Wie gestohlene geschäftliche Anmeldedaten im Dark Web landen – und was du dagegen tun kannst

Ein einzelnes gestohlenes Passwort löst nicht sofort Chaos aus. Es wird vielleicht in einer geleakten Datenbank gespeichert oder mit Tausenden anderen Datensätzen gebündelt. Manchmal wird es gehandelt, weiterverkauft, gegen andere Dienste getestet oder Wochen später in einer Phishing-Kampagne eingesetzt, die nichts mit dem ursprünglichen Datenleck zu tun zu haben scheint.

Wenn ein Unternehmen bemerkt, dass eines seiner Konten offengelegt wurde, sind die Anmeldedaten möglicherweise schon durch mehrere Hände gegangen. Genau das macht Anmeldedaten von Unternehmen im Dark Web so schwer zu verwalten. Das Datenleck passiert vielleicht an einer Stelle, die Daten tauchen an einer anderen auf, und der Angriff, der folgt, zielt möglicherweise auf ein völlig anderes System ab.

Wenn diese Anmeldedaten im Dark Web auftauchen, hat das Datenleck bereits irgendwo stattgefunden. Sichtbar wird dort das nächste Risiko: wer die Daten finden kann, wer sie wiederverwenden kann und wie schnell das Unternehmen reagieren kann. Anmeldedaten von Unternehmen im Dark Web sind eine wertvolle Ressource für Cyberkriminelle. Deshalb muss dein Unternehmen vorbereitet sein, falls es von einem Datenleck betroffen ist.

Wie Anmeldedaten von Unternehmen gestohlen werden

Es kann Tage, Wochen oder sogar Monate dauern, bis ein Unternehmen bemerkt, dass Anmeldedaten geleakt wurden. Sie werden vielleicht über eine gefälschte Anmeldeseite abgefangen, von einem infizierten Gerät abgezogen, in einem Datenleck bei einem Lieferanten offengelegt oder aus einem alten privaten Konto wiederverwendet und landen oft auf Dark-Web-Marktplätzen, wo gestohlene Daten in großen Mengen gekauft werden.

Phishing

Phishing-E-Mails sind nach wie vor ein häufiger Weg für den Diebstahl von Anmeldedaten. Ein Mitarbeiter landet vielleicht auf einer Seite, die wie eine bekannte SaaS-Plattform aussieht, öffnet eine Dokumentanfrage, in der er sich anmelden soll, oder folgt einer Nachricht, die von einem vertrauenswürdigen Dienst zu stammen scheint. Sobald die Anmeldedaten eingegeben wurden, kann der Angreifer versuchen, sie sofort zu nutzen oder für später zu speichern. Ein einziger erfolgreicher Phishing-Angriff kann jedes System offenlegen, auf das das gefährdete Konto zugreifen kann.

Ransomware

Andere Leaks sind weniger sichtbar. Bei Ransomware-Vorfällen stehlen Angreifer möglicherweise Dateien, bevor sie Systeme verschlüsseln, darunter Kontolisten, Konfigurationsdateien, Passwörter und Zugriffsprotokolle. Ein Datenleck in der Lieferkette kann Anmeldedaten über einen Lieferanten, Auftragnehmer, Softwareanbieter oder Managed-Service-Partner offenlegen, selbst wenn die eigenen Systeme des Unternehmens nicht der erste Punkt der Gefährdung waren.

Wiederverwendete Passwörter

Wenn Mitarbeiter dasselbe Passwort für private und geschäftliche Konten verwenden, kann ein Datenleck außerhalb des Unternehmens trotzdem zum Geschäftsproblem werden. Angreifer müssen nicht zuerst in das Arbeitssystem eindringen. Sie können bereits geleakte Anmeldedaten bei Dutzenden von Diensten testen und sehen, wo sie noch funktionieren – ein Angriff, der als Credential Stuffing bekannt ist.

Infostealer-Malware

Auch die Geräte von Mitarbeitern können zu einer Quelle der Offenlegung werden. Infostealer-Malware ist darauf ausgelegt, gespeicherte Passwörter, Browser-Sitzungen, Cookies, Daten aus dem automatischen Ausfüllen und andere sensible Informationen von einem Gerät zu sammeln. Wenn dieses Gerät für die Arbeit genutzt wird, selbst nur gelegentlich, kann eine persönliche Gefährdung Angreifern Zugriff auf geschäftliche Konten, Tools oder Kommunikationskanäle verschaffen.

