Firmen-Logins im Darknet: Wie Du den Diebstahl bemerkst

Der blinde Fleck: Wenn der Angriff nicht über das Netzwerk kommt

Viele Geschäftsführer und IT-Verantwortliche im Mittelstand stellen sich einen Cyberangriff wie einen Einbruch vor. Sie erwarten, dass digitale Vorhänge fallen, Firewalls Alarm schlagen oder Schadcode in die IT-Infrastruktur eindringt. Die Realität moderner Cyberkriminalität sieht jedoch anders aus: Angreifer hacken sich immer seltener über technische Schwachstellen ein, sondern melden sich schlicht mit gültigen Zugangsdaten an. Für Sicherheitssysteme ist dieser Vorgang auf den ersten Blick unverdächtig, da die Anmeldung aussehen kann wie die eines regulären Mitarbeitenden im Homeoffice.

Dieser Modus Operandi macht kompromittierte Zugangsdaten zu einer der gefährlichsten Bedrohungen für mittelständische Unternehmen. Laut dem IBM Cost of a Data Breach Report verursachten gestohlene oder kompromittierte Zugangsdaten 16 Prozent aller untersuchten Datenpannen und bildeten damit den häufigsten initialen Angriffsvektor^[1]. Das größte Risiko liegt dabei in der enormen Verweildauer der Kriminellen im Netzwerk.

Da Anmeldevorgänge mit korrekten Nutzerdaten keine automatischen Sicherheitswarnungen auslösen, vergehen durchschnittlich 292 Tage, bis ein solcher Einbruch identifiziert und eingedämmt wird^[2]. In diesen knapp zehn Monaten haben Angreifer ausreichend Zeit, um Rechte auszuweiten, interne Dokumente zu sichten, Backups zu manipulieren und Angriffe wie Ransomware gründlich vorzubereiten. Selbst traditionelle Antivirensoftware stößt hier an Grenzen, weil die Anmeldungen als legitim eingestuft werden.

• Unauffällige Anmeldung: Die Nutzung gültiger Passwörter erzeugt in Standard-Logfiles keine automatischen Alarmmeldungen.
• Lange Verweildauer: Angreifer verharren oft monatelang im System, um sensible Unternehmensdaten systematisch zu kartieren.
• Umgehung von Sicherheitsnetzwerken: Die Anmeldung erfolgt direkt über reguläre externe Zugänge wie VPNs, Microsoft 365 oder Cloud-Portale.

Infostealer-Malware: Der lautlose Datendieb

Um zu verstehen, wie Unternehmenszugangsdaten im Darknet landen, muss man den Ursprung der Daten betrachten. Eine der primären Quellen ist sogenannte Infostealer-Malware. Dabei handelt es sich um hochspezialisierte Schadsoftware wie RedLine, Lumma oder Raccoon, die darauf ausgelegt ist, unbemerkt Informationen von Endgeräten abzugreifen. Sie gelangt meist über gefälschte Werbeanzeigen in Suchmaschinen (Malvertising), präparierte E-Mail-Anhänge oder den Download von Raubkopien und Nutzsoftware auf Rechner von Mitarbeitenden.

Einmal ausgeführt, benötigt der Infostealer nur wenige Sekunden, um den lokalen Speicher des Webbrowsers, Passwort-Manager und Systemdateien auszulesen. Die Schadsoftware greift systematisch gespeicherte Benutzernamen, Passwörter, Kreditkartendaten, Krypto-Wallets und Autofill-Informationen ab.

Besonders brisant im Mittelstand: Wenn Mitarbeitende vom privaten Rechner aus auf Unternehmensressourcen wie Microsoft 365, Mailserver oder Cloud-Speicher zugreifen, überträgt ein Infostealer auf dem privaten Gerät die geschäftlichen Zugangsdaten direkt an die Angreifer. Die australische Cybersicherheitsbehörde ASD's ACSC warnt in ihrer Veröffentlichung zu Infostealern ausdrücklich davor, dass gestohlene Zugangsdaten Kriminellen einen beschleunigten Zugang zu Unternehmensnetzwerken und Firmensystemen verschaffen, und nennt Organisationen mit Fernzugriff oder privaten Endgeräten (BYOD) als besonders gefährdet^[3]. So gelangen Firmeninterna ins Netz, ohne dass das Unternehmensnetzwerk selbst direkt infiziert werden musste.

