Das Wichtigste in Kürze
- Infostealer als