Wenn die Anmeldedaten in einem kriminellen Datensatz oder einer Dark-Web-Quelle auftauchen, ist der ursprüngliche Diebstahl möglicherweise schon Tage, Wochen oder Monate her. Das Unternehmen hat es nicht nur mit einem geleakten Passwort zu tun. Es hat es mit Unsicherheit zu tun: woher die Anmeldedaten stammen, wer sie gesehen hat, ob sie getestet wurden und was sonst noch mit ihnen offengelegt worden sein könnte.

Was passiert, nachdem Anmeldedaten gestohlen wurden

Sobald Anmeldedaten gestohlen wurden, bleiben sie selten an einem Ort. Sie werden vielleicht einem größeren Datenleck-Datensatz hinzugefügt, privat geteilt, in großen Mengen verkauft oder von verschiedenen Gruppen für unterschiedliche Zwecke genutzt. Manche Angreifer wollen direkten Kontozugriff. Andere wollen Listen mit gültigen geschäftlichen E-Mail-Adressen, Passwörtern, Sitzungsdaten oder Administratorkonten, die sie weiterverkaufen können.

Der Wert hängt davon ab, was die Anmeldedaten freischalten:

• Eine einfache Mitarbeiteranmeldung kann bei Phishing oder interner Reconnaissance helfen.
• Ein wiederverwendetes Passwort kann mehrere Konten öffnen.
• Administrator-Anmeldedaten können Zugriff auf Einstellungen, Kundendaten, Abrechnungsinformationen oder die Benutzerverwaltung geben.
• Eine Anmeldung zu einem Finanzkonto kann Zahlungsbetrug ermöglichen.
• SaaS-Anmeldedaten können Dokumente, Nachrichten, Projektdaten oder Kundenakten offenlegen.

Geschäftsdaten im Dark Web werden gefährlich, weil mit ihnen zerstörerische Aktionen möglich sind. Anmeldedaten können ein Konto freischalten, doch selbst Teilinformationen helfen Angreifern zu verstehen, wen sie imitieren, welche Kunden sie anvisieren, welche Finanzprozesse sie nachahmen oder welchen Mitarbeitern sie als Nächstes Druck machen sollten. Was für das Unternehmen wie eine geleakte Datenbank aussieht, kann für jemanden, der Betrug, Phishing, Vishing oder Kontoübernahme vorbereitet, wie eine Reihe von Möglichkeiten aussehen.

In unserem Artikel zur Einführung des Proton Data Breach Observatory⁠ haben wir dargelegt, dass viele Datenlecks nicht in die Nachrichten kommen, was das wahre Ausmaß des Problems verbirgt. Proton hat das Observatory entwickelt, um zu zeigen, wo Geschäftsdaten ins Dark Web gelangen, und um Organisationen zu helfen, neue Risiken aus der realen Offenlegung zu verstehen.

Welche Geschäftsdaten sind im Dark Web am wertvollsten

Die wertvollsten Geschäftsdaten im Dark Web beschränken sich nicht auf Passwörter oder Zahlungsdetails. Angreifer suchen oft nach jeglicher Information, die ihnen hilft, auf Konten zuzugreifen, Mitarbeiter zu imitieren, Kunden anzuvisieren oder zu verstehen, wie ein Unternehmen arbeitet.

Das Data Breach Observatory⁠ von Proton zeigt, wie vielfältig offengelegte Geschäftsdaten sein können – von Namen und E-Mail-Adressen bis hin zu Kontaktdaten, Passwörtern und anderen Datensätzen, die weitere Angriffe ermöglichen können. Selbst Teilinformationen können nützlich werden, wenn sie mit Daten aus anderen Leaks kombiniert werden.

Zu den für Angreifer wertvollsten Geschäftsdaten gehören in der Regel:

• Anmeldedaten: E-Mail-Adressen, Passwörter, Sitzungs-Cookies und Authentifizierungs-Token können Angreifern einen direkten Weg in geschäftliche Konten bieten. Dieses Risiko ist höher, wenn Mitarbeiter Passwörter für mehrere Tools wiederverwenden oder wenn MFA nicht aktiviert ist.
• Mitarbeiterinformationen: Namen, Berufsbezeichnungen, geschäftliche E-Mail-Adressen, Telefonnummern und organisatorische Details können Angreifern helfen, zu erkennen, wen sie anvisieren sollten und wie sie eine Nachricht legitim erscheinen lassen. Diese Daten können Phishing, Identitätsmissbrauch und Versuche, geschäftliche E-Mails zu kompromittieren, unterstützen.
• Kundendaten: Namen, Kontaktdaten, Adressen, Kontoinformationen und Kaufhistorie können für Betrug, Identitätsdiebstahl, Phishing oder Social Engineering genutzt werden. Selbst wenn diese Daten keine Passwörter enthalten, können sie Angreifern helfen, Betrugsmaschen persönlicher und überzeugender zu gestalten.
• Finanz- und Zahlungsinformationen: Rechnungen, Bankdaten, Abrechnungsunterlagen, Steuerdokumente und Zahlungsdaten können Rechnungsbetrug, Betrugsmaschen mit umgeleiteten Zahlungen oder Versuche, Lieferanten und Partner zu imitieren, unterstützen.
• Interne Geschäftsdokumente: Verträge, Lieferantenlisten, Projektdateien, Strategiedokumente und operative Unterlagen bieten möglicherweise keinen unmittelbaren Kontozugriff, können aber verraten, wie das Unternehmen arbeitet, von wem es abhängt und wo Angreifer Schwachstellen finden könnten.

