Dark Web Exposure: Wenn der Angriff längst läuft
Eine Studie über 9.410 Unternehmen zeigt klar: Dark-Web-Funde erhöhen das Cyber-Risiko – und sind oft Vorboten eines aktiven Angriffs.
Was ist Dark Web Exposure?
Dark Web Exposure beschreibt das Auftauchen von Unternehmens-Daten, Zugängen, Infrastruktur-Hinweisen oder Diskussionen über eine Organisation in nicht-öffentlichen Netzwerken (Dark Web, Foren, Paste-Sites, Telegram, Marktplätze). Eine Studie von Marsh McLennan und Searchlight Cyber über 9.410 Unternehmen und vier Jahre Schadenshistorie zeigt: Solche Funde sind nachweislich mit einem höheren Risiko für reale Cybervorfälle korreliert.
Der wichtigste Satz der Studie
„Die Präsenz von Daten im Dark Web erhöht nachweislich das Risiko eines Cyberangriffs."
Klingt banal – ist es nicht. Konsequent zu Ende gedacht heißt das: Angriffe beginnen nicht beim Hack, sondern lange davor. Wer nur nach innen schaut (Firewall, AV, Patches), sieht den Angriff erst, wenn er bereits im Netz ist.
Angriffe werden extern vorbereitet
Klassische Risikobewertung läuft fast ausschließlich nach innen: Firewall-Regeln, Endpoint-Schutz, Patch-Stand, Backup. Das ist notwendig – aber nur die halbe Wahrheit. Die Studie zeigt, dass moderne Angriffe extern vorbereitet werden: im Dark Web wird recherchiert, gekauft, abgestimmt und beauftragt. Erst danach folgt der eigentliche technische Angriff.
Methodik: Single- vs. Multi-Variable
Marsh McLennan und Searchlight Cyber haben nicht einfach Leak-Daten gesammelt. Sie haben für 9.410 Unternehmen geprüft, ob es vor einem realen Schadenfall Dark-Web-Hinweise gab – und das in zwei Tiefen analysiert:
Jedes einzelne Signal erhöht das Schadensrisiko messbar. Manche stark, manche moderat – aber kein Signal ist neutral.
Der eigentliche Gamechanger: Risiko steigt nicht linear, sondern überproportional – und wird statistisch belastbar berechenbar.
Risikofaktor pro Dark-Web-Signal
Single-Variable-Analyse: Wie stark erhöht ein einzelnes Signal die Schadenswahrscheinlichkeit?
Datenbasis: Marsh McLennan / Searchlight Cyber, 2025 · 9.410 Unternehmen, 4-Jahres-Auswertung.
Signal = Angriffsphase
Nicht jeder Fund bedeutet dasselbe. Die Art des Signals zeigt, in welcher Phase ein Akteur sich gerade befindet.
Dark Web als Angriffs-Supply-Chain
Jedes Signal markiert eine Phase des Angriffs – von der Aufklärung bis zur Exfiltration.
- 1. ReconInfrastruktur-Hinweise, OSINT, Foren-Diskussionen
- 2. Access kaufenInitial Access Broker, Dark-Web-Listings, Credentials
- 3. Tools besorgenLoader, Stealer, Ransomware-as-a-Service
- 4. Ziel-DiskussionTelegram, Foren, Affiliate-Abstimmung
- 5. AngriffOutgoing Traffic, Lateral Movement, Exfiltration
Multi-Faktor-Risiko: nicht linear, sondern kumulativ
Multi-Variable-Analyse: Risiko-Uplift, wenn mehrere Signale gleichzeitig auftreten.
Datenbasis: Marsh McLennan / Searchlight Cyber, 2025 · ausgewählte Kombinationen aus der Multi-Variable-Regression.
„Outgoing Traffic" = Angriff läuft bereits
Wenn Endgeräte oder Server eines Unternehmens aktiv mit Dark-Web-Infrastruktur kommunizieren, ist das kein Vorbereitungs-Signal mehr – es ist Live-Aktivität. Häufige Ursachen: bereits installierte Malware, ein aktiver Insider, ein etablierter Command-&-Control-Kanal. Hier zählt jede Stunde.
„Compromised Users" – der Killer-Faktor
Mit ×2,56 ist das der stärkste Einzelfaktor. Der Mechanismus ist trivial – und genau deshalb so gefährlich:
- 1.Mitarbeiter nutzt Passwort mehrfach (privat & geschäftlich).
- 2.Ein anderer Dienst wird gehackt – Credentials landen im Dark Web.
- 3.Angreifer testet die Kombination automatisiert gegen Microsoft 365, VPN, Cloud-Konsolen.
- 4.Login statt Hack – kein klassischer Alarm schlägt an.
Die 5 Maßnahmen aus der Studie – in der Praxis
Was die Autoren empfehlen, übersetzt in konkretes Handeln für KMU und Mittelstand.
Sichtbarkeit
Domains, Marken, Mitarbeiter-Mails und Infrastruktur kontinuierlich überwachen.
Vollständige Abdeckung
Foren, Marktplätze, Paste-Sites, Telegram und OSINT-Quellen parallel beobachten.
Kontext
Funde nach Angriffsphase einordnen – nicht jeder Treffer ist gleichwertig.
Priorisieren
Multi-Faktor-Funde eskalieren, Single-Funde in das Risiko-Scoring überführen.
Monitoring & Abwehr
Frühwarnsystem mit EDR/XDR koppeln – aus Wissen wird aktive Verteidigung.
Vom Wissen zur Abwehr
Dark-Web-Monitoring sagt: „Du bist Ziel." Aber Wissen alleine stoppt keinen Angriff. Wenn geleakte Credentials genutzt werden, Malware nachgeladen wird oder ein System „komisch" kommuniziert, brauchen Unternehmen eine aktive Erkennungs- und Reaktionsschicht. Klassischer signaturbasierter AV erkennt das oft zu spät – moderne Endpoint- und Cross-Domain-Sicherheit nicht.
EDR – Endpoint Detection & Response
Überwacht einzelne Geräte (PC, Notebook, Server):
- • Erkennt verdächtige Prozesse in Echtzeit
- • Stoppt Angriffe direkt am System
- • Verhaltensbasiert statt nur signaturbasiert
XDR – Extended Detection & Response
Verknüpft Daten über mehrere Schichten:
- • Endpoints, Netzwerk, Cloud, E-Mail
- • Erkennt Zusammenhänge, nicht nur Einzelevents
- • Priorisiert über Korrelations-Logik
Wasacon Perspektive
Die meisten Unternehmen glauben: „Wir wurden gehackt." Realistisch betrachtet lief der Angriff oft schon Wochen vorher – im Dark Web. Genau dort entsteht der Vorsprung, den Verteidiger brauchen.
Häufige Fragen zu Dark Web Exposure
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Mehr aus dem Cluster Datenleck & Supply-Chain
Wer Dark-Web-Exposure verstehen will, sollte auch diese Analysen kennen:
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
