Das Risiko entsteht draußen, nicht in Deiner Firewall
Zugangsdaten Deiner Mitarbeitenden tauchen in Leaks auf, jemand registriert eine Domain, die Deiner um einen Buchstaben ähnelt, und im Katalog aktiv ausgenutzter Schwachstellen steht ein Produkt, das bei Dir läuft. Nichts davon passiert in Deinem Netz. Alles davon betrifft Dich.
Signale zu sammeln ist der einfache Teil. Der schwierige Teil ist zu entscheiden, welches der Signale Deinen Montagmorgen bestimmen sollte.
Die Quellen sind öffentlich. Datenleck-Sammlungen, Domainregistrierungen und der Katalog aktiv ausgenutzter Schwachstellen der US-Behörde CISA stehen jedem offen, auch der Gegenseite. Der Unterschied liegt nicht im Zugang, sondern darin, wer sie regelmäßig gegen den eigenen Bestand hält.
Werkzeuge melden gern alles. Jede Namensähnlichkeit, jeder alte Leak, jede Schwachstelle im Katalog. Wer alles meldet, sagt nichts, und nach zwei Wochen liest niemand mehr mit.
Die Zuständigkeit ist zersplittert. Eine Lookalike-Domain ist gleichzeitig ein Markenthema und ein Phishing-Thema. Liegen beide in verschiedenen Händen, kostet die Abstimmung genau die Tage, auf die es ankommt.
Ohne Dokumentation bleibt nichts übrig. Wird eine Seite abgeschaltet, verschwindet auch der Beweis, dass es sie gab. Für Versicherung, Rechtsverfolgung und interne Nachweise ist das der teuerste Fehler.
Was von außen sichtbar ist
- Abgleich Deiner Domains und Postfächer gegen bekannte Datenleck-Sammlungen, mit Angabe von Quelle und Zeitpunkt
- Beobachtung neuer Domainregistrierungen mit Bezug zu Deinem Namen und dessen Schreibvarianten
- Monitoring von Markennennungen im Web, auf Marktplätzen und in sozialen Netzwerken
- Tagesaktuelles Lagebild aus dem CISA-Katalog aktiv ausgenutzter Schwachstellen, abgeglichen gegen Deinen Bestand
Vom Fund zur Entscheidung
- Bewertung nach tatsächlichem Risiko statt nach Vollmeldung, damit die Liste kurz genug bleibt, um sie zu lesen
- Beweissicherung mit Zeitstempel, damit ein Fall auch nach der Abschaltung belegbar bleibt
- Sofortmaßnahmen im eigenen Netz, also Sperrung in DNS-Filter und Firewall sowie Regeln in den Mailfiltern, unabhängig davon, wie schnell die Gegenseite reagiert
- Klare Zuordnung, wer den nächsten Schritt macht, damit kein Fund zwischen Zuständigkeiten liegen bleibt
Durchsetzung und Nachweis
- Formelle Meldungen an Plattformen, Hoster und Registrare, einschließlich der Melde- und Abhilfeverfahren nach Art. 16 Digital Services Act
- Vorbereitung markenrechtlicher und wettbewerbsrechtlicher Ansprüche gemeinsam mit Deiner Rechtsberatung
- Prüfung eingehender Rechnungen, Dokumente und Geschäftspartner, wenn ein Fund in einen Betrugsversuch mündet
- Dokumentierte Evidenz je Fall, verwertbar für Versicherung, Rechtsverfolgung und interne Nachweise
Jeder Baustein steht für sich und lässt sich einzeln beauftragen. Zusammen ergeben sie das Bild, um das es hier geht.
Statt vier Werkzeugen mit vier Postfächern eine priorisierte Liste, die von oben nach unten abgearbeitet wird
Beobachtung, Sofortmaßnahme und Durchsetzung laufen an einer Stelle zusammen, ohne Übergabe zwischen Werkzeuganbieter und Kanzlei
Ein Fund ist ein Ereignis, ein Muster ist ein Prozess. Wirksam ist die Wiederholung, nicht die Einzelmaßnahme
Digital Risk Protection
Was ist Digital Risk Protection überhaupt?
Der Begriff fasst zusammen, was außerhalb Deines Netzes über Dich passiert und Dir schaden kann. Also geleakte Zugangsdaten, gefälschte Domains und Profile, Missbrauch Deiner Marke, Betrugsversuche gegenüber Deinem Unternehmen und öffentlich bekannte Schwachstellen in Produkten, die bei Dir laufen. Klassische Sicherheitswerkzeuge schauen nach innen. Digital Risk Protection schaut von außen auf Dich, so wie es ein Angreifer tut.
Was macht CAVRIX hier konkret, und was nicht?
Wir beobachten die genannten Quellen laufend, bewerten die Funde, sichern Beweise, setzen Sofortmaßnahmen in Deinem Netz und bei den Mailfiltern und betreiben die Meldeverfahren gegenüber Plattformen, Hostern und Registraren. Was wir nicht tun: Wir greifen nicht selbsttätig in Deine Systeme ein und wir machen keine Angriffssimulationen wie Penetrationstests oder Red Teaming. Wir sagen Dir, was zu tun ist, und übernehmen die Schritte, die vereinbart sind.
Setzt das voraus, dass ich meine IT bei Euch habe?
Nein. Die Beobachtung funktioniert unabhängig davon, wer Deine IT betreibt. Sofortmaßnahmen wie Sperren im DNS-Filter oder Regeln in den Mailfiltern gehen schneller, wenn wir ohnehin die IT betreuen, lassen sich aber genauso an Deinen bestehenden Dienstleister übergeben.
Wie unterscheidet sich das von einem Werkzeug, das ich selbst kaufen kann?
Ein Werkzeug meldet. Es sagt Dir nicht, welche der sechzig Meldungen dieser Woche wirklich zählt, es sichert keine Beweise, und es führt kein Verfahren gegen einen Registrar. Genau dazwischen entsteht der Aufwand, den kaum ein Mittelständler intern trägt. Oberhalb gibt es Plattformen für Konzerne, unterhalb reines Monitoring. Wir besetzen die Mitte.
Bin ich verpflichtet, so etwas zu betreiben?
Eine ausdrückliche gesetzliche Pflicht zur Marktbeobachtung gibt es nicht. Fällt Dein Unternehmen unter NIS2, verlangt die Richtlinie allerdings ein Risikomanagement, das externe Bedrohungen einschließt, und die Geschäftsleitung haftet für dessen Umsetzung. Unabhängig davon ist der praktische Grund der stärkere: Ein Anspruch nutzt wenig, wenn niemand bemerkt hat, dass er entstanden ist.
Wie fangen wir an?
Mit einer Bestandsaufnahme. Wir sehen uns an, welche Deiner Domains und Postfächer bereits in bekannten Leaks auftauchen, welche Lookalike-Domains zu Deinem Namen existieren und ob im Katalog aktiv ausgenutzter Schwachstellen etwas steht, das bei Dir läuft. Das Ergebnis ist eine kurze Liste mit Reihenfolge, keine Präsentation.
Was über Dich draußen steht, weißt Du erst, wenn jemand nachsieht
Wir machen die Bestandsaufnahme und besprechen mit Dir, welche Funde ein Risiko sind und welche nicht. Schreib uns an info@cavrix.de.