Nicht alle Monitoring-Tools schützen vor denselben Bedrohungen. Traditionelles Darknet-Monitoring und das Monitoring von Infostealern werden oft in einen Topf geworfen, erfassen jedoch grundlegend andere Arten von Risiken: eine historische und eine aktive. Den Unterschied zu verstehen, entscheidet darüber, ob Sie eine Bedrohung rechtzeitig erkennen, um darauf zu reagieren.

Die NIS-2-Richtlinie drängt Unternehmen in kritischen Sektoren dazu, den tatsächlichen Nachweis zu erbringen, dass sie Bedrohungen erkennen können – anstatt nur entsprechende Richtlinien vorzuweisen. Infostealer spielen hierbei eine entscheidende Rolle, da sie eine der häufigsten Methoden für Angreifer sind, um sich ersten Zugang zu verschaffen – auch über Zulieferer, auf die Sie keinen direkten Einfluss haben.

DORA verlangt von Finanzinstituten den Nachweis, dass sie IKT-Bedrohungen erkennen und darauf reagieren können – und Infostealer stehen im Mittelpunkt dieser Anforderung. Ein einziger gestohlener Session-Token kann einem Angreifer direkten Zugriff auf eine Banking-Plattform gewähren, ohne dass ein Passwort oder eine MFA-Abfrage erforderlich ist.

Die Überwachung von Datenpannen und die Überwachung von Infostealern klingen ähnlich und werden ständig zusammengefasst, aber das eine informiert Sie über ein Datenleck, das bereits vor Jahren stattgefunden hat, während das andere Sie über eine Sitzung informiert, die ein Angreifer genau jetzt ausnutzen könnte.

Die meisten Unternehmen haben keine Ahnung, ob die Zugangsdaten ihrer Mitarbeiter bereits auf einem kriminellen Marktplatz im Umlauf sind – und das Warten auf eine Benachrichtigung über eine Sicherheitsverletzung ist keine Erkennungsstrategie. Ein Domain-Scan kann diese Frage in etwa einer Minute beantworten.

Unsichtbar zu bleiben ist kein Nebeneffekt eines guten Infostealers, sondern das gesamte Geschäftsmodell. Je länger ein Opfer ahnungslos bleibt, desto länger behalten die gestohlenen Anmeldedaten ihren Wiederverkaufswert.

Infostealer geben sich selten zu erkennen. Es gibt keinen Systemabsturz, keine offensichtliche Warnung und oft auch keinen Alarm durch das Antivirenprogramm – nur einen stillen Prozess, der im Hintergrund läuft, während Anmeldedaten, Sitzungs-Tokens und sensible Dateien gesammelt und an kriminelle Marktplätze übermittelt werden. Genau dieses Schweigen macht sie zu einer der gefährlichsten Bedrohungen, denen Unternehmen heute gegenüberstehen.

Eine einzige Infostealer-Infektion macht selten bei einem einzigen Passwort halt. Diese Tools sind darauf ausgelegt, alles von Wert auf einem infizierten Gerät auf einmal zu erbeuten – Anmeldedaten, Sitzungstoken, Finanzdaten und mehr – und für den Wiederverkauf bereitzustellen. Zu wissen, was genau auf dem Spiel steht, verdeutlicht, warum ein einziger infizierter Laptop ein ganzes Unternehmen gefährden kann.

Ein einziges Protokoll, ein infiziertes Gerät und potenziell Dutzende von Diensten, die auf einmal offengelegt werden: Das ist es, was ein Infostealer-Protokoll so viel gefährlicher macht als ein einzelnes durchgesickertes Passwort.

Lumma hat den Platz von RedLine nicht ohne Grund eingenommen. Kontinuierliche Updates, ein modularer Aufbau und ein erschwingliches Abonnementmodell haben es zu dem Infostealer gemacht, den andere Kriminelle mieten wollen.

Sie müssen Malware nicht mehr selbst schreiben, um sie zu verbreiten. Mieten Sie sie, abonnieren Sie sie, nutzen Sie den dazugehörigen Kundensupport: Entwickler von Infostealern haben Angriffe auf Unternehmen in ein SaaS-Modell verwandelt. Genau das ist der Grund, warum es heute so viele Angreifer gibt.

Nachdem er einmal zerschlagen wurde, kehrte der Raccoon Stealer komplett neu entwickelt zurück. Sein günstiger Preis und die einfache Handhabung haben ihn zu einem Favoriten unter Angreifern gemacht, denen die technischen Fähigkeiten für anspruchsvollere Tools fehlen.

RedLine beherrschte jahrelang den Markt für Infostealer, bevor ein koordinierter Schlag von Strafverfolgungsbehörden versuchte, dem ein Ende zu setzen. Dies war nicht von Erfolg gekrönt: Der Code hatte sich bereits zu weit verbreitet, und RedLine-Protokolle tauchen auch heute noch auf kriminellen Marktplätzen auf.