Wiederverwendete Passwörter, geleakte Anmeldedaten und vorhersehbare Kombinationen sind der einfachste Weg in ein Geschäftskonto – kein Exploit nötig, nur eine Liste und Geduld. Doch auch andere offengelegte Daten helfen Angreifern, gezieltere Angriffe aufzubauen. Sobald Geschäftsinformationen im Dark Web auftauchen, besteht das Risiko nicht nur darin, dass ein Konto gefährdet wird. Dieselben Daten können lange nach dem ursprünglichen Datenleck wiederverwendet, kombiniert und ausgenutzt werden.

Was du tun solltest, wenn du die Anmeldedaten deines Unternehmens im Dark Web findest

Für Verluste, die speziell durch Dark-Web-Aktivitäten entstehen, gibt es zwar keine genaue Schätzung, doch sie spielen eine Rolle in einer viel größeren Cyberkriminalitätswirtschaft. Eine wissenschaftliche Übersichtsarbeit, Global Cybercrime Damages: A Baseline for Frontier AI Risk Assessment(neues Fenster), schätzt die weltweiten Schäden durch Cyberkriminalität auf etwa 500 Milliarden US-Dollar pro Jahr, mit einer wahrscheinlichen Spanne zwischen 100 Milliarden und 1 Billion US-Dollar. Dark-Web-Foren und Marktplätze tragen zu diesem Ökosystem bei, indem sie gestohlene Anmeldedaten, persönliche Daten und Geschäftsinformationen leichter handelbar, kombinierbar und wiederverwendbar machen.

Wenn Anmeldedaten von Unternehmen im Dark Web gefunden werden, muss deine oberste Priorität sein, die Wahrscheinlichkeit zu verringern, dass Angreifer sie noch nutzen können. Anmeldedaten, die vor Monaten offengelegt wurden, sind möglicherweise noch gültig, wenn das Passwort nicht geändert wurde, keine Multi-Faktor-Authentifizierung (MFA) eingerichtet ist oder dasselbe Passwort für andere Tools wiederverwendet wurde.

1. Ermittle, welche Konten, Mitarbeiter und Systeme betroffen sein könnten

Setze die offengelegten Passwörter zurück, widerrufe aktive Sitzungen und prüfe, ob dieselben oder ähnliche Passwörter anderswo verwendet wurden. Wenn das Konto mit E-Mail, Dateispeicher, Finanzsystemen, Kundendaten oder Admin-Panels verbunden ist, behandle es als höheres Risiko und überprüfe die letzten Aktivitäten auf verdächtige Anmeldungen, Weiterleitungsregeln, Berechtigungsänderungen oder ungewöhnliche Downloads.

Wenn die offengelegten Anmeldedaten personenbezogene Daten betreffen, prüfe, ob der Vorfall der zuständigen Aufsichtsbehörde gemeldet werden muss – der ICO(neues Fenster) im Vereinigten Königreich oder der nationalen Datenschutzbehörde im jeweiligen EU-Mitgliedstaat. Nach der britischen und der EU-GDPR ist nicht jede Verletzung personenbezogener Daten meldepflichtig, doch Organisationen müssen melden, wenn die Verletzung wahrscheinlich ein Risiko für die Rechte und Freiheiten von Personen darstellt. Die Leitlinie „Verletzung melden“(neues Fenster)⁠ der ICO kann Unternehmen helfen, den Vorfall zu bewerten und das Meldeverfahren zu verstehen.

2. Erzwinge MFA, wo immer möglich

Konzentriere dich vor allem auf Tools, die sensible Geschäftsdaten enthalten, etwa E-Mail, Administratorkonten und Cloud-Plattformen. Wenn MFA bereits aktiviert war, überprüfe die Authentifizierungsmethode und die Wiederherstellungsoptionen, um sicherzustellen, dass Angreifer sie nicht über gefährdete Backup-Codes, schwache Wiederherstellungs-E-Mail-Konten oder Social Engineering umgehen können.

