01Die Untergrund-Ökonomie: Infostealer, Access Broker, Leak-Sites
Der kriminelle Markt ist arbeitsteilig organisiert. Infostealer-Malware exfiltriert von infizierten Geräten Zugangsdaten, Session-Cookies und Browserdaten und bündelt sie zu sogenannten Stealer-Logs, die auf Marktplätzen und in Telegram-Kanälen gehandelt werden; Combolists aggregieren E-Mail-Passwort-Kombinationen aus alten und neuen Leaks, und auf den Leak-Sites von Ransomware-Gruppen werden erbeutete Datensätze veröffentlicht. Initial Access Broker (IAB) machen aus solchen Rohdaten verifizierte Netzwerkzugänge und verkaufen sie weiter – laut ENISA mit einem Trend zu niedrigpreisigen, hochvolumigen Angeboten, bei denen die Mehrzahl der Zugänge für unter rund 2.800 Euro gehandelt wird. Der Markt ist zudem bemerkenswert widerstandsfähig: Nach der Zerschlagung der Infostealer RedLine und META (Operation Magnus, Oktober 2024) stieg die Nutzung des Lumma-Stealers zwischen erstem und zweitem Halbjahr 2024 um mehr als 350 Prozent; ENISA bewertet Infostealer weiterhin als festes Glied der cyberkriminellen Lieferkette.
02Warum Früherkennung zählt: die Pipeline zur Ransomware
Zwischen Datenabfluss und Angriff liegt messbar Zeit – und genau dieses Fenster adressiert Monitoring. Nach dem Verizon Data Breach Investigations Report 2026 wiesen 73 Prozent der untersuchten Ransomware-Opfer im Jahr vor dem Angriff ein Infostealer- oder Credential-Leak-Ereignis auf; bei der Hälfte dieser Betroffenen lag das Ereignis innerhalb von 95 Tagen vor dem Angriff. Auch der BSI-Lagebericht 2025 unterstreicht den Zusammenhang: 72 Prozent der in Deutschland angezeigten Ransomware-Angriffe gingen mit Datenleaks einher, und sowohl die Zahl der Leak-Geschädigten als auch die der Zugangsdatendiebstähle nahm zu. Wer kompromittierte Zugangsdaten erkennt, bevor sie ausgenutzt werden, kann die Angriffskette an ihrem ersten Glied unterbrechen – mit deutlich geringerem Aufwand als in der Incident Response.
03Was Dark-Web-Monitoring realistisch findet
In der Praxis liefern Monitoring-Dienste drei Trefferklassen. Erstens kompromittierte Zugangsdaten von Beschäftigten und Kunden aus Stealer-Logs, Breach-Datenbanken und Combolists – oft mitsamt Session-Cookies, betroffenen Login-URLs (etwa VPN-Portale, SSO oder Admin-Oberflächen) und Angaben zum infizierten Gerät. Zweitens Erwähnungen des Unternehmens in Foren, auf Marktplätzen und in Telegram-Kanälen, zum Beispiel Zugangsangebote von Initial Access Brokern oder Diskussionen über geplante Angriffe. Drittens geleakte Datensätze und Dokumente auf Leak- und Paste-Sites, etwa nach einem Vorfall bei einem Dienstleister. Überwacht werden dafür üblicherweise eigene Domains samt Subdomains, E-Mail-Adressen, IP-Bereiche sowie Marken- und Produkt-Keywords. Sichtbar wird dabei nur, was in zugänglichen Quellen auftaucht – exklusive Direktverkäufe zwischen Kriminellen bleiben naturgemäß verborgen.
04Reaktionsprozess: vom Treffer zur Maßnahme
Ein Treffer ist zunächst nur ein Datenpunkt – handlungsrelevant wird er durch Triage. Am Anfang stehen Verifikation (betrifft der Datensatz tatsächlich das eigene Unternehmen, ist das Passwort noch gültig?) und Priorisierung nach Kontotyp und exponiertem Dienst: privilegierte Konten sowie VPN- und SSO-Zugänge vor unkritischen Portal-Logins. Das Standard-Playbook umfasst Passwort-Reset, Invalidierung aktiver Sessions und Tokens, Prüfung bzw. Erzwingung von Multi-Faktor-Authentifizierung, die Analyse betroffener Systeme auf verdächtige Anmeldungen sowie die Suche nach der Abflussquelle, etwa einem infizierten Endgerät oder einem Drittanbieter. Ergibt die Bewertung einen erheblichen Sicherheitsvorfall oder eine Verletzung des Schutzes personenbezogener Daten, greifen Meldepflichten: nach NIS2 Art. 23 die Frühwarnung binnen 24 Stunden, die Meldung binnen 72 Stunden und der Abschlussbericht spätestens einen Monat nach der Meldung; nach DSGVO Art. 33 die Meldung an die Aufsichtsbehörde unverzüglich, möglichst binnen 72 Stunden. Monitoring-Alerts gehören deshalb fest in den bestehenden Incident-Response-Prozess integriert.
05Grenzen und False Positives
Dark-Web-Monitoring erzeugt ohne Kontext viel Rauschen. Combolists recyceln alte Leaks, sodass viele Treffer längst geänderte Passwörter oder ausgeschiedene Beschäftigte betreffen; private Konten, die mit einer Firmen-E-Mail-Adresse registriert wurden, sagen wenig über die Sicherheit des Firmennetzes aus, und ähnliche Domains führen zu Fehlzuordnungen. Vollständigkeit kann kein Anbieter garantieren – geschlossene Foren und private Verkäufe entziehen sich der Beobachtung. Der Ansatz ist zudem grundsätzlich reaktiv: Was gefunden wird, ist bereits abgeflossen, und ein verlässliches „Löschen“ aus dem Umlauf gibt es nicht. Ohne definierten Triage- und Reaktionsprozess produzieren Rohtreffer daher vor allem Alert-Fatigue. Sinnvoller Erfolgsmaßstab ist nicht die Trefferzahl, sondern die Zeit von der Erkennung bis zur wirksamen Maßnahme.
06Einordnung: Threat-Intelligence-Baustein unter NIS2 und DORA
Weder NIS2 noch DORA fordern Dark-Web-Monitoring wörtlich – es zahlt aber auf konkrete Pflichten ein. NIS2 (Richtlinie (EU) 2022/2555) verlangt in Art. 21(2) unter anderem Konzepte zur Risikoanalyse (lit. a) und die Bewältigung von Sicherheitsvorfällen (lit. b); unternehmensspezifische Bedrohungsdaten aus Untergrundquellen liefern dafür belastbare Evidenz. DORA (Verordnung (EU) 2022/2554, anwendbar seit 17.01.2025) verpflichtet Finanzunternehmen in Art. 13(1) ausdrücklich, Kapazitäten und Personal vorzuhalten, um Informationen über Schwachstellen und Cyberbedrohungen zu sammeln und deren wahrscheinliche Auswirkungen zu untersuchen; bedrohungsorientierte Penetrationstests (TLPT, Art. 26) setzen ebenfalls auf Bedrohungsanalysen auf. Dark-Web-Monitoring ist damit ein operativer Baustein der Cyber Threat Intelligence – als Ergänzung zu External Attack Surface Management, Schwachstellenmanagement und SOC-Detektion, nicht als deren Ersatz.
