Dark Web Monitoring für den Mittelstand: Tools und Kosten

4 Min. Lesezeit

292 Tage. So lange dauert es im Schnitt, bis ein Credential-basierter Breach erkannt und eingedämmt wird (IBM 2024). In dieser Zeit haben Angreifer Zugang zu Systemen, Kundendaten und internen Dokumenten. Dark Web Monitoring verkürzt dieses Fenster auf Stunden. SpyCloud dokumentiert 53,3 Milliarden gestohlene Identity Records und 17,3 Milliarden Session Cookies im Dark Web. Die Daten von Mittelstandsmitarbeitern tauchen dort genauso auf wie die von Konzernangestellten. Der Unterschied: Konzerne haben SOC-Teams. Der Mittelstand braucht automatisierte Früherkennung.

Warum Credentials die Nr. 1 Schwachstelle sind

Gestohlene Zugangsdaten sind nicht irgendein Angriffsvektor. Sie sind der häufigste. Verizon dokumentiert im Data Breach Investigations Report 2024: 38 Prozent aller Datenpannen beginnen mit gestohlenen Credentials. Bei Web-Application-Angriffen steigt der Anteil auf 77 Prozent. Über die letzten zehn Jahre waren Credentials an 31 Prozent aller Breaches beteiligt.

Die Lieferkette funktioniert industriell. Infostealer-Malware wie Lumma, StealC und RedLine infiziert Geräte über Drive-by-Downloads, gecrackte Software oder Malvertising. Einmal installiert, extrahiert sie im Hintergrund alle Zugangsdaten aus dem Browser: Passwörter, Session Cookies, gespeicherte Kreditkarten. KELA dokumentiert, dass diese drei Familien für über 75 Prozent aller infizierten Geräte verantwortlich sind. Microsoft identifizierte allein zwischen März und Mai 2025 394.000 mit Lumma infizierte Windows-PCs.

Das Ergebnis: SpyCloud zählt in seinem Annual Identity Exposure Report 2025 insgesamt 53,3 Milliarden gestohlene Identity Records (plus 22 Prozent gegenüber dem Vorjahr), 3,1 Milliarden offengelegte Passwörter (plus 125 Prozent) und 17,3 Milliarden gestohlene Session Cookies. Pro durchschnittlicher Infostealer-Infektion werden 44 Credentials und 1.861 Session Cookies abgegriffen.

Quellen: SpyCloud 2025, IBM Cost of a Data Breach 2024

Was Dark Web Monitoring konkret tut

Credential Monitoring. Abgleich der Unternehmens-E-Mail-Domain gegen Dark-Web-Datenbanken. Wenn mitarbeiter@firma.de mit Passwort in einem Dump auftaucht, wird IT-Security sofort benachrichtigt. Gute Tools unterscheiden zwischen alten Leaks (bereits bekannt) und frischen Daten aus neuen Infostealer-Logs.

Session Token Monitoring. Die 17,3 Milliarden gestohlenen Session Cookies ermöglichen Account-Takeover ohne Passwort und ohne MFA. Der Angreifer übernimmt die aktive Session. Seit 2024 monitoren spezialisierte Tools wie SpyCloud und Flare auch gestohlene Session-Tokens, nicht nur Passwörter.

Data Leak Detection. Scans auf Dark-Web-Foren, Paste-Sites und kriminellen Telegram-Kanälen nach Firmendaten, Kundendaten, internen Dokumenten und Source Code. Besonders relevant nach einem Identitätsangriff, wenn unklar ist, welche Daten abgeflossen sind.

Brand Impersonation Detection. Erkennung von Typosquatting-Domains, Fake-Login-Seiten und Phishing-Kits, die die eigene Marke imitieren. Für Mittelständler mit Kundendaten oder Online-Portalen ein unterschätztes Risiko.

„54 Prozent der Ransomware-Opfer hatten ihre Domains zuvor in Infostealer-Dumps. Die Daten waren verfügbar, bevor der Angriff kam.“
Verizon Data Breach Investigations Report 2025

Tools und Kosten: Was der Mittelstand braucht

Sofort und kostenlos: Have I Been Pwned. Troy Hunts Datenbank kennt über 962 kompromittierte Plattformen. Jede Organisation kann ihre Domain kostenlos registrieren und erhält automatische Benachrichtigungen wenn @firma.de-Adressen in neuen Breaches auftauchen. Das ist der Einstieg, den jeder IT-Admin heute machen kann.

Mittelstand-Segment (ab ca. 100 Euro/Monat): Tools wie Breachsense bieten API-Zugang zu Credential-Datenbanken ab rund 99 Dollar monatlich. Flare positioniert sich explizit als Mid-Market-Lösung mit Credential-, Dark-Web-Forum- und Telegram-Monitoring. Preise auf Anfrage, typischerweise im vierstelligen Euro-Bereich pro Jahr.

Enterprise (ab ca. 15.000 Euro/Jahr): SpyCloud (Marktführer bei Infostealer-Daten), Recorded Future (umfassende Threat Intelligence), Flashpoint und ReliaQuest (ehemals Digital Shadows) bieten die tiefste Abdeckung. Für die meisten Mittelständler überdimensioniert, aber relevant wenn sensible Kundendaten oder regulierte Branchen betroffen sind.

