Darknet Monitoring – TeleTrust Podcast

Herzlich willkommen zurück beim Teletrust Podcast. Mein Name ist Franziska Bock und ich habe bei der heutigen Folge wieder mal zwei sehr spannende Gäste zu dem Thema Darknet Monitoring, Giulia Vaccaro und Thomas Lang. Giulia Vaccaro ist 25 Jahre alt, kommt aus Berlin und ist seit September 2022 Cyber Researcherin bei der Intagia Management Beratung, die Teil der Valenti Group ist.

Im Podcast beleuchtet sie die Seite der Hackerin. Thomas Lang ist geschäftsführender Partner bei der Intagia Management Beratung. Zu seinen Beratungsschwerpunkten gehören neben den Themen IT Security und Compliance unter anderem die Themen IT Strategie, Projekt Governance und Controlling.

Herzlich willkommen, ihr beiden. Danke Franziska, sehr gerne. Schön, hier zu sein vorab.

Erstmal muss ich was richtigstellen. Professionelle Hackerin klingt immer wahnsinnig gefährlich und auch fast illegal. Das bin ich nicht und das habe ich auch nicht gemacht.

Ich habe Angriffe simuliert und genauso durchgeführt, wie Angreifer diese auf Unternehmen durchgeführt hätten. Allerdings nicht, um selber meine Taschen vor mit Geld zu stopfen oder ganz viele Daten zu klauen, sondern weil die Unternehmen mich darum gebeten haben. Ich bin also aus dem Beruf der ethischen Hackerin gekommen und wie das so ist bei allen IT Security Berufen oder allen Berufen in Domänen, die so groß und schnell wachsend sind wie die IT, kann man als Hackerin nicht alles können.

Keiner, der irgendwie Angriffe durchführt oder simuliert, weiß alles und kennt sich mit jedem kleinen Bruchstück des Hackens aus. So habe auch ich mich auf zwei ganz bestimmte Themenbereiche spezialisiert sozusagen, relativ früh schon und das waren einmal Social Engineering und zum anderen Open Source Intelligence. Also das Sammeln, Analysieren und Verwerten von öffentlich verfügbaren Daten.

Mit dem Bereich der Open Source Intelligence habe ich mich dann auf die Suche begeben nach irgendeinem Job, nach einer Position, die diesen nischigen Fachbereich des Hackens irgendwie braucht, in der ich das anwenden kann tagtäglich und bin so auf die Interagent Management Beratung gekommen. Die hatten einen relativ spannenden LinkedIn Post zu einer Rolle, die sie gesucht haben als Cyber Researcherin und da wurde eben gerade der Teil Open Source Intelligence und Wissen über Angreifer immer wieder aufgeführt und das fand ich so spannend, dass ich dem Thomas Lang tatsächlich einfach persönlich eine Nachricht geschrieben habe und wie es danach weiterging und warum ich in diesem Produkt gelandet bin und was wir darüber machen. Ich glaube, da ist Thomas die beste Person, um das zu erklären.

Danke dir, liebe Julia. Natürlich bist du ethische Hackerin, aber zum Einstieg ist das immer ein kleiner Schickerpunkt unter denjenigen, die sich vielleicht noch nicht damit auskennen. Da gehen wir später auch nochmal genauer darauf ein, bevor jetzt Thomas sich vorstellt.

Wollte ich nochmal sagen. Ich weiß das, aber ich finde, das klingt immer ein bisschen spannender, weil viele gar nicht sich vorstellen können, was Hacker eigentlich machen und dass es da auch nochmal eine Differenzierung zwischen Legal Hacker gibt und ethischen Hackern und den kriminellen Hackern. Jetzt aber zu Thomas.

Ja, perfekte Überleitung zu mir. Danke, Julia. Auch von mir herzlich willkommen und danke, dass ich da sein darf.

Qua Alter und schon etwas fortgeschrittener Lebenserfahrung wäre meine Historie möglicherweise etwas zu lang. Die Kurzversion ist, dass ich seit mittlerweile über 25 Jahren in der IT arbeite und dort verschiedene Positionen schon quasi inne hatte aktuell. Das stimmt.

Einer der Partner und Geschäftsführer der Intagia. Und hier als Managementberatung könnte man sich ja fragen, was haben wir mit Hackern zu tun? Warum brauchen wir jemanden wie die Julia? Da kann ich gerichten, dass wir eben Unternehmen helfen, die eine Hackerattacke erlitten haben. Wir machen keine Forensik oder kein Incident Response im klassischen Sinne, sondern wir werden typischerweise von den Unternehmern, den Geschäftsführern, den Vorständen um Hilfe gebeten, wenn es darum geht, das Unternehmen ja sprichwörtlich vom Kopf wieder auf die Füße zu stellen.

Und das ist eine sehr spannende Tätigkeit. Da kann man aber wahrscheinlich eine eigene Podcast Serie zu machen. Wir sind aber aus dieser Tätigkeit heraus immer wieder mit Themen rund um das Darknet konfrontiert worden und haben gesagt, wir müssen da eigene Kompetenzen aufbauen.

Und dann lag ich irgendwann sonntags wirklich auf der Terrasse im Liegestuhl, als mich die persönliche Nachricht von der Julia erreicht hat. Und was soll ich sagen? Neun Tage später war das persönliche Kennenlernen passiert und der Arbeitsvertrag unterschrieben. Und das passt ganz wunderbar.

Danke euch erstmal für die Vorstellung. Und du hast ja jetzt schon gesagt, wir wollen heute ein bisschen näher auf das Thema Darknet Monitoring eingehen. Beim TeleTrust Podcast ist es halt so, wir versuchen jetzt nicht nur die IT-Spezialisten immer abzuholen, sondern auch vielleicht Anfänger, die mit den Begriffen noch gar nicht so hantieren können oder das gar nicht in Bezug setzen können.

Und darum vielleicht jetzt nochmal der Einstieg. Was ist das Darknet eigentlich? Sind das jetzt wirklich nur, wie man sich das bildlich vorstellt, kriminelle und illegale Seiten? Oder gibt es auch legale Darknet-Seiten? Oder wie kann man sich das genau vorstellen? Ich schnappe mir die Frage einfach mal, Thomas, spring gerne rein, wenn du was ergänzen möchtest. Also um das Darknet richtig zu pinpointen und richtig verstehen zu können, müssen wir uns erstmal ganz kurz damit auseinandersetzen, was überhaupt das Internet ist.

Das, was wir in unserem alltäglichen Leben benutzen, wenn wir eine Pizza bestellen möchten und auf Google Pizza in der Nähe eingeben, die 20 Seiten oder 40 Seiten an Ergebnissen, das ist das Clearnet. Das ist der Teil vom Internet, der super erreichbar für uns ist und das auch sein möchte, den wir über Suchmaschinen finden, der uns sagt, wo er ist.

Das Clearnet macht tatsächlich, und das ist eine total schockierende Nummer, finde ich, nur 4 Prozent des ganzen Internets aus.

Dem gegenüber gestellt haben wir das Darknet und das Deep Web. Da sind die Differenzierungen ein bisschen schwammig stellenweise. Das Darknet ist ganz einfach zu differenzieren darüber, dass man es nicht mit einem normalen Browser erreichen kann.

Wenn ich ins Darknet möchte, kann ich nicht Google Chrome und Co. verwenden, ich brauche einen Core-Browser oder eine Alternative derart. Das Darknet machen, um bei den Zahlen zu bleiben, 6 Prozent des Internets aus.