Session-Tokens: Die Gefahr trotz Multi-Faktor-Authentifizierung

Viele Geschäftsführer wiegen sich in Sicherheit, weil in ihrem Unternehmen eine Multi-Faktor-Authentifizierung (MFA) für den Login verpflichtet ist. MFA ist zwar ein unverzichtbarer Grundschutz, bietet jedoch keinen vollständigen Schutz gegen moderne Infostealer. Cyberkriminelle haben ihre Werkzeuge weiterentwickelt und zielen heute verstärkt auf sogenannte Session-Tokens und Browser-Cookies ab.

Wenn sich ein Mitarbeiter erfolgreich mit Benutzername, Passwort und zweitem Faktor an einem Cloud-Dienst wie Microsoft 365 anmeldet, stellt der Identity Provider ein Session-Token aus. Dieses Token wird als Cookie im Browser gespeichert, damit der Nutzer nicht bei jedem Seitenaufruf erneut Passwörter und Codes eingeben muss. Ein Infostealer kopiert genau dieses bereits authentifizierte Session-Cookie vom Endgerät und übermittelt es an den Angreifer.

1. Der Mitarbeiter meldet sich regulär mit Passwort und MFA-Code bei einer Cloud-Anwendung an.
2. Der Identitätsanbieter erzeugt ein gültiges Session-Token und speichert es als Cookie im lokalen Browser.
3. Die Infostealer-Malware stiehlt das aktive Session-Cookie unbemerkt vom Endgerät.
4. Der Angreifer importiert das gestohlene Cookie in seinen eigenen Browser.
5. Der Angreifer erhält sofortigen Zugriff auf die Cloud-Anwendung, ohne Passwort oder MFA-Code eingeben zu müssen.

Da das Token die Information enthält, dass die Anmeldung bereits erfolgreich mit MFA bestätigt wurde, fordert das System beim Angreifer keinen zweiten Faktor mehr an. Dieses sogenannte Session Hijacking ermöglicht Kriminellen den direkten Zugriff auf E-Mails, SharePoint-Dateien und Kundendatenbanken.

Drittanbieter-Lecks und das Risiko von Passwort-Recycling

Infostealer auf Endgeräten sind nicht die einzige Quelle für kompromittierte Zugangsdaten. Eine ebenso häufige Ursache sind Sicherheitsvorfälle bei externen Onlinediensten und Plattformen, die von Mitarbeitenden privat oder beruflich genutzt werden. Wenn ein externer Anbieter Opfer einer Datenpanne wird, gelangen oft Millionen von Kombinationen aus E-Mail-Adressen und Passwörtern an die Öffentlichkeit oder in kriminelle Foren.

Das eigentliche Risiko für Dein Unternehmen entsteht durch das weit verbreitete Passwort-Recycling. Verwendet ein Mitarbeiter sein geschäftliches Passwort auch für private Konten bei Online-Shops, Foren oder Fachportalen, wird der Datenverlust beim Drittanbieter unmittelbar zur Sicherheitslücke für Dein Unternehmen.

• Datenleck beim Drittanbieter: Angreifer erbeuten Zugangsdaten aus externen Datenbanken.
• Veröffentlichung der Daten: Das Datenpaket wird in Foren oder Chat-Kanälen geteilt.
• Automatisierte Angriffe (Credential Stuffing): Botnetze testen die Zugangsdaten automatisiert bei Firmendiensten.
• Übernahme des Firmenkontos: Bei identischen Passwörtern gelingt der Login in das Unternehmensnetzwerk.

Beim Credential Stuffing nutzen Cyberkriminelle automatisierte Bots, um erbeutete Zugangslisten im Minutentakt an den Anmeldemasken von Microsoft 365, VPN-Zugängen oder Cloud-Tools auszuprobieren. OWASP beschreibt diese automatisierte Bedrohung als massenhafte Anmeldeversuche, mit denen die Gültigkeit gestohlener Kombinationen aus Benutzername und Passwort geprüft wird^[4]. Selbst eine hohe Passwortkomplexität schützt nicht, wenn das identische Passwort an anderer Stelle entwendet wurde.

Telegram und Darknet: Der industrielle Handel mit Identitäten

Der Diebstahl von Zugangsdaten ist heute kein isoliertes Handwerk mehr, sondern eine hochgradig arbeitsteilige und industrialisierte Schattenwirtschaft. Sobald Infostealer Daten erbeuten oder Drittanbieter-Lecks entstehen, werden die Informationen nicht mehr einzeln verwertet, sondern automatisiert gebündelt und als sogenannte Stealer-Logs weiterverkauft.