Der Business Case: 5.000 Euro gegen 4,8 Millionen

Die Rechnung ist einfach. Ein Credential-Breach kostet laut IBM durchschnittlich 4,81 Millionen Dollar. 292 Tage vergehen bis zur Erkennung. Dark Web Monitoring für den Mittelstand kostet zwischen 1.200 und 15.000 Euro pro Jahr, je nach Anbieter und Umfang. Selbst wenn nur ein einziger kompromittierter Account pro Jahr rechtzeitig erkannt und gesperrt wird, ist der ROI positiv.

Das Zeitfenster ist entscheidend. Gestohlene Credentials aus Infostealer-Malware erscheinen innerhalb von Stunden nach der Infektion im Underground. Initial Access Broker verkaufen verifizierte Zugangsdaten aktiv. Das Fenster zwischen Credential-Diebstahl und Ransomware-Angriff schrumpft auf teilweise unter 48 Stunden. Wer erst nach 292 Tagen reagiert, reagiert nicht, er dokumentiert nur den Schaden.

Sofort-Checkliste für IT-Security-Teams

1. Have I Been Pwned Domain-Check durchführen. Kostenlos, sofort. Eigene Domain registrieren, automatische Benachrichtigungen aktivieren. Zeigt, welche Mitarbeiter-Accounts bereits in bekannten Breaches aufgetaucht sind.

2. Passwort-Reset für betroffene Accounts. Jeden Account, der in einem Dump auftaucht, sofort zurücksetzen. Nicht nur das Passwort für den betroffenen Dienst, sondern überall wo dasselbe Passwort verwendet wurde. 70 Prozent recyceln ihre Passwörter.

3. MFA erzwingen, Session-Tokens verkürzen. MFA stoppt einfachen Credential-Missbrauch. Aber gegen gestohlene Session Cookies hilft nur Token Binding und kurze Token-Laufzeiten. Beides einrichten.

4. Kommerzielles Dark Web Monitoring evaluieren. Für Unternehmen mit mehr als 50 Mitarbeitenden oder sensiblen Daten: Flare, Breachsense oder einen vergleichbaren Anbieter im Mittelstand-Segment testen. Die meisten bieten kostenlose Trials.

5. Incident-Response-Plan aktualisieren. Was passiert wenn Dark Web Monitoring einen Treffer meldet? Wer wird informiert? Wie schnell wird der Account gesperrt? Ohne definierten Prozess bleibt der Treffer ein Alert ohne Konsequenz.

Fazit: Die Daten sind schon da

Die Frage ist nicht ob Zugangsdaten von Mitarbeitern im Dark Web kursieren. Die Frage ist ob die IT-Security davon weiß. 91 Prozent der Organisationen hatten 2024 mindestens einen identitätsbasierten Vorfall (SpyCloud). 54 Prozent der Ransomware-Opfer hatten ihre Domains in Infostealer-Dumps, bevor der Angriff kam (Verizon DBIR 2025). Dark Web Monitoring macht den Unterschied zwischen Prävention und Schadensdokumentation.

Häufige Fragen

Was kostet Dark Web Monitoring für den Mittelstand?

Der Einstieg ist kostenlos (Have I Been Pwned Domain-Check). Kommerzielle Tools starten ab rund 100 Euro/Monat (Breachsense) bis zu mehreren tausend Euro/Jahr (Flare, SpyCloud). Enterprise-Lösungen beginnen ab ca. 15.000 Euro/Jahr.

Wie schnell werden gestohlene Credentials eingesetzt?

Innerhalb von Stunden nach der Infostealer-Infektion. Initial Access Broker verkaufen verifizierte Zugangsdaten aktiv. Das Fenster zwischen Diebstahl und Ransomware-Angriff kann unter 48 Stunden liegen.

Reicht MFA als Schutz gegen gestohlene Credentials?

Gegen einfachen Credential-Missbrauch ja. Aber gegen gestohlene Session Cookies (17,3 Milliarden im Umlauf) nicht. Session-Token-Diebstahl umgeht MFA komplett. Zusätzlich braucht es Token Binding, kurze Token-Laufzeiten und Session-Monitoring.

Was ist der Unterschied zwischen Dark Web Monitoring und SIEM?

SIEM überwacht die eigene Infrastruktur (interne Logs, Events). Dark Web Monitoring überwacht externe Quellen (Dark-Web-Foren, Paste-Sites, Infostealer-Dumps). Beides ergänzt sich: SIEM erkennt Angriffe die stattfinden, Dark Web Monitoring erkennt Credentials die gestohlen wurden bevor sie eingesetzt werden.

Wie starte ich als Mittelständler mit Dark Web Monitoring?

Schritt 1: Have I Been Pwned Domain-Check (kostenlos, sofort). Schritt 2: Benachrichtigungen aktivieren. Schritt 3: Betroffene Accounts zurücksetzen. Schritt 4: Kommerzielles Tool evaluieren wenn der Domain-Check Treffer zeigt.

Quelle Titelbild: Pexels / Sora Shimazaki

Hier schreibt Alec Chizhik für Sie

Mehr Artikel vom Autor Alec Chizhik