Alles andere ist das sogenannte Deep Web, also die Sachen, die zwar da sind und über einen normalen Browser zu erreichen sind, aber eben nicht für jeden und eben nicht einfach so öffentlich. Datenbanken, alles, was hinter einer Paywall ist, hinter Logins und Co., das ist der Bereich des Deep Webs. Im Darknet gibt es verschiedene Technologien, das wäre auch eine eigene Folge, also gehe ich da jetzt nicht darauf ein, die die Privatsphäre und Anonymität der Nutzer schützen.

Das heißt, im Darknet finden wir alles, was nicht auf Personen zurückzuführen sein sollte. Das sind zum einen natürlich cyberkriminelle Aktivitäten und Marktplätze, aber zum Beispiel auch JournalistInnen nutzen das Darknet in vielen, vielen Ländern, in denen die Pressefreiheit nicht so weit ist, wie sie sein sollte oder wie sie gerne hätten, um sicher, anonym und privat Daten auszutauschen und Sachen zu verbreiten, Informationen zu verbreiten. Du bist ja jetzt schon ein bisschen darauf eingegangen, welche Arten von Informationen und Daten im Darknet es überhaupt gibt.

Kurze Zwischenfrage, du hast jetzt gesagt, es gibt zum Beispiel auch Journalisten, die das Darknet nutzen, in Ländern, wo vielleicht die Pressefreiheit nicht ganz so vertreten ist. Wie kommen sie denn daran? Du sagst, man kann jetzt nicht über Google Chrome oder Firefox das Ganze verwenden, das ist klar, aber wie kann ich jetzt, wenn ich jetzt zum Beispiel entscheide, morgen muss ich was recherchieren, ich möchte dafür das Darknet nutzen, wie kann ich da den Einstieg finden? Also das Darknet unterscheidet sich vom Keynet vor allem in einer Sache, es ist nicht besonders nutzerfreundlich. Also ich kann als jede Person mir morgen den Tor-Browser oder eine der etwaigen Alternativen des Tor-Browsers runterladen und dann ins Darknet gehen.

Was es im Darknet nicht gibt, ist sowas Schönes wie eine Suchmaschine. Das heißt, es gibt Möglichkeiten und bestimmte Listen, die irgendwie die Gesamtheit oder probieren, die Gesamtheit annähernd der Darknet-Seiten zu listen. Es gibt aber keinen Index, so wie wir ihn im Keynet haben.

Das heißt, du musst genau wissen, wo du hin möchtest und du musst auf deinem Weg auch ziemlich genau aufpassen, weil sich natürlich Hacker und andere Kriminelle, die das Darknet nutzen, auch sehr bewusst darüber sind, wie interessant das Darknet für Nicht-Hacker und den Otto-Normalverbraucher sein kann. Sodass Pfeilen links und rechts warten. Wenn du das für journalistische Zwecke nutzen möchtest, kannst du vorher im Keynet wahrscheinlich einige Recherchen anstellen, kannst dir genau die Seiten, die Links, die sehen nämlich im Darknet auch nicht so schön aus, wie sie im Keynet meistens aussehen.

Statt einem google.com hat man im Darknet einen sehr, sehr, sehr langen, teilweise zufällig gestalteten Link, der mit einem Punkt onion endet. So erkennen wir in den meisten Fällen Darknet-Links. Wenn du diesen Link hast und genau weißt, wo du hin möchtest, ist es aber ein leichtes, den Tor-Browser runterzuladen, den Link einzugeben und auf Enter zu drücken.

Und im Darknet, da stellt man sich immer ein bisschen abstrakter vor, als es eigentlich ist, gibt es auch ein Facebook. Es gibt auch ein Instagram. Es sieht auch genauso aus.

Nicht alle Seiten im Darknet sind hochtechnisch und haben grüne Schrift auf schwarz. Die sehen aus wie Marktplätze. Es gibt Bewertungssysteme, es gibt Bilder, es gibt Kommentare.

Also das Darknet ist nicht so abstrakt, wie man denkt. Es ist nur versteckter, als man meinen würde. Das ist schon mal sehr gut erklärt.

Vielen Dank fürs Abholen dort. Ich denke, da konnten wir jetzt schon die ersten Zuhörer etwas aufklären. Eine letzte Frage habe ich noch ein bisschen, die bezüglich des Darknet geht.

Du hast ja jetzt gerade gesagt, es gibt dort auch Seiten, die wie Facebook oder das Facebook und Instagram sind. Und es ist nicht nur alles illegal. Aber wenn wir jetzt mal auf die illegale Seite schauen, welche Seiten werden denn überwacht? Im Darknet Monitoring, meinst du, also in unserem Produkt? Genau.

Wir überwachen tatsächlich eine Vielzahl, die so hoch ist, dass ich die gesamten genauen Zahlen gerade gar nicht nennen kann. Zum Beispiel überwachen wir alle Leakseiten oder Blogs von bekannten Angreifergruppen. Elfie, Black Cat, Blockbit, die Namen, die man immer wieder auch in den Medien hört.

Die haben alle eigene Webseiten im Darknet, meistens mehrere sogar. Meistens haben diese Angreifergruppen einen Blog, eine Seite zum Leaken von Daten von Unternehmen, die sie bereits gehackt haben. Supportseiten, 24-7-Support haben die meisten Angreifergruppen auch.

Alleine wenn wir auf diese Webseiten von professionalisierten Angreifergruppen, von professionalisierten Bedrohungsakteuren schauen, haben wir da an die 200, die wir überwachen. Hinzu kommen Darknet-Foren, die gut bekannt sind, Russian Market, Too Easy. Auch da kommen wir auf so eine hohe Zahl, dass ich sie hier nicht aufzählen könnte.

Das Spannende und Wichtige daran ist, wir wissen nicht, ob wir alles vom Darknet kennen. Das weiß niemand. Ob diese sechs Prozent, die ich am Anfang genannt habe, auch wirklich zutreffend sind, kann auch niemand beantworten, weil es eben diesen Index nicht gibt.

Es gibt nirgendwo eine Liste, die mir sagt, das ist das Darknet und das ist die Gesamtheit des Darknets. Also viele Teile des Darknet Monitorings und der Recherche, die wir betreiben, inkludieren auch, neue Seiten zu finden, uns manuell in den Foren umzuschauen, um Verlinkungen auf andere Foren, um Hinweise auf andere Orte zu finden und die Liste dauerhaft zu erweitern. Das heißt, stand jetzt sind es, die eine Zahl, die ich dir annähernd aus dem Kopf sagen kann, um die 200 Seiten von professionalisierten Bedrohungsakteuren plus viele, viele, viele Foren, die aber auch immer wieder wechseln.

Foren werden dichtgemacht, neue machen auf, sie ziehen um. Es ist also sehr viel Bewegung drin und eine aktuelle genaue Zahl kann dir da, glaube ich, keiner geben. Leider.

Thomas, du bist ja jetzt nun schon länger in der Branche unterwegs und bist ja auch der Kopf dahinter oder einer der Köpfe dahinter. Wie bist du auf diese Idee gekommen, dass du oder dass ihr euch jetzt mit Darknet Monitoring beschäftigen wollt und dass das so wichtig ist und vonnöten? Naja, ich glaube, wenn du in den letzten Jahren und Monaten die Zeitung aufschlägst, dann sieht man mindestens einmal in der Woche, oft auch häufiger, Hinweise oder Artikel darüber, dass ein deutsches Unternehmen gehackt wurde und lahmgelegt wurde. Und wann immer das in der Zeitung steht, ist es ja zu spät.