Neben klassischen Darknet-Marktplätzen haben sich Plattformen wie Telegram zu zentralen Umschlagplätzen entwickelt. In spezialisierten Kanälen und Chat-Gruppen werden täglich riesige Datenmengen gehandelt oder kostenlos veröffentlich. Ein prägnantes Beispiel zeigt das Ausmaß: Im Juli 2024 wurde ein Datensatz mit 26,1 Millionen eindeutigen E-Mail-Adressen und den dazugehörigen Passwörtern aus Stealer-Logs auf Telegram-Kanälen verbreitet und analysiert^[5].

Durch diese Arbeitsteilung können selbst technisch weniger versierte Kriminelle für wenige Dollar fertige Zugangspakete kaufen. Wenn diese Zugangsdaten nicht proaktiv durch Darknet-Monitoring aufgespürt werden, bleiben sie so lange im Umlauf, bis ein Angreifer das Unternehmen gezielt angreift.

Die finanziellen Konsequenzen für den Mittelstand

Die wirtschaftlichen Folgen von kompromittierten Zugangsdaten werden im Mittelstand häufig unterschätzt. Ein unbemerkter Erstzugang über gestohlene Logins ist in vielen Fällen der Auslöser für verheerende Cyberangriffe, inklusive der Verschlüsselung von Servern durch Ransomware oder dem Abfluss sensibler Geschäftsgeheimnisse.

Laut den Daten des IBM Cost of a Data Breach Report belaufen sich die durchschnittlichen Gesamtkosten einer Datenpanne, die durch kompromittierte Zugangsdaten verursacht wurde, auf 4,81 Millionen US-Dollar^[6]. Diese Kosten setzen sich aus verschiedenen direkten und indirekten Posten zusammen.

• Betriebsunterbrechung: Erheblicher Umsatzausfall durch Stillstand der Produktion und IT-Systeme.
• Forensik und Sanierung: Honorare für externe IT-Sicherheitsexperten und Rechtsberater.
• DSGVO-Bußgelder & Haftung: Strafen der Datenschutzbehörden bei unzureichenden Sicherheitsmaßnahmen.
• Reputationsschaden: Verlust des Vertrauens bei Kunden, Lieferanten und Partnern.

Für viele mittelständische Unternehmen bedroht ein längerer Betriebsstillstand direkt die Existenz. Die Sicherung der digitalen Cyber-Resilienz ist daher längst keine reine IT-Aufgabe mehr, sondern eine zentrale Führungsaufgabe der Geschäftsleitung.

Früherkennung durch kontinuierliches Darknet-Monitoring

Da Angreifer kompromittierte Zugangsdaten wochen- oder monatelang auf Marktplätzen und Telegram-Kanälen handeln, bevor sie aktiv im Unternehmensnetzwerk eingesetzt werden, entsteht ein wertvolles Zeitfenster für die Verteidigung. Unternehmen können es sich nicht mehr leisten, abzuwarten, bis ein Einbruch stattfindet. Die Früherkennung verlangt eine proaktive Überwachung aller Unternehmensdomains und Anmeldedaten im Darknet.

Ein kontinuierliches Darknet-Monitoring durchsucht rund um die Uhr verdeckte Foren, Chat-Kanäle, Paste-Seiten und Datenbank-Leaks nach E-Mail-Adressen, Passwörtern und aktiven Session-Tokens der eigenen Organisation. Sobald geschäftliche Logins auftauchen, schlägt das System sofort Alarm, sodass betroffene Konten gesperrt, Passwörter zurückgesetzt und aktive Sessions beendet werden können, bevor Schaden entsteht.

• Kontinuierliche Überwachung: Automatischer Abgleich von Unternehmensdomains gegen bekannte Leaks und Stealer-Logs.
• Sofortige Alarmierung: Echtzeit-Benachrichtigung bei neu aufgetauchten Zugangsdaten oder Session-Cookies.
• Automatisierte Gegenmaßnahmen: Gezieltes Zurücksetzen von Passwörtern und Erneuerung von Session-Tokens.
• Ganzheitlicher Schutz: Kombination aus Endpunktschutz, Identitätsüberwachung und NIS2-Compliance.

Als autonome Plattform vereint CAVRIX die Bereiche Managed IT, Cybersecurity und Compliance in einer Lösung. Mit integriertem Darknet-Monitoring und 24/7-Überwachung sorgt CAVRIX dafür, dass gefährdete Zugangsdaten im Mittelstand sofort identifiziert und entschärft werden. Über das Command Center behalten Geschäftsführer und IT-Verantwortliche jederzeit den vollen Überblick über ihre Sicherheitslage und schützen ihr Unternehmen wirksam vor unbemerkten Einbrüchen. Über Cybersecurity für den Mittelstand erhalten Unternehmen damit eine lückenlose Sicherheitsarchitektur aus einer Hand.