millionen Bankkarten auf (Netzwoche). Überwacht werden können eigene Karten-BINs bzw. Firmenkarten sowie Hinweise darauf, dass Karten von Kunden über Ihre Systeme abgegriffen wurden — Letzteres deutet auf eine Kompromittierung Ihres Zahlungswegs hin (z. B. Magecart-Skimming im Webshop).

Dokumente, Quellcode und VIP-Daten

Ergänzend lassen sich vertrauliche Dokumente (Angebote, Verträge, Konstruktionsdaten), versehentlich veröffentlichter Quellcode mit API-Schlüsseln sowie persönliche Daten exponierter Personen (Geschäftsführung, Vorstand) überwachen — Letzteres schützt vor gezieltem Spear-Phishing und CEO-Fraud.

Braucht mein Unternehmen Darknet Monitoring?

Die ehrliche Antwort: nicht jedes, aber deutlich mehr, als es heute einsetzen. Drei Leitfragen helfen bei der Einordnung:

Arbeiten Ihre Mitarbeiter mit Cloud-Diensten, VPN oder Fernzugängen? Dann sind gestohlene Zugangsdaten Ihr wahrscheinlichstes Einbruchsszenario — genau das, was Darknet Monitoring am zuverlässigsten früh erkennt. Das trifft heute auf praktisch jedes Unternehmen ab etwa zehn Mitarbeitern zu.

Verwalten Sie besonders sensible Daten — Patientenakten, Mandate, Konstruktionsdaten, Zahlungsdaten? Dann ist der Schaden pro geleakter Information überdurchschnittlich hoch, und die Melde- und Sorgfaltspflichten (DSGVO, Berufsrecht, NIS2) verschärfen die Lage. Für Arztpraxen, Kanzleien und regulierte Mittelständler ist Monitoring deshalb besonders naheliegend.

Könnten Sie heute beantworten, ob Zugangsdaten Ihres Unternehmens im Umlauf sind? Wenn nein, lohnt als Einstieg ein einmaliger Darknet Scan (Exposure-Check): eine Stichtagsprüfung, welche Daten Ihres Unternehmens bereits in Leak-Datenbanken, Foren und Infostealer-Logs auffindbar sind. Das Ergebnis ist in der Praxis selten leer — und eine hervorragende Entscheidungsgrundlage, ob sich das laufende Monitoring für Sie rechnet.

Ein realistischer Einwand zum Schluss: Darknet Monitoring verhindert keine Angriffe — es verschafft Zeit und Wissen. Seine Wirkung entfaltet es im Zusammenspiel: mit MFA und Passwort-Hygiene (damit einzelne Leaks wenig wert sind), mit 24/7-Detection (falls ein Zugang doch missbraucht wird) und mit einem geübten Reaktionsprozess (damit aus einem Fund in Stunden eine Gegenmaßnahme wird).

Mehr dazu: Managed Detection & Response (MDR) · Incident Response · Externer ISB

Wie läuft Darknet Monitoring in der Praxis ab?

Damit aus dem Konzept ein nutzbarer Service wird, braucht es einen klaren Prozess. In der Praxis hat sich ein Ablauf in fünf Schritten bewährt:

1. Asset-Definition. Gemeinsam wird festgelegt, was überwacht wird: Domains und Subdomains, E-Mail-Muster, Markennamen und Schreibvarianten, IP-Bereiche, Karten-BINs, exponierte Personen. Diese Liste ist das Fundament — was hier fehlt, wird später nicht gefunden.
2. Quellenabdeckung. Das Monitoring durchsucht laufend Leak-Datenbanken, Foren, Marktplätze, Ransomware-Leak-Sites, Telegram-Kanäle, Paste-Sites, Infostealer-Log-Angebote und Certificate-Transparency-Logs. Entscheidend ist die Kombination aus Breite (viele Quellen) und Tiefe (auch geschlossene Bereiche, in die automatisierte Crawler allein nicht kommen).
3. Bewertung und Triage. Rohtreffer sind noch keine Erkenntnis. Jeder Fund wird bewertet: Handelt es sich um eine Erst-Erscheinung oder die Re-Zirkulation eines alten Leaks? Combolist oder frisches Infostealer-Log? Klartext-Passwort oder Hash? Betrifft der Fund ein aktives Konto und — besonders kritisch — einen Login zu Ihren eigenen Systemen wie VPN oder Citrix? Diese Triage trennt die zwei echten Alarme vom Grundrauschen aus hunderten Altfunden und ist der Punkt, an dem menschliche Analyse den Unterschied macht.
4. Alarmierung mit Handlungsempfehlung. Ein relevanter Fund löst eine konkrete, priorisierte Meldung aus: welches Konto, welche Quelle, welche Sofortmaßnahme. Idealerweise greift hier derselbe Prozess wie beim 24/7-Monitoring — Fund, Bewertung, Reaktion aus einer Hand.
5. Reporting. Regelmäßige Berichte dokumentieren Lage und Entwicklung — als Steuerungsinstrument für die Geschäftsführung und als Nachweis gegenüber Auditoren, Versicherern und Aufsicht.