Dann waren die Angreifer ja da, die Auswirkungen sind passiert. Das Unternehmen muss sehen, wie es wieder auf die Füße kommt, wie ich eben schon beschrieben habe. Und wir haben uns natürlich gefragt, wie kann man das denn verhindern? Natürlich kann man über IT-Sicherheit sprechen und man kann über User-Awareness sprechen und man kann über organisatorische und technische Maßnahmen sprechen und man wird dazu kommen, dass man nie zu 100% sicher sein wird.

Das stimmt. Man kann aber auch dazu kommen, dass man sagt, okay, wie organisieren sich diese Angreifer eigentlich? Wie agieren die? Wie gehen die vor? Was ist denn deren Hintergrund? Und dann stellt man fest, der Grund, warum die das tun, ist, die wollen Geld verdienen. In der Regel jedenfalls.

Also es gibt natürlich auch staatliche Hacker oder die, die von Staaten gesponsert werden. Da ist vielleicht nochmal eine ganz eigene Geschichte. Aber grundsätzlich wollen die Geld verdienen.

Das heißt, wenn man sich anschaut, wie Angreifer arbeiten und man stellt fest, dass die arbeitsteilig arbeiten und man guckt, wie die agieren, dann stellt man fest, naja, die können eben nicht nach Frankfurt auf eine Messe fahren und können die tollsten neuen Hacker-Tools vorstellen, sondern die Messe, die die besuchen, bildlich gesprochen, das ist eben ein Marktplatz im Darknet. Und dann haben wir uns gefragt, warum sollte man denn nicht auf dem Marktplatz im Darknet nachschauen, ob etwas angeboten wird, das für mich, für mein Unternehmen relevant ist. Und genau so sind wir darauf gekommen, zu sagen, wir müssen uns damit beschäftigen, weil die Angreifer tun es auch und sie tun es in einem Raum, der irgendwie nicht ganz illegal ist, das hat die Julia ja erklärt, vielleicht nicht ganz so schön durchsuchbar ist.

Deswegen versuchen wir, das Katz-und-Maus-Spiel weiterzutreiben und versuchen, mit den Angreifern auf Augenhöhe zu bleiben, um sie mit ihren eigenen Waffen zu schlagen. Darum geht es eigentlich. Und wie werden dann potenzielle Bedrohungen und Risiken im Darknet identifiziert und bewertet? Wir haben ja eben schon gelernt, dass nicht alles nur schlecht ist, dass es auch viele Sachen dort gibt, die gar nicht jetzt nur eine Bedrohung darstellen.

Aber wie genau können jetzt die Bedrohungen wirklich identifiziert werden und rausgezogen werden und als Bedrohung dargestellt werden? Thomas hat gerade schon die Arbeitsteiligkeit der Hacker erwähnt. Es ist tatsächlich nicht mehr so, wie man das vielleicht aus Hollywood kennt oder noch aus dem Anfang der 90er Jahre sich vorstellt, dass Angreifer einzelne saure Personen in dunklen Kellern mit Ski-Masken und Handschuhen sind. Wir

haben heutzutage nicht mit einer einzelnen Person zu tun, die vielleicht total böse auf das Unternehmen ist.

In den allermeisten Fällen sind es professionalisierte Bedrohungsakteure mit einer Supply Chain. Die arbeiten zusammen, die sind arbeitsteilig unterwegs. Ich habe es auch am Anfang schon erwähnt.

Dieses Thema IT-Security-Hacking ist so exorbitant groß, das kann niemand alles können. Also gibt es Berufsgruppen, auch innerhalb der Cyberkriminellen, Berufsgruppen, die sich formen, Experten für Teilbereiche eines Angriffes, die entstehen. Und die müssen miteinander reden, die müssen kommunizieren.

Von dem einen Schritt in den nächsten braucht es irgendeine Art von Kommunikation. Und in vielen Fällen ist die eben halb öffentlich nachverfolgbar, dadurch, dass die in kriminellen Foren passiert. Foren, in denen man sich auch anmelden kann, die man mitlesen kann.

Das schönste Beispiel, das wir haben und auch eines der relevantesten Beispiele, sind immer die Initial Access Broker. Initial Access Broker ist eine Berufsgruppe innerhalb der Cyberkriminellen. Und wir beschreiben die total gerne als so etwas wie einen illegalen Immobilienmakler.

Initial Access Broker wollen auch Geld verdienen, gehen dabei aber quantitativ vor. Das heißt, diese starten Phishing-Kampagnen im großen Maß mit vielen, vielen, vielen hunderttausend an Empfängern oder Google-Apps-Kampagnen mit Chart-Software, die über Werbung verbreitet wird. Die schauen dabei nicht genau auf die Opfer oder auf die Häuser der Opfer, um bei der Immobilienmakler-Metapher zu bleiben, sondern schauen nur, dass sie möglichst viele Schlüssel bekommen.

Diese werden dann quantitativ, teilautomatisiert in diesen Darknet-Foren hochgeladen. Das heißt, wir haben Initial Access Broker, die jeden Tag tausende von Zugängen, von Schlüsseln posten, ohne dabei einmal diese Türen überhaupt zu öffnen und zu gucken, was dahinter liegt, wie wertvoll die Einrichtung ist. Meistens werden die Schlüssel auch für 10 Dollar verkauft in diesen Foren.

Wir haben also schon über unsere Analysen Zugänge, Schlüssel zu kritischen Assets in Unternehmen, Terminal-Servern, VPN-Zugriffen und Co. identifizieren können, die noch nicht genutzt wurden, die noch nicht verkauft wurden. In vielen Fällen braucht es eben auch Zeit für den Angreifer, diese Schlüssel an den Mann zu bringen, diese zu verkaufen.

Und da unterscheidet sich ein Verkäufer im Darknet nicht von einem Verkäufer auf dem freien Markt, den wir kennen. Er braucht eine Marke, er braucht Bewertungen, er braucht Vertrauen von seinen Käufern. Und so wird kommuniziert und nicht wenig.

Das heißt, es ist ein Use Case. Es gibt noch viele weitere Use Cases, aber einmal können wir zum Beispiel mitverfolgen, wenn Schlüsselzugänge zu Infrastrukturen von Unternehmen verkauft werden, bevor diese überhaupt genutzt wurden, um einen Angriff mit schlimmen Folgen, schlimmen finanziellen Folgen durchzuführen und können da dem Unternehmen Bescheid geben, die Türen zu schließen und die Schlösser zu ändern, bevor der Schlüssel, der im Darknet schon rumfliegt, verwendet werden kann. Die gute Nachricht dabei ist, es ist

nicht immer nur erst zu erkennen, wenn schon ein Unheil geschehen ist, wenn schon Leute ihr Geld verloren haben, sondern man kann auch ein bisschen vorsorglich arbeiten und schauen, dass man die Verbrecher stoppt oder das Problem aufdeckt, bevor etwas geschehen ist.

Definitiv. Und das wäre nur ein Beispiel, wie das zu tun wäre. Aber natürlich ist unser ganzes Produkt darauf ausgelegt, diese Indikatoren und Indikatoren dieser Art frühzeitig zu erkennen und Medikationsmaßnahmen zu formulieren, an den Kunden weiterzugeben, bevor es Schaden gab.