3. Informiere betroffene interne Benutzer

Als Nächstes musst du die betroffenen Teammitglieder informieren und klare Anweisungen geben, was geändert werden muss und worauf zu achten ist. Sobald Anmeldedaten im Dark Web auftauchen, können Angreifer sie für Credential Stuffing, Phishing, Identitätsmissbrauch oder Versuche nutzen, von einem gefährdeten Konto in andere Geschäftssysteme zu gelangen.

4. Überprüfe deine Zugriffskontrollen

Entferne ungenutzte Konten, aktualisiere Berechtigungen, prüfe geteilte Anmeldedaten und stelle sicher, dass Mitarbeiter für jeden geschäftlichen Dienst eindeutige Passwörter verwenden. Ein Passwort-Manager kann Teams helfen, stärkere Passwörter zu generieren, sie sicher zu speichern, Zugriff zu teilen, ohne das Passwort selbst preiszugeben, und Administratoren eine bessere Übersicht über riskantes Passwortverhalten zu geben.

5. Überwache weiter auf weitere Offenlegungen

Überwache schließlich auch weiterhin zukünftige Offenlegungen. Dark-Web-Daten können wieder auftauchen, neu verpackt oder lange nach dem ursprünglichen Datenleck mit anderen Leaks kombiniert werden. Wenn offengelegte Anmeldedaten früh gefunden werden, hat das Unternehmen bessere Chancen, den Zugriff zurückzusetzen, bevor Angreifer geleakte Daten in Kontoübernahme, Betrug oder einen größeren Sicherheitsvorfall verwandeln. Ein Passwort-Manager für Unternehmen wie Proton Pass for Business macht das einfacher, indem er gefährdete Konten identifiziert und Datenleck-Warnungen an einem Ort bereitstellt, sodass Offenlegungen sichtbar werden, ohne dass jemand danach suchen muss.

Wie Pass Monitor hilft, offengelegte Anmeldedaten zu erkennen

Offenlegungen im Dark Web erfolgen oft verzögert und bruchstückhaft. Eine geleakte E-Mail-Adresse taucht vielleicht in einem Datensatz auf, ein Passwort in einem anderen und zugehörige persönliche Informationen an einer dritten Stelle. Die Überwachung hilft, diese Signale früher sichtbar zu machen, bevor offengelegte Anmeldedaten still und leise für Kontoübernahme, Phishing oder Betrug wiederverwendet werden.

Mit einem Passwort-Manager für Unternehmen wie Proton Pass for Business⁠ können Teams Anmeldedaten in verschlüsselten Passwort-Tresoren speichern, eindeutige Passwörter generieren, Anmeldungen automatisch ausfüllen, Zugriff sicher teilen, Passkeys verwalten und die integrierte Zwei-Faktor-Authentifizierung nutzen. Admin-Funktionen wie Richtlinien, Berichte, Protokolle, Gruppenverwaltung, SCIM-Bereitstellung und SSO-Integration helfen, den Zugriff kontrolliert zu halten, während das Unternehmen wächst.

Unser Dark Web-Überwachungstool ist eine Funktion in Proton Pass for Business, mit der du gefährdete Geschäftskonten identifizieren und Datenleck-Warnungen an einem Ort erhalten kannst. Es umfasst die Dark Web-Überwachung, Prüfungen der Passwortsicherheit und Warnungen bei inaktiver 2FA.

Pass Monitor kann Benutzer warnen, wenn persönliche Informationen bei einem Datenleck gefährdet werden, und wiederverwendete oder schwache Passwörter identifizieren. Die Passwortsicherheit schätzt ein, wie lange es dauern würde, ein Passwort zu knacken, sodass ein Team den Unterschied zwischen einem Passwort, das in Sekunden geknackt ist, und einem, das Jahre dauern würde, erkennen kann.

Außerdem hebt es Konten hervor, bei denen 2FA inaktiv ist – eine wichtige zusätzliche Sicherheitsebene und oft der Unterschied zwischen einem geleakten Passwort, das nur ein Ärgernis darstellt, und einem echten Datenleck. Statt abzuwarten, bis du von einem Datenleck erfährst, wenn es zu spät ist, gib deinem Unternehmen die Tools, die es braucht, um sich zu schützen.

Überwache deine geschäftlichen Anmeldedaten im Dark Web mit einem Passwort-Manager für Unternehmen.