Kursieren Zugangsdaten Ihres Unternehmens im Darknet, und funktionieren sie noch?
Darknet Exposure mit Analysten: Wir recherchieren in Leak-Datenbanken, Infostealer-Datensätzen und Darknet-Foren und prüfen Funde gegen Ihre Anmeldedienste wie VPN, Microsoft 365 oder SSO. Wir arbeiten entlang MITRE ATT&CK T1589, T1078 und T1539 und wahren die Datenminimierung nach DSGVO.
Gültige Zugangsdaten, die sich extern erwerben lassen, gehören zu den häufigsten Einstiegswegen bei Cybersecurity-Vorfällen (Verizon DBIR 2026). Sie stammen oft nicht aus einem Einbruch beim Unternehmen selbst. Häufige Quellen sind Infostealer auf privat genutzten Geräten, Leaks fremder Dienste mit wiederverwendeten Passwörtern und Combo-Listen. Infostealer sind Schadsoftwareprogramme, die gespeicherte Passwörter auslesen. Combo-Listen sind Sammlungen geleakter Anmeldedaten. Infostealer-Datensätze enthalten oft auch Session-Cookies, mit denen sich eine bestehende Anmeldung übernehmen lässt, ohne dass die Mehrfaktor-Authentifizierung erneut abgefragt wird.
Viele Funde sind alt oder ungültig. Entscheidend ist, welcher Fund heute noch Zugang verschafft. Deshalb verbinden wir eine analystengestützte Darknet-Recherche mit der aktiven Verifikation gegen Ihre eigenen Anmeldedienste, unter kontrollierten Bedingungen und nur mit Ihrer schriftlichen Freigabe.
Leak-Datenbanken, Credential-Dumps, Infostealer-Datensätze, Darknet-Foren, Paste-Sites und Combo-Listen. Die Recherche ist passiv: kein Zugriff auf fremde Systeme, kein Ankauf rechtswidrig erlangter Daten.
Jeder Fund wird nach Quelle, Zeitpunkt und betroffenem Konto eingeordnet und nach tatsächlichem Risiko bewertet. Ein Treffer in einer Datenbank ist noch kein Befund.
Gefundene Zugangsdaten prüfen wir gegen Ihre extern erreichbaren Anmeldedienste wie VPN, Outlook im Web, Microsoft 365 oder SSO. Ausschließlich gegen Ihre eigenen Systeme und nach schriftlicher Freigabe.
Wir prüfen, ob geleakte Passwörter in Varianten weiterverwendet werden und ob Session-Cookies aus Infostealer-Daten noch gültig sind.
Angebotene Zugänge zu Ihrem Unternehmen, geleakte interne Dokumente und gezielte Erwähnungen in Foren werden erfasst und bewertet.
Die Prüfung Darknet Exposure zeigt, welche Zugangsdaten Ihres Unternehmens in Leaks, Infostealer-Funden und Untergrundforen kursieren und ob sie noch funktionieren. Gedacht ist sie für Unternehmen mit Fernzugängen und Cloud-Diensten; mit Ihrer Freigabe verifizieren wir Funde an Ihren Anmeldediensten, einschließlich gültiger Session-Cookies. Wie weit ein gültiges Konto im Netz führt, zeigt ergänzend der interne Pentest nach dem Assumed-Breach-Prinzip; die Einfallstore selbst prüft ein Test der externen Infrastruktur. Strukturelle Muster wie MFA-Ausnahmen gehen in die Umsetzungsbegleitung.
Wir legen Domains, Marken und die zu prüfenden Anmeldedienste fest. Ihre Datenschutzbeauftragten und bei Bedarf den Betriebsrat binden wir vorab ein.
Passive, analystengestützte Suche in Untergrundquellen und Einordnung jedes Funds.
Kontrollierte Prüfung in abgestimmten Zeitfenstern, unter Berücksichtigung Ihrer Sperrrichtlinien, damit kein Konto den Betrieb blockiert.
Funde mit Quelle, Zeitstempel und Risikoeinstufung. Gültige, aber noch nicht verifizierte Zugangsdaten stufen wir als hoch ein, verifizierte und funktionsfähige als kritisch.
Auf Wunsch wiederholen wir den Scan in einem vereinbarten Takt, etwa im Rahmen von Continuous Security. Kritische Funde melden wir sofort.
Zuerst die technischen Erkenntnisse für Ihr IT-Team, dann der Plan für die Behebung, dann die Zusammenfassung für Ihre Geschäftsführung und auf Wunsch die Bescheinigung für Kunden, Auditoren oder Versicherer. Alles beruht auf denselben Befunden.
Jeder Befund mit Nachweis, Einordnung nach CVSS, Auswirkung und Relevanz für Ihre Umgebung, dazu die Liste der betroffenen Systeme und Geräte. Nachvollziehbar und auf Wunsch in einem Retest überprüfbar.
Ein priorisierter Actionplan mit klaren Verantwortlichkeiten, optional geschärft im Technischen Workshop mit Ihrem Team. Er ist die Grundlage für die Behebung und auf Wunsch begleiten wir die Umsetzung bis zum Retest.
Lage, Risiko und Entscheidungsbedarf auf wenigen Seiten, verständlich ohne technisches Vorwissen. Damit nehmen Sie Geschäftsführung, Gremien und Fachbereiche mit, um das Ergebnis zu vermitteln und Handlungsbedarf aufzuzeigen.
Die Bestätigung der durchgeführten Prüfung, ohne technische Details preiszugeben. Für Kunden, Auditoren, Aufsicht und Ihre Cyberversicherung.
