Das Darknet einfach erklärt
Stellen Sie sich das Internet als große Stadt vor. Die Einkaufsstraßen mit ihren Schaufenstern sind das öffentliche Internet, das jeder über Suchmaschinen findet. Hinter verschlossenen Türen liegen Büros und Wohnungen: Ihr E-Mail-Postfach, Ihr Online-Banking, das Intranet Ihrer Firma. Diesen nicht öffentlich auffindbaren Teil nennt man Deep Web – er ist völlig alltäglich. Das Darknet dagegen gleicht einem versteckten Viertel, das man nur durch einen besonderen Eingang betritt und in dem alle Masken tragen.
Der bekannteste Eingang ist der Tor-Browser. Tor steht für „The Onion Router“. Seiten im Tor-Netzwerk haben lange, kryptisch wirkende Adressen mit der Endung „.onion“ und tauchen in gewöhnlichen Suchmaschinen nicht auf.
Wichtig: Das Darknet ist nicht an sich illegal. Medienschaffende, Hinweisgebende und Menschen in autoritären Staaten nutzen es, um sich vor Überwachung zu schützen. Den Tor-Browser zu verwenden, ist in Deutschland erlaubt. Strafbar sind bestimmte Handlungen, etwa der Handel mit gestohlenen Daten (Datenhehlerei, § 202d StGB).
So funktioniert das Darknet
Das Tor-Netzwerk arbeitet nach dem Zwiebelprinzip:
- Mehrfach verpackt: Der Tor-Browser verschlüsselt jede Anfrage in mehreren Schichten – wie die Schalen einer Zwiebel.
- Über Umwege: Die Daten laufen über mindestens drei Zwischenstationen, sogenannte Knoten, die Freiwillige weltweit betreiben.
- Schale für Schale: Jeder Knoten entfernt nur eine Schicht. Er kennt nur seinen Vorgänger und seinen Nachfolger, aber nie den ganzen Weg.
- Versteckte Dienste: Bei .onion-Seiten bleibt nicht nur die Person am Rechner verborgen, sondern auch der Standort des Servers.
Genau diese Anonymität macht das Darknet für Kriminelle attraktiv. Auf Marktplätzen und in Foren werden unter anderem gehandelt:
- Zugangsdaten zu E-Mail-Konten, VPN-Zugängen und Cloud-Diensten
- Datensätze von Infostealern – Schadprogrammen, die gespeicherte Passwörter und Anmeldesitzungen aus Browsern stehlen
- fertige Zugänge zu Unternehmensnetzen, angeboten von spezialisierten Zwischenhändlern
- Kundendatenbanken und interne Dokumente aus Datenlecks
- Malware und Angriffswerkzeuge zur Miete
Zudem betreiben Ransomware-Gruppen dort Leak-Seiten. Darauf veröffentlichen sie erbeutete Daten von Unternehmen, die kein Lösegeld zahlen. Ein Teil des Handels findet inzwischen auch in geschlossenen Messenger-Kanälen statt.
Ein Beispiel aus der Praxis
Ein typisches Szenario: Ein Vertriebsmitarbeiter eines Großhändlers lädt auf seinem privaten Laptop eine vermeintlich kostenlose Software herunter. Darin versteckt sich ein Infostealer. Unter den gestohlenen Daten sind auch seine Zugangsdaten für das Firmen-VPN, mit dem er von zu Hause arbeitet. Kurz darauf werden sie in einem Darknet-Forum angeboten.
Das Unternehmen erfährt davon durch eine Benachrichtigung aus seinem Darknet-Monitoring. Die IT setzt das Passwort sofort zurück, aktiviert die Multi-Faktor-Authentifizierung für den VPN-Zugang und prüft in den Anmeldeprotokollen, ob die Daten bereits benutzt wurden. Der private Laptop wird nicht mehr dienstlich genutzt. Die angebotenen Zugangsdaten sind damit wertlos.
Warum ist das für Unternehmen wichtig?
Was im Darknet auftaucht, ist oft der Vorbote eines Angriffs. Gestohlene Zugangsdaten nutzen Kriminelle etwa für Credential Stuffing, also das automatisierte Ausprobieren erbeuteter Passwörter bei anderen Diensten. Verkaufte Netzwerkzugänge können der erste Schritt eines Ransomware-Angriffs sein. Und tauchen Kundendaten auf, liegt meist eine Datenpanne vor, die nach der DSGVO meldepflichtig sein kann.
Das Tückische: Betroffene Unternehmen merken oft nichts davon. Der Diebstahl geschah vielleicht bei einem Dienstleister, auf einem privaten Gerät oder bei einem Onlinedienst, für den Beschäftigte ihr Firmenpasswort wiederverwendet haben. Wer früh Bescheid weiß, kann handeln, bevor die Daten missbraucht werden.
So schützen Sie sich
- MFA einführen: Mit Multi-Faktor-Authentifizierung reicht ein gestohlenes Passwort allein nicht mehr aus.
- Passwörter nicht wiederverwenden: Ein Passwortmanager hilft, für jeden Dienst ein eigenes, langes Passwort zu nutzen.
- Geräte schützen: Halten Sie Rechner aktuell und erlauben Sie Software nur aus vertrauenswürdigen Quellen – gerade auf Geräten, mit denen auch dienstlich gearbeitet wird.
- Dienstleister einbeziehen: Klären Sie, wie Partner mit Ihren Daten umgehen und wie sie Sie bei Vorfällen informieren.
- Frühwarnung nutzen: Ein Darknet Monitoring meldet, wenn Daten Ihres Unternehmens auftauchen.
- Reaktion planen: Legen Sie fest, wer bei einem Fund Passwörter zurücksetzt, Konten prüft und Betroffene informiert.
Wie Rootsektor unterstützt
Mit unserem Darknet Monitoring überwachen wir relevante Quellen automatisiert mit eigenen Anwendungen. Taucht dort etwas auf, das zu Ihrem Unternehmen passt – etwa Zugangsdaten mit E-Mail-Adressen Ihrer Firmendomain –, werden Sie automatisch benachrichtigt. Anschließend unterstützen wir Sie individuell bei den Gegenmaßnahmen. Das Monitoring stimmen wir auf Ihr Unternehmen ab und bieten es individuell an. Welche Informationen über Ihr Unternehmen frei im Netz verfügbar sind, zeigt ergänzend eine OSINT-Analyse.