Jetzt sind wir ja in einer Zeit, wo die künstliche Intelligenz, Chat-GBT, maschinelles Lernen, was auch immer eine größere Rolle spielt in der heutigen Zeit. Spielt es auch schon im Darknet-Monitoring eine Rolle oder in welcher Verbindung tauchen jetzt die künstliche Intelligenz auch im Darknet-Monitoring immer wieder auf? Also ich glaube, da gibt es noch keine ganz konkrete Antwort jetzt für den Moment drauf, sondern eher der allgemeine Blick. Was wir im Moment sehen, ist, dass es, glaube ich, keinen Bereich gibt, in dem KI oder maschinelles Lernen keine Rolle spielt.

Und es wäre sehr naiv zu glauben, dass die Angreifer da an irgendeiner Stelle hinterher wären. Vielleicht sind die sogar den einen oder anderen Schritt vorne dran, weil die müssen ja im Zweifel nicht so auf Qualitätssicherung achten. Das heißt, wir erleben schon und wir lesen auch jeden Tag, dass es hier neue Bedrohungen und neue Modelle gibt, die angewandt werden.

Aber wir haben Stand heute kein konkretes Beispiel, wo wir sagen können, genau da und da findet machine learning schon statt, sondern es ist eher der allgemeine Trend, den wir hier beobachten und der sicherlich in den nächsten Tagen und Monaten Auswirkungen hat. Und Julia, vielleicht hast du da noch den einen oder anderen Einblick mehr. Angreifer benutzen KI, machine learning und alles drumherum natürlich nicht erst seit gestern, sondern auch genauso lange, wie wir das auch machen.

Und damit macht es Angriffe vielleicht nicht. Es erschafft keine neuen Vektoren, aber es unterstützt bei quantitativen Angriffen, es unterstützt bei Effizienz, Produktivität. Nehmen wir Phishing-Mails mal daher.

Eine Phishing-Mail zu schreiben, die an 200.000 Leute geht, nur quantitativ, ist schnell gemacht. Eine gute, eher in Richtung Spearfishing-Mail, die also gezielt auf bestimmte Personengruppen, auf bestimmte Personen in ihrer Muttersprache mit einem guten Kontext formuliert wird, ist nicht so schnell geschrieben. Und wenn man da einen Opferkreis von 200.000 Leuten hat, dann tippt man sich die Finger als Angreifer schnell wund.

KI kann sowas natürlich unterstützen. Wenn ich eine KI mit den Informationen anfütter und trainiere, dass ich sage, diese Sprachen muss sie sprechen, fehlerfrei, wie ein Muttersprachler. Diese Informationen muss sie berücksichtigen.

Personengruppen, Alter, Arbeitsdomäne und Co, Interessen, Persönlichinteressen, kann ein Angreifer das auch schon sehr automatisiert machen. Und Thomas hat es vorhin erwähnt, wir leben in einem ewigen Katz-und-Maus-Spiel. Die Angreifer sind dabei, KI zu nutzen, um uns anzugreifen.

Natürlich ist der Gedanke, KI zur Verteidigung zu nutzen, um Muster zu erkennen, um große Datenmengen zu sortieren, Modelle zu trainieren, super, super, super relevant. Wir sind Stand jetzt noch nicht an dem Punkt, wo wir genug Daten haben, um diese Modelle zu trainieren, werden aber natürlich darauf hinarbeiten, dass Mustererkennung und Co zukünftig auch viel KI-basierter und getriebener funktionieren kann. Wir haben es angedeutet, welche Risiken entstehen können für Unternehmen und auch Einzelpersonen natürlich.

Aber auf der anderen Seite gibt es ja wahrscheinlich auch Unternehmen oder Organisationen, die von Darknet-Monitoring profitieren und die dadurch ihre Sicherheitsmaßnahmen verbessern können. Könnt ihr vielleicht da nochmal genauer drauf eingehen? Vielleicht fängt man mal damit an, dass das Thema jetzt, und das ist ja auch der Grund, warum wir den Podcast heute aufnehmen, für uns relativ neu erscheint, aber eigentlich gar nicht so neu ist. Ich glaube, das älteste Buch, das ich zu dem Thema gefunden habe, ist schon aus 2016.

Also vor sieben Jahren geschrieben worden. Und wenn ich es richtig im Kopf habe, dann gibt es auch zumindest einen Untertitel, der sinngemäß lautet, warum es sich für Unternehmen lohnt, im Darknet nach Informationen zu suchen. Das war also schon vor sieben Jahren eine gute Idee, nämlich nur weil ich nicht weiß, dass irgendwo schlecht über mich gesprochen wird, heißt ja nicht, dass nicht irgendwo schlecht über mich gesprochen wird.

Und das Gute, das ist ein bisschen wie bei Konuno. Also wenn ich als Firma eine gute Konuno-Bewertung habe, dann kommt es daher, dass ich mit meinen Mitarbeitern gut umgehe. Und dann kann ich auch auf meine Konuno-Seite gehen und kann kommentieren und kann gucken, was schreiben denn Mitarbeiter.

Und wenn da was Schlechtes geschrieben wird, dann kann ich vielleicht auch reagieren, kann sagen, ja Mist, der hatte vielleicht recht. Ja, also nur weil ich nicht aktiv mit der Konuno-Bewertung arbeite, heißt es ja nicht, dass sie nicht da ist. Und genau so ist es im Darknet eigentlich auch.

Wir Unternehmen, die Unternehmer sollten dorthin schauen. Und bisher war das ein relativ exklusives, weil sehr teures und aufwendiges Vergnügen, für Unternehmen, die das von Hand und selbst und alleine machen wollten. Die brauchten also nicht nur eine Julia, sondern nach Möglichkeit mehrere.

Und dann braucht man noch ein bisschen Technologie drumherum. Und dann kommt man schnell auf viele hunderttausend Euro Kosten im Jahr. Und der Grund, warum wir jetzt darüber sprechen, ist ja, dass sich die Technologien weiterentwickelt haben und es die Möglichkeit gibt, sowas auch als Service einzukaufen und nicht jedes Unternehmen, nicht jeder Mittelständler eine eigene Darknet-Monitoring-Abteilung aufbauen muss, sondern man sich auch hier die Arbeitsteilung zunutze machen kann und eben diese Serviceleistungen einkaufen kann, um vielleicht auch erstmals für ein Unternehmen in Deutschland oder in Europa, das nicht ein Weltkonzern ist, vielleicht noch nicht ein Weltkonzern ist, auch zu schauen, ob und was im Darknet geschrieben wird und um darauf zu reagieren.

Und konkret, Julia hat es erwähnt, Zugangsdaten, der Verlust von Daten, weil ein Mitarbeiter irgendwo ein USB-Stick, sein Handy, ein Notebook verloren hat. Und die Daten in falsche Hände gelangen und die Daten dann irgendwo auftauchen, weil alles, was von Interesse ist, alles, was ich zu Geld machen kann, wird möglicherweise bei eBay-Kleinanzeigen angeboten. Und wenn ich den Eindruck habe, dass das, was ich zu verkaufen habe, vielleicht nicht ganz legal verkaufbar ist, dann biete ich es eben im Darknet an.

Und das ist quasi so ein bisschen der Hintergrund aus einer jetzt sehr untechnischen Perspektive, warum es sich lohnt, im Darknet nach solchen Informationen zu suchen. Ergänzend dazu, wir hören immer wieder Ja, aber wir sind doch so klein. Wir sind doch so unbedeutend.