Melden Sie sich bei uns. Im Termin zeigen wir Ihnen an einem anonymisierten Beispiel, wie IT-Sicherheitsreport, Actionplan, technische Ergebnispräsentation und Prüfbescheinigung für Ihre Prüfung aussehen.
„Kurz gesagt: ProSec denkt wie ein Angreifer und handelt wie ein Partner.“
Gordon Shepherd, CISO, Hargassner Ges mbH
Die Leistung zeigt, welche Zugangsdaten im Umlauf sind und ob sie funktionieren. Wie weit ein gültiges Konto führt und wie gut die Einfallstore geschützt sind, prüfen diese Leistungen.
Wenn Funde auf Anmeldedienste verweisen, die niemand zuordnen kann, klärt die Bestandsaufnahme im Attack Surface Management, wem diese Systeme gehören.
Zur LeistungWenn ein verifizierter Zugang funktioniert hat, zeigt der interne Pentest nach dem Assumed-Breach-Prinzip, wie weit ein Angreifer von genau diesem Ausgangspunkt aus im Netz käme.
Zur LeistungWenn die Verifikation Anmeldedienste ohne Mehrfaktor-Authentifizierung aufdeckt, prüft ein Test der externen Infrastruktur diese Einfallstore in der Tiefe.
Zur LeistungWenn Sie wissen möchten, ob Mitarbeitende Zugangsdaten auch direkt an einen Angreifer herausgeben würden, prüft Social Engineering & Phishing diesen zweiten Weg.
Zur LeistungSchildern Sie kurz, worum es geht. Den Zuschnitt erarbeiten wir mit Ihnen im Scoping. Für das Beratungsgespräch müssen
Sie sich nicht vorbereiten, wir führen Sie fachlich Schritt für Schritt. Ausgehend von Ihren Unternehmensabläufen und IT-Systemen ermitteln wir gemeinsam das passende Testkonzept.
Diese Fragen erreichen uns zu dieser Leistung am häufigsten. Was fehlt, klären wir gern persönlich im Beratungsgespräch.
Die Recherche ist passiv, greift nicht auf fremde Systeme zu, und Daten werden nicht angekauft. Wir arbeiten als Auftragsverarbeiter auf Grundlage eines AV-Vertrags. Funde speichern wir nur, soweit sie Ihre Domains betreffen, und nur so lange, wie es für die Bewertung nötig ist. Die aktive Verifikation richtet sich ausschließlich gegen Ihre eigenen Anmeldedienste und erfolgt nur mit Ihrer schriftlichen Freigabe. Weil Funde personenbezogene Daten enthalten, binden wir Ihre Datenschutzbeauftragten und bei Bedarf den Betriebsrat vorab ein und verarbeiten nur, was für die Bewertung nötig ist.
Zeitfenster und Zahl der Versuche stimmen wir mit Ihnen ab und berücksichtigen Ihre Sperrrichtlinien. Ziel ist, die Gültigkeit festzustellen, ohne den Betrieb zu stören.
Ja. Mehrfaktor-Authentifizierung ist selten lückenlos: Altsysteme, Dienstkonten oder einzelne Protokolle bleiben oft ausgenommen, und gestohlene Session-Cookies umgehen sie. Die Verifikation zeigt, wo das in Ihrer Umgebung zutrifft.
Ein Infostealer ist Schadsoftware, die auf einem infizierten Gerät gespeicherte Passwörter, Browser-Sitzungen und Session-Cookies ausliest und an den Angreifer überträgt. Die Datensätze werden anschließend in Untergrundquellen gehandelt. Häufig betroffen sind privat genutzte Geräte, auf denen sich Mitarbeitende auch bei Unternehmensdiensten anmelden.
Automatische Dienste melden Treffer in bekannten Datenbanken, ob ein Zugang noch funktioniert, sagen sie nicht. Wir ordnen jeden Fund im Unternehmenskontext ein und verifizieren ihn gegen Ihre Anmeldedienste. Aus einer langen Trefferliste werden so wenige Befunde, die sofortiges Handeln erfordern.
Wir verarbeiten nur, was für Bewertung und Verifikation nötig ist. Wie Zugangsdaten im Bericht dargestellt, übermittelt, gespeichert und gelöscht werden, legen wir vorab mit Ihnen und Ihrem Datenschutzbeauftragten fest. So bleibt der Bericht aussagekräftig, ohne mehr personenbezogene Daten zu verbreiten als nötig.
Setzen Sie die betroffenen Konten zurück, widerrufen Sie alle aktiven Sitzungen und lassen Sie das Gerät prüfen, bevor es wieder für Unternehmensdienste genutzt wird. Ist es ein privates Gerät, sollte die betroffene Person informiert werden, denn auch ihre privaten Konten sind dann kompromittiert. Wie das kommuniziert wird, stimmen wir mit Ihnen, dem Datenschutzbeauftragten und bei Bedarf dem Betriebsrat ab.
Regelmäßig im vereinbarten Takt, weil laufend neue Datensätze in Umlauf kommen. Kritische Funde melden wir zwischen den Läufen sofort. Einen kürzeren Takt empfehlen wir bei vielen extern erreichbaren Anmeldediensten, vielen Mitarbeitenden mit Fernzugang oder nach einem bekannten Vorfall.
Vor allem von der Zahl der Domains und Marken, der Zahl der Funde und der Anmeldedienste, gegen die wir verifizieren. Die Recherche selbst ist gut planbar. Aufwendiger wird es, wenn viele Funde einzeln eingeordnet und in abgestimmten Zeitfenstern verifiziert werden müssen.