MFA soll eigentlich Angreifer stoppen, die lediglich im Besitz Ihres Passworts sind. Sie verliert jedoch ihre Wirkung, sobald diese Ihre Sitzung übernommen haben – und genau das ermöglicht ihnen der Diebstahl von Sitzungstoken.

Nicht jeder Infostealer beschränkt sich auf Zugangsdaten. Vidar geht weiter und greift gezielt auf lokale Dateien und Dokumente auf dem infizierten Gerät zu. Genau deshalb taucht er immer wieder als Eröffnungsschritt bei Ransomware-Kampagnen auf, statt nur als einmaliger Diebstahl von Anmeldedaten.

Sie werden den Infostealer selbst wahrscheinlich nie direkt auf frischer Tat ertappen. Was Sie jedoch erkennen können, sind die schwachen Spuren, die er im Nachgang hinterlässt – vorausgesetzt, Sie wissen, auf welche Signale Sie bei Geräten, Identitäten und dem Sitzungsverhalten achten müssen.

Hinter fast jeder Infostealer-Infektion steckt eine von einer Handvoll bekannter Malware-Familien, die jeweils im Abonnement gemietet werden und ihre eigene Spezialität haben – vom Diebstahl von Dateien bis hin zu Finanzdaten.

Hinter jeder gestohlenen Sitzung steht ein Marktplatz, der so aufgebaut ist und funktioniert wie eine ganz normale E-Commerce-Website – inklusive Suche, Indexierung und sofortiger Lieferung, nur dass es sich bei dem Produkt um den Zugriff auf die Systeme anderer handelt.

Die Minuten unmittelbar nach der Erkenntnis, dass ein Infostealer aktiv ist, sind entscheidender als fast jede andere Phase der Reaktion. Die richtige Reihenfolge der Maßnahmen zu kennen – erst widerrufen, dann untersuchen –, verhindert, dass aus einem schlechten Tag eine schwerwiegende Sicherheitsverletzung wird.

Infostealer wählen ihre Ziele nicht nach Branche oder Unternehmensgröße aus. Sie verbreiten sich überall dort, wo im Browser gespeicherte Anmeldedaten und unmanaged Geräte weit verbreitet sind. Das bedeutet, dass die am stärksten gefährdeten Organisationen nicht immer die sind, die man erwarten würde.

Infostealer nutzen keine Sicherheitslücken aus, sondern menschliche Gewohnheiten – und sie tauchen überall dort auf, wo Bequemlichkeit auf Gelegenheiten trifft. Der gesamte Angriff, von der Infektion bis zum Verkauf, ist in der Regel bereits abgeschlossen, bevor Sie überhaupt bemerken, dass etwas nicht stimmt.

Eine gestohlene Sitzung verbleibt nicht bei dem Angreifer, der sie entwendet hat. Innerhalb weniger Stunden wird sie indexiert, bepreist und zum Verkauf angeboten – oft wechselt sie mehrfach den Besitzer, bevor sie überhaupt gegen die Organisation eingesetzt wird, zu der sie gehört.

Gegen die Zeit, in der eine Infostealer-Infektion normalerweise in Ihren Protokollen auftaucht, stehen die gestohlenen Daten möglicherweise bereits zum Verkauf. Ihn früher zu erkennen bedeutet, dort zu suchen, wo Ihre vorhandenen Tools nicht hinsehen: auf den Marktplätzen selbst.

Ein gekaufter Log ist nicht das Ende eines Angriffs, sondern der Ausgangspunkt. Von einer einzigen gestohlenen Sitzung aus bewegen sich Angreifer lateral weiter, eskalieren Berechtigungen und geben sich als echte Mitarbeiter aus, ohne sich jemals selbst anmelden zu müssen.

Da Infostealer so konzipiert sind, dass sie an Antivirenprogrammen und herkömmlicher Überwachung vorbeischlüpfen, kann sich die Prävention nicht auf ein einziges Tool verlassen. Es bedarf eines Zusammenspiels aus Zugriffskontrollen, Geräteverwaltung und Benutzergewohnheiten – und selbst dann werden einige Infektionen durchkommen.

MFA wurde entwickelt, um zu verhindern, dass sich jemand anderes als Sie anmeldet. Sie war jedoch nie darauf ausgelegt, jemanden daran zu hindern, eine von Ihnen bereits gestartete Sitzung fortzusetzen – und genau diese Sicherheitslücke nutzen Infostealer aus.

Über 95 Prozent der Infostealer-Infektionen beginnen auf Geräten, von denen Ihr Sicherheitsteam noch nie gehört hat. Gecrackte Software, eine gefälschte Anzeige, eine Phishing-E-Mail: Der Einstiegspunkt liegt fast immer an einem Ort, den Ihre Richtlinien nicht erreichen.

Nicht jedes Tool, das sich selbst als Infostealer-Monitoring bezeichnet, überwacht tatsächlich Infostealer. Einige überprüfen lediglich alte Datenbanken mit Datenschutzverletzungen und übersehen die aktive Bedrohung völlig. Zu wissen, worauf man achten muss, macht daher den Unterschied zwischen echter Transparenz und einer trügerischen Sicherheit aus.