Leak-Monitoring

Zugangsdaten gelangen auf vielen Wegen in fremde Hände: durch Datenlecks bei Online-Diensten, durch Schadsoftware auf privaten Geräten oder durch Phishing. Solche Daten werden anschließend häufig gehandelt, in Foren veröffentlicht oder zu großen Sammlungen zusammengeführt. Leak-Monitoring sucht gezielt nach Einträgen, die zu einem Unternehmen gehören, meist anhand seiner E-Mail-Domains. Der Ansatz wird auch als Dark-Web-Monitoring oder Credential-Monitoring bezeichnet.

Der Nutzen liegt im Zeitvorsprung: Wer weiß, dass ein Passwort öffentlich kursiert, kann es ändern, bevor es für einen Angriff verwendet wird.

Wie funktioniert Leak-Monitoring?

Ein Leak-Monitoring-Dienst wertet laufend Quellen aus, darunter veröffentlichte Datenlecks, Foren, Marktplätze im Darknet, Textablagen im Internet und Protokolle von Infostealer-Malware. Treffer zu den überwachten Domains oder Begriffen werden gesammelt, auf Dubletten geprüft und bewertet. Wichtig ist der Kontext: Stammt der Eintrag aus einem alten, längst bekannten Leck oder ist er neu? Enthält er ein Passwort im Klartext, nur einen Hashwert oder lediglich die E-Mail-Adresse?

Anschließend wird gemeldet, welche Konten betroffen sind und welche Schritte sinnvoll sind.

Typische Beispiele

• Die Firmen-E-Mail-Adresse einer Mitarbeiterin taucht mit Passwort im Leck eines Online-Shops auf, bei dem sie sich beruflich registriert hatte. Wurde dasselbe Passwort auch intern verwendet, besteht akuter Handlungsbedarf.
• Zugangsdaten zum Firmen-VPN finden sich in den Protokollen einer Infostealer-Malware von einem privaten Rechner.
• Nach einem öffentlich bekannten Datenleck bei einem Dienstleister wird geprüft, ob Konten des Unternehmens betroffen sind.

Worauf Unternehmen achten sollten

• Vorab festlegen, wer Treffer erhält und bewertet und welche Maßnahmen folgen, etwa Passwortwechsel und Prüfung der Anmeldungen.
• Multi-Faktor-Authentifizierung und einen Passwort-Manager einsetzen, damit ein geleaktes Passwort allein wenig nützt.
• Betroffene fair informieren: Ein Treffer ist meist die Folge eines fremden Lecks und kein persönliches Versagen.
• Datenschutzrechtliche Fragen klären, da es um personenbezogene Daten geht.

Abgrenzung

Leak-Monitoring zeigt, dass Daten bereits abgeflossen sind, und verhindert selbst keinen Angriff. Es ergänzt vorbeugende Maßnahmen wie technische Schutzmechanismen und Security Awareness, ersetzt sie aber nicht.

Bezug zu TOMORIS

Bei TOMORIS deckt der GRID-Baustein GRID.darkwatch das Leak-Monitoring ab. Die TOMORIS-Software DarkWatch für Leak-Monitoring folgt dem Grundsatz: Regeln entscheiden, KI formuliert.