Zum Aufwand: Für das Unternehmen selbst ist laufendes Darknet Monitoring einer der leichtgewichtigsten Security-Services überhaupt — es braucht keine Installation, keine Agenten und keine Änderung an der Infrastruktur, da ausschließlich externe Quellen beobachtet werden. Der interne Aufwand beschränkt sich auf die Reaktion auf tatsächlich relevante Funde.

Fazit

Die Frage ist längst nicht mehr, ob Daten deutscher Unternehmen im Untergrund kursieren — bei Milliarden geleakter Zugangsdaten pro Jahr ist das statistisch kaum vermeidbar. Die Frage ist, wer es zuerst erfährt: Sie oder der Angreifer. Darknet Monitoring beantwortet diese Frage zu Ihren Gunsten — als Frühwarnsystem für Domains, Zugangsdaten, Marke, Infrastruktur, Zertifikate und Zahlungsdaten.

Wenn Sie wissen möchten, was heute bereits über Ihr Unternehmen auffindbar ist: Valyros führt einen diskreten, passiven Exposure-Check für Ihre Domains durch und bespricht die Ergebnisse mit Ihnen — unverbindlich und verständlich aufbereitet, damit Sie auf Faktenbasis entscheiden können, ob laufendes Monitoring für Sie sinnvoll ist.

Häufige Fragen

Ist Darknet Monitoring legal?

Ja. Seriöses Monitoring beobachtet passiv, was in einschlägigen Quellen bereits veröffentlicht oder angeboten wird — es werden keine Daten gekauft und keine Geschäfte mit Kriminellen gemacht. Die Verarbeitung der Funde erfolgt zweckgebunden zum Schutz des eigenen Unternehmens und seiner Beschäftigten; der Umgang mit personenbezogenen Funden gehört in ein sauberes Datenschutzkonzept.

Was ist der Unterschied zwischen einem Darknet Scan und laufendem Monitoring?

Ein Darknet Scan ist eine einmalige Bestandsaufnahme: Was ist über mein Unternehmen heute bereits auffindbar? Laufendes Monitoring überwacht dieselben Quellen kontinuierlich und alarmiert bei neuen Funden — entscheidend, weil der Wert eines Fundes mit jeder Stunde sinkt. Der Scan ist der sinnvolle Einstieg, das Monitoring der Dauerbetrieb.

Mein Passwort-Manager zeigt doch schon Leaks an — reicht das nicht?

Solche Prüfungen (etwa gegen bekannte Breach-Sammlungen) sind nützlich, decken aber nur einen Ausschnitt ab: historische, bereits aggregierte Lecks. Frische Infostealer-Logs, Handelsangebote in Foren, Session-Cookies, Typosquatting-Domains und Erwähnungen Ihrer Firma erfassen sie nicht — genau dort entsteht aber die akute Gefahr.

Was passiert, wenn das Monitoring einen Fund meldet?

Ein guter Prozess bewertet zuerst die Fund-Stärke: Wie frisch ist der Fund, Klartext oder Hash, betrifft er ein aktives Konto, hängen kritische Systeme daran? Danach folgen die Sofortmaßnahmen — Passwort-Reset, Sitzungen beenden, MFA prüfen, betroffene Systeme auf Missbrauch kontrollieren — und bei Hinweisen auf einen tatsächlichen Datenabfluss die Bewertung der Meldepflichten. Ein Managed-Service übernimmt Bewertung und Alarmierung, damit nicht jede alte Combolist-Zeile Ihr Team beschäftigt.

Quellen

• Borncity: KELA-Report – fast drei Milliarden Zugangsdaten im Darknet aufgetaucht (29.04.2026; enthält auch die Cloudflare/CrowdStrike- und IBM-Zahlen): https://borncity.com/news/kela-report-fast-drei-milliarden-zugangsdaten-im-darknet-aufgetaucht/
• Netzwoche: Im Darknet sind Daten von über 2 Millionen Bankkarten aufgetaucht (05.03.2025): https://www.netzwoche.ch/news/2025-03-05/im-darknet-sind-daten-von-ueber-2-millionen-bankkarten-aufgetaucht