Wir sind doch in Industrie XY. Wer sollte uns denn angreifen? Es ist ein absoluter Trugschluss, dass jeder Hack, jeder, von dem wir in den Zeitungen lesen, gezielt auf das Unternehmen abgeschnitten durchgeführt wurde. Oft ist, weil die Motivation in vielen Fällen keine politische, sondern eine finanzielle Motivation ist, dem Angreifer oder den Angreifern völlig egal, welches Unternehmen dahinterhängt.

Solange die böse Geld bezahlen können oder irgendeinen anderen finanziellen Wert schaffen und Daten, die man klaut, personenbezogene Daten, lassen sich immer auch verkaufen, ganz egal, woher diese Daten stammen. Jedes Unternehmen hat gleichermaßen, vielleicht ein paar Unternehmen ein höheres, aber das Risiko besteht für jedes Unternehmen, egal in welcher Industrie, angegriffen zu werden, solange Geld damit gemacht werden kann. Und das trifft eigentlich auf alle Unternehmen zu.

Das habe ich jetzt auch durch die bisherigen Podcast-Folgen gelernt. Das kam bei vielen Themen jetzt häufiger schon zur Ansprache, dass gesagt worden ist, egal welche Branche, egal welches Unternehmen, egal ob groß oder klein. Aber der Irrglaube bei vielen kleineren Unternehmen ist eben noch, dass sie denken, wir sind zu irrelevant und wir werden nicht angegriffen.

Und daher investieren sie nicht in Sicherheitsmaßnahmen. Und manchmal sind die Angreifer ja auch ein bisschen blauäugig. Also wir hatten letztes Jahr ein Unternehmen, das angegriffen wurde, ein Familienunternehmen, ganz klassisch 600 Mitarbeiter, denen es aber leider finanziell nicht ganz gut ging.

Und die Angreifer hätten ja die Möglichkeit gehabt, weil sie Zugriff auf alle Daten hatten, mal in den Jahresabschluss zu gucken und hätten feststellen können, dass es diesem Unternehmen nicht gut ging und dass da nichts zu holen ist. Und das Unternehmen ist dann auch einige Wochen nach dem Cyber-Vorfall leider in die Insolvenz gegangen, weil das zwar nicht durch den Cyber-Vorfall ausgelöst wurde, aber wie so oft ist es dann der eine Tropfen, der das Fass zum Überlaufen bringt. Und zur schlechten Marktsituation, zur Problem mit den Lieferketten, zu Corona und so weiter, kamen dann auch noch diese dämlichen Hacker, die an der Stelle leider schlechten Research gemacht haben und ein Unternehmen angegriffen haben, das schon auf dem Boden lag.

Und das war an der Stelle nicht schlau und noch nicht mal das schützt. Also vor einem Hackerangriff. Okay, also jeder sollte sich vor einer Bedrohung schützen.

Und ich habe noch eine Frage in Bezug auf die Bedrohung. Die Frage wirkt erst mal so ein bisschen plakativ, weil es doch eine tiefergehende Frage eigentlich ist, als sie ja auf den ersten Blick scheint. Aber ich merke immer, je nach Branche oder je nach Sparte in der IT-Security wird sie auch immer anders beantwortet.

Und da ihr ja jetzt heute hier seid und wir so viel schon über Darknet Monitoring gesprochen haben, würde ich mich freuen, wenn ich mal euren Blick auf die Frage bekommen würde, nämlich wie können sich jetzt die Unternehmen vor Angriffen denn schützen? Was können sie als erstes machen oder wo sollte man ansetzen? Also wenn ich mal ganz allgemein sprechen soll, dann zeichne ich zu dem Thema gerne ein Bild, eine Metapher von einem Haus. Die Informationssicherheit und IT-Sicherheit ist für mich bildlich mit einem Haus oder einem Grundstück und dem Zaun drumherum. Und was wir ganz oft erleben, ist, das Unternehmen auf der Vorderseite des Gebäudes von der Straße gut zu erreichen, mit einem schönen Hoftor, alles schön angestrichen und nachts auch hell erleuchtet.

Versuchen, alles gut im Griff zu haben, damit auch der Nachbar sieht, hier ist ordentlicher deutscher Mittelstand. Ja, da wird das Gras gemäht und die Straße limpiert und da ist alles in Ordnung. Die Probleme entstehen aber meistens nicht dort, wo man gut erleuchtet oder hell erleuchtet und alles im Griff hat, sondern die Probleme stehen auf der Rückseite, wo man vielleicht feststellt, hoch, da ist der Zaun ja gar nicht fünf Meter hoch, da ist ja noch nicht mal ein Fundament oder noch nicht mal eine Hecke gepflanzt.

Und die Frage, wo kommt denn der Angreifer dann rein? Wahrscheinlich nicht vorne, wo der Nachbar schon direkt sehen kann, dass jemand kommt, sondern auf der Rückseite aus dem Wald und eben über den nicht vorhandenen Zaun. Was will ich damit sagen? Informations- und IT-Sicherheit hat super viele Aspekte. Natürlich hat das was mit Technologie zu tun.

Natürlich hat das was mit Firewall zu tun und mit Endpoint Protection. Und das hat was mit der Frage zu tun, wie stelle ich meine und wie konfiguriere ich meine IT-Systeme. Aber das hat auch was damit zu tun, wie ordentlich gehe ich damit um? Wenn ich Ordnung bei mir zu Hause in der Wohnung haben will, dann muss ich aufräumen.

Wenn ich sichere IT-Systeme haben will, dann muss ich wissen, welche IT-Systeme habe ich denn? Wir erleben immer wieder Unternehmen, die haben überhaupt gar keine Ahnung, wie viele Computer sie haben, wie viele Netzwerkgeräte.

Sie haben auch keine Ahnung, wie viele IT-Administratoren Sie haben oder jedenfalls wie viele Konten es dafür gibt und das ist nur ein Aspekt. Der nächste Aspekt ist dann, um also quasi die andere Seite des Hauses zu beleuchten, viele Unternehmen, viele Fachbereiche vermitteln uns jedenfalls den Eindruck, dass sie mit Informationssicherheit ja nichts zu tun haben. Das macht die IT, aber es geht doch um den Geschäftsprozess, der laufen muss, das Lager, das arbeiten muss oder der Laden, der aufgeschlossen werden muss.

Das hat doch erstmal gar nichts mit IT zu tun und deswegen gibt es Disziplinen wie Business Continuity Management, in denen schon im Titel das Wort IT gar nicht vorkommt. User

Awareness wäre eine weitere Geschichte, ein weiterer Aspekt, über den wir reden sollten. Wir müssen uns trainieren, wir müssen unsere Mitarbeiter trainieren, auch uns selbst.

Wir sehen Phishing-Mails, die so gut sind, dass ich selbst dreimal drüber nachdenken muss und ich mich auch nicht ausnehmen könnte, dass es mir nie passieren könnte, auf einen Link zu klicken. Und so gibt es eben ganz viele Elemente und Bausteine, ein bisschen wie Lego, die ich zusammenbauen muss, um einen ordentlichen Zaun um mein Gebäude zu bekommen. Und ein zunehmend wichtiger Aspekt dabei ist dann eben auch die Überwachung des Darknets zum Beispiel.

Jetzt ist die Rückseite des Hauses leider nicht durch den Zaun geschützt und die Angreifer sind schon ins Gebäude vorgedrungen. Wenn es dann irgendwann bemerkt wird, ist es ja, glaube ich, auch ein Punkt, dass es häufig erst viel später bemerkt wird und nicht gleich zu Anfang. Was kann jetzt ein Unternehmen machen, sobald sie bemerkt haben, dass es dort ein Risiko gibt oder ein Datenleck oder dass sie angegriffen worden sind? Was kann man dann direkt tun? Was ist die Feuerwehr anrufen, so nach dem Motto? Thomas anrufen.

Es kommt natürlich immer ein bisschen darauf an, was konkret gerade schon passiert ist. Aber ich will mal ein Beispiel machen. Wir haben ein Unternehmen, das wir kennen.

Die hatten 90 Mitarbeiter in der IT und irgendwann hat man sich dazu aufgemacht, aufzuräumen, was ich eben als Beispiel ja schon hatte. Denn man hat auch festgestellt, dass es sogenannte Domänenadministratoren gibt es in jedem Unternehmen, aber die hatten bei 90 IT-Mitarbeiter 130 davon. Und es gibt überhaupt keinen einzigen vernünftigen Grund, warum ich 130 Domänenadministratoren haben muss.

Es gibt auch keinen Grund, warum ich mehr als 5 oder 7 oder 10 haben muss. Auch nicht, wenn ich 90 Mitarbeiter in der IT habe. Die haben also gesagt, wir räumen auf.

Wir haben festgestellt, wir haben ein Problem. Und dann saßen die freitags zusammen. Das ist kein Scherz, wirklich so passiert.

Die saßen freitags zusammen und haben gesagt, okay, wir wissen jetzt, welche von den 130 wir rauslöschen. Sollen wir jetzt auf den Knopf drücken? Ja, wir wissen aber nicht genau, was am Wochenende passiert. Wenn wir jetzt auf den Knopf drücken und am Wochenende irgendwas von der Wochenendverarbeitung nicht funktioniert, dann muss ja einer von uns am Wochenende arbeiten.

Das ist doof, wir machen es am Montag. Die sind Freitag nach Hause gegangen und Samstagmorgen um 10 Uhr haben sie mich angerufen, weil da war es zu spät, da war alles verschlüsselt. Das ist wirklich kein Scherz.

Das meine ich mit Unternehmen müssen aufräumen, wenn sie Ordnung haben wollen. Die Frage, wie lange ich dann Dinge herauszögere, hängt natürlich mit der Kritikalität zusammen. Aber wenn ich wirklich über große Missstände Bescheid weiß, dann sollte ich eher schneller agieren.

Und wenn ich weiß, dass ich einen Daten-Lag habe, auch ein Beispiel, das wir im Darknet-Monitoring gesehen haben, wir haben montags ein Leak zu einem Unternehmen gefunden,

haben das Unternehmen informiert, die konnten den kompromittierten Zugang schließen und sonntags, also sechs Tage später, hat das Unternehmen den Angriff mit diesen Zugangsdaten auf der Firewall beobachten können. Um auf deine Frage zurückzukommen, was sollte man tun? Es gilt nichts zu verzögern. Es gilt zu bewerten, wie groß ist das Problem? Ist es eine unmittelbare Bedrohung? Hat vielleicht sogar schon etwas stattgefunden? Dann sollte ich sofort reagieren.

Oder ist es eine kritische Lücke, die ich mit Aufräumen hinbekomme? Dann sollte ich jedenfalls sofort anfangen. Das wäre unser Appell in Vorträgen, auch vor Geschäftsführern, die technisch da auch weit von weg sind, sage ich gerne, wenn Sie nur ein KPI mitnehmen wollen, gehen Sie morgen in Ihre IT und lassen Sie sich zeigen. Die Gruppe der Domain-Administratoren, ein Screenshot.

Wie viele sind da drin? Und wenn mehr als fünf drin sind, haben Sie ein Problem. Egal, wie groß das Unternehmen ist. Da kann man anfangen.

Und wenn ich das Problem identifiziert habe, dann sollte ich es nicht in die Schublade legen und bis zur nächsten Budgetrunde warten, bis ich vielleicht Zeit habe, mir mal über Sicherheit Gedanken zu machen. Guter Punkt. Also ich denke, das ist schon der erste Punkt, wo die meisten jetzt mal ansetzen können, dass sie nicht 130 Domain-Administratoren haben.

Aber ich glaube, es ist tatsächlich gerade auch in Deutschland noch weit verbreitet, dass die Vorstände, Geschäftsführer damit wenig zu tun haben, obwohl sie ja eigentlich damit viel zu tun haben sollten. IT-Sicherheit beginnt in der Geschäftsführer-Ebene und darf die nicht ausklammern. Vielleicht noch ein Bild.

Vielleicht können das die Zuhörer mitnehmen, wenn es die IT-Zuhörer sind, vielleicht zu ihren Chefs. Ich verstehe ja, dass es auch Geschäftsführungen, Vorständen schwerfällt, den Wert von Informationssicherheit zu bewerten. Aber wieder eine Metapher aus dem ehrlichen Leben.

Wir sitzen ja in der Nähe von Frankfurt und wenn ich in Frankfurt in irgend so ein schönes, glänzendes Bürohochhaus gehe, dann hat sicherlich jeder Unternehmenschef eine Meinung dazu, wie die Damen und Herren, die unten am Empfang sitzen vor den Aufzügen, wie die aussehen sollen. Wie sollen die auftreten? Was haben die für ein Namensschild? Wie werden Gäste gegrüßt? Wo warten die? Da haben die alle eine Vorstellung von und das wird auch geregelt. Aber warum haben die alle keine Vorstellung davon, wie der digitale Pförtner funktioniert? Ob der eine hochtechnologische Lösung mit künstlicher Intelligenz, Zwei-Faktor-Authentifizierung und whatever ist, die müssen das ja technisch nicht verstehen.

Die müssen sich ja auch nicht an den Empfang setzen und den Job des Pförtners machen. Aber ich muss, glaube ich, zumindest mal erwarten, dass wir sagen, okay, was sind die Grundvoraussetzungen, die wir als Unternehmen bringen müssen? Wie hoch soll der Zaun sein? Wenigstens das sollte definiert werden. Und dann kann die IT das umsetzen.

Und vielleicht hilft diese Metapher auch nochmal beim Erklären, warum das, genau wie du sagst, Franziska, absolut ein Thema für die Chefetage ist. Und da muss es anfangen. Ich

denke, je besser man die komplexen Themen doch zerlegt und mit Metaphern bespickt und besser den Menschen auch zugänglich macht, desto mehr kann es auch verstanden werden.

Und das ist ja auch eine der Aufgaben unseres Podcasts, dass wir sagen, wir wollen die Themen, die doch auf den ersten Blick für den Menschen, der damit gar nichts zu tun hat, sehr groß und komplex wirken, was sie ja auch sind, aber wollen wir so ein bisschen vereinfacht darstellen, dass wirklich jeder einen Zugang dazu hat. Das ist ein guter Punkt, wenn ich da nochmal reinspringen darf. Wir sprechen ja wegen Stand der Technik.

Wir versuchen ja bei Teletrust zu erklären und zu transportieren, was ist eigentlich gerade Stand der Technik? Das heißt ja nicht, dass wir den Unternehmen und Unternehmern empfehlen, ihr müsst Fortnox, EZB oder whatever Niveau werden, sondern ihr solltet mal den Zaun wenigstens so hoch machen, dass nicht jeder direkt von der Straße aus drüber fällt, sondern dass wir wenigstens die Technologien einsetzen, die gerade State of the Art sind. Darum geht es. Auf jeden Fall, darum haben wir ja auch Stand der Technik, der ja auch mittlerweile in diversen Sprachen übersetzt worden ist und dauernd runtergeladen wird.

Wir sehen das ja auch immer sehr beliebt und häufig danach gefragt. Und da du jetzt schon Teletrust erwähnt hast, wir versuchen ja auch beim Teletrust immer, unseren Mitgliedern und generell den Leuten, die uns so folgen, einen gewissen Überblick über Themen zu verschaffen. Und dafür ist ja Stand der Technik einerseits eine wirklich gute Sache und auch der Podcast ein guter Ansatz.

Aber wenn du dir jetzt eine Sache wünschen könntest, Thomas, was kann Teletrust aktiv dafür tun, dass der Begriff Darknet Monitoring noch bekannter wird und gute Lösungen vielleicht auch noch greifbarer für die Menschen sind, ohne jetzt Produktwerbung für andere zu machen? Einfach das Thema so ein bisschen. Ich habe mal gehört, dass man nicht zu viel kommunizieren kann. Und ich glaube, darum geht es.

Es geht ja gar nicht darum, eine Botschaft einmal zu senden und zu sagen, so jeder, für den es relevant ist, der hat es jetzt gehört oder hat es gehört zu haben. Und damit ist meine Botschaft erledigt. Sondern ich glaube, wir als Verband, als Verein, als ein Zusammenschluss derer, die sich um IT-Sicherheit bemühen, wir müssen darüber reden.

Und wir müssen Gelegenheiten wie diese in einem Podcast nutzen. Wir müssen Gelegenheiten wie die Veröffentlichung von Beiträgen nutzen und müssen darauf hinweisen. Und ich persönlich finde, das ist zwar ein langes Dokument jetzt geworden, beispielsweise die Handreichung zum Stand der Technik, aber ich kenne kein vergleichbares Dokument, das in dieser Kürze, zum Thema Darknet Monitoring zum Beispiel, ich glaube es sind anderthalb Seiten, wo genau steht, was ist es, warum ist es, wie schützt es und wo wirkt es im Unternehmen.

Wo kriegt man das so kompakt wie dort zu allen relevanten technischen Lösungen der Zeit sozusagen. Also wenn ich mir wünschen darf, was Teletrust tun sollte, dann weiter darüber reden und jede Bühne, jedes Mikro, das einem vorgehalten wird, nutzen, um darüber zu sprechen, gerade auch diese eher neuen Dinge, denn Darknet Monitoring ist ja erst seit diesem Jahr auf der Liste Stand der Technik, weil es eben jetzt erst möglich wird, das quasi vertretbar für den Mittelstand auch einzusetzen, darüber reden. Wir tun es.

Wir tun das auch auf jeden Fall und werden da denke ich auch im stetigen Ausbau und weiter daran arbeiten, die Handreichung Stand der Technik wirklich voranzubringen und wie gesagt, das ist auch wirklich etwas, wo wir sehr positives Feedback immer bekommen und die häufig gefragt ist und eigentlich wirklich den Menschen auch sehr gut helfen kann. Ich habe auf jeden Fall Stand der Technik die Handreichung mehrfach jetzt schon zu diversen Themen gelesen, weil im Podcast behandle ich ja auch immer Themen, die jetzt nicht täglich auf meiner Agenda sind, unter anderem Darknet Monitoring und es hat mir das ein oder andere Mal schon kurz und knapp gut erklärt, was da wirklich Sache ist und dementsprechend werden wir da natürlich auch weiter dranbleiben. Ich habe jetzt tatsächlich eine Frage noch, die mir relativ wichtig erscheint, gerade in Deutschland mit der DSGVO und den ganzen bürokratischen Hindernissen, die uns teilweise in den Weg gelegt werden und die manches etwas verkomplizieren.

Wenn wir über das Darknet Monitoring reden, welche rechtlichen Aspekte kann man da benennen, die wirklich wichtig sind, dabei zu beachten und nicht außen vor zu lassen und sich dadurch nicht in irgendwelche Komplikationen oder Probleme zu manövrieren? Also wir sind natürlich keine Juristen und können hier keine Rechtsberatung machen, aber die Nutzung des Darknets ist nicht illegal, sondern das ist ein vielleicht durch eine bestimmte Tür nur erreichbarer und deswegen separierter und, Julia hat gesagt, nicht ganz benutzerfreundlicher Bereich des Internets. Und der ist aber erstmal nutzbar und das auch nicht illegal. Inwieweit wir jetzt beispielsweise hergehen sollten und von Hackern offensichtlich gestohlene Daten von anderen Firmen, die auf irgendwelchen Leaksites von diesen Hackergruppierungen angeboten werden, herunterzuladen und uns anzuschauen, davor würde ich mal möglicherweise ein bisschen warnen und vielleicht den Anwalt des Vertrauens vorher mal fragen, ob das eine besonders gute Idee ist, zu schauen, was die gehackte Konkurrenz denn so im Darknet alles zu bieten hat.

Aber grundsätzlich spricht die Teilnahme und das Reinschauen in die Informationen, die dort angeboten werden, da spricht nichts dagegen und das ist jedenfalls nach allem, was wir gesagt bekommen haben und was wir wissen, spricht überhaupt nichts dagegen, sonst würden wir es ja auch nicht tun. Eher gegenteilig, also es verschafft Sichtbarkeit, Handlungsfähigkeit für Verstöße, die vielleicht schon stattgefunden haben, von denen man aber nicht weiß, rückwirkend. Ich denke, da würde man sich auch ohne einen rechtlichen Hintergrund zu haben, aber in meiner Vorstellung davon ist es eher schadhaft, sich das nicht anzugucken und beide Augen zuzumachen, wenn Daten geleakt wurden von Kunden, personenbezogene Mitarbeiterdaten und Co.

Juristen seid ihr nicht, aber vielleicht Visionäre. Wir haben eben schon ein bisschen über KI und Chat-GBT und so gesprochen. Könnt ihr jetzt schon sagen, welche Trends und Entwicklungen im Bereich Darknet-Monitoring ihr beobachtet oder euch täglich mal über den Weg gelaufen sind oder wo ihr sagt, da kann in Zukunft auch noch einiges geschehen und wird auch noch mehr geschehen? Im Darknet-Monitoring setzen wir natürlich nicht die Trends.

Wir folgen den Trends der anderen Seite und passen uns darauf an. Also wir sehen einen total großen Unterschied. Erstmal seit der Corona-Zeit, seitdem all unsere Infrastrukturen, all unsere Zugänge nun vor einigen Jahren sehr viel erreichbarer, sehr viel digitaler geworden sind, weil es die Zeit einfach erfordert hat, sind mehr Assets verfügbar.

Jedes Unternehmen hat Türen, Tore, Fenster rein mittlerweile, auch wenn sie das vielleicht historisch vor zehn oder acht Jahren noch nicht hatten. Und dementsprechend über die letzten drei Jahre sind die Nutzerzahlen des Darknets um 300 Prozent gestiegen. Das heißt, mehr Leute gehen rein, mehr Leute schauen sich um.

Es wird immer relevanter und immer wichtiger, selber auch zu schauen, welche Daten von sich oder über sich dort preisgegeben werden. Parallel entwickeln sich natürlich auch die Vektoren, die Bedrohungsakteure nutzen, um uns zu kompromittieren, um Unternehmen anzugreifen, sehr deutlich in bestimmte Richtungen, nämlich in die, die funktionieren und die bestenfalls aufwandsarm funktionieren. Und das sind Zugangsdaten im Darknet zu kaufen, die sowieso schon da sind, oder Phishing-Mails zu formulieren, die nachher erfahrungsgemäß irgendwie an irgendeinem Punkt immer einen Weg reinbieten, wenn man jetzt gezielt auf ein Unternehmen guckt.

Der Risikofaktor Mensch ist und bleibt der größte und der eine, den wir nie wirklich patchen können aus technischer Sicht. Wir können Awareness starten, aber wir können dieses Risiko nicht rausnehmen. Es wird immer da sein, das wissen auch die Angreifer.

Also gerade Phishing, Zugangsdaten kaufen, diese beiden Sachen sind im Darknet-Monitoring wahnsinnig relevant und werden es tagtäglich mehr. Man kann für Phishing-Angriffe, wir wissen, dass das der Einstiegsvektor Nummer eins ist, dass Phishing irgendwie zu einem Zugriff geführt hat, dass jemand auf einen Link geklickt hat, ein Dokument geöffnet hat oder Informationen preisgegeben hat. Sowas kann man überwachen.

Man kann Maßnahmen treffen. Gute Phishing-Mails, die sogar uns als Experten irgendwie noch in die Enge treiben und wir fast auf einen Link klicken, die sind nicht von einer Google-Mail. Die sind von einer Mail-Domäne verschickt, die so ähnlich aussieht wie das Unternehmen, bei dem ich arbeite.

Da ist vielleicht ein I durch ein großes L ausgetauscht oder vice versa, aber die Domäne ist ähnlich. Und auch nach sowas kann man sich umschauen. Neuregistrierte Domänen, das sind öffentlich verfügbare Daten, das sind Daten, die man analysieren kann zu diesen Zwecken.

Also zu wissen, welche Angriffe genutzt werden und dann darauf zu reagieren im Sinne von wir gucken auf ähnliche Domänen, wir gucken auf Phishing-Foren, was die Hacker dort treiben, wie sie sich austauschen, ob sie vielleicht noch einen Unternehmensnamen nennen und Co. Und bleiben dabei, tagtäglich uns anzugucken, wie die Kommunikation abläuft, wo die Kommunikation abläuft, was sich ändert, um mit am Ball zu bleiben und weiter dran zu bleiben, genau an dem, was die Hacker jeden Tag planen und tun. Vielleicht da als Ergänzung, ich bin mir nicht sicher, ob es dazu schon irgendwelche belegbaren Zahlen gibt, aber unser Gefühl, unser Eindruck in den letzten Wochen und Monaten ist, dass die Hackerangriffe schneller erfolgen, also dass zwischen dem ersten Zugriff auf das Unternehmensnetzwerk und der Verschlüsselung, also dem Moment, wo der Angriff dann quasi sichtbar wird, immer weniger Zeit vergeht.

Ich habe noch eine Zahl im Kopf, die die Universität in Darmstadt mal veröffentlicht hat oder das Fraunhofer-Institut in Darmstadt, da ging es, glaube ich, um 78 Tage, die ein Hacker im

Durchschnitt unerkannt im Netz ist. Wir hatten jetzt kürzlich einen Fall vor acht Wochen, da hat der Hacker das erste Mal freitags morgens oder freitags mittags um elf zugegriffen und die Verschlüsselung ist samstags morgens um drei passiert, also weniger als 24 Stunden. Das heißt, das Zeitfenster zu reagieren wird enger und ich kann nicht erst sagen, ach, ich gucke alle drei Monate mal, ob irgendwo im Darknet etwas über mich geschrieben wird.

Das ist so, wie wenn ich alle drei Monate nur die Videoüberwachung einschalte und gucke, ob ich irgendeinen bösen Buben aufnehme, sondern nein, wir haben den Eindruck, dass es in der letzten Zeit an Geschwindigkeit zunimmt und daher ist die kontinuierliche Überwachung wie bei einer Videoüberwachung eben auch etwas, das zunehmend wichtiger wird. Lieber Thomas, liebe Julia, vielen, vielen Dank an der Stelle. Ich glaube, das war eine sehr runde Sache.

Eingangs hatte ich noch eine Sache versprochen, auch die ich jetzt noch ganz kurz eingehen will. Ihr hattet jetzt noch mal mehrfach Hacker erwähnt, Julia. Du wolltest noch mal ganz kurz darstellen, was ein guter und legaler ethischer Hacker macht im Gegensatz zu einem anderen Hacker, gerne noch mal darauf Bezug nehmen und dann denke ich, war das eine wirklich super Folge zum Darknet Monitoring.

Ja, ich bin gespannt jetzt noch mal zum Hacker. Sehr gerne. Um die bösen Hacker, wir nennen die in der Industrie Black Hat Hacker, also wir haben die mit dem schwarzen Hut, das sind die, die man als böse bezeichnen könnte, wenn man sich diesen Begriffen bedienen möchte und die mit den weißen Hüten, die die Bösen bekämpfen, also das übliche Gut und Böse.

Genau so einfach zu definieren ist das natürlich in vielen Fällen nicht, aber wir abstrahieren das Ganze mal und sagen, es gibt einen guten und einen bösen Hacker. Der böse Hacker war höchstwahrscheinlich zuerst da. Um den bösen Hacker zu bekämpfen, müssen wir ihn aber verstehen.

Wir müssen agieren, wie er agiert. Wir müssen auf die Sachen schauen, auf die er schaut. Da fängt es mit, was greife ich an? Wo setze ich an an? Und um diese bösen Hacker irgendwie zu bekämpfen, müssen wir simulieren, was sie tun.

Wir müssen Angriffe simulieren. Wir müssen diese Denkweise simulieren können. Wir müssen die nutzen, um Risiken abzuschätzen und um zu verstehen, wo die genau liegen.

Und dafür gibt es die guten Hacker, Penetration-Tester, Whitehead-Hacker, Ethical-Hacker, verschiedene Begrifflichkeiten in die Richtung, die eigentlich genau das machen, was der böse Hacker tut, nämlich Unternehmen angreifen, Technologien angreifen, Menschen angreifen, Social Engineering, Phishing-Kampagnen, auch das macht ein Ethical-Hacker. Um zu trainieren zum einen, wie die Prozesse dahinter funktionieren, wenn was passiert, wenn jemand auf einen Link klickt, wenn jemand eine Datei öffnet. Aber auch, um technische Schwachstellen zu schließen, um Hilfestellungen zu geben, diese zu schließen, bevor ein finanziell motivierter oder politischer Angreifer, der nicht im Sinne des Unternehmens arbeitet, sondern im Sinne eines ganz anderen Auftraggebers und einer ganz anderen Motivation herausarbeitet, nicht die gleichen Türen, Fenster, Wege nutzen kann, weil die vorher einmal getestet, simuliert wurden und dann geschlossen.

Vielen, vielen Dank. Wenn ihr nichts noch hinzuzufügen habt, würde ich nochmal sagen, danke, dass ihr da wart. Ich glaube wirklich, dass wir jetzt das Thema auch gut beleuchtet haben.

Zusätzlich zu der Handreichung Stand der Technik haben wir einen weiteren Schritt gemacht, dass Darknet-Monitoring ein bisschen bekannter wird, dass man ein bisschen die Awareness auch dafür hat, was eigentlich los ist. Und ja, vielen, vielen Dank, dass ihr da wart. Wir sagen Dankeschön.

Danke für eure Zeit. Dankeschön. Vielen, vielen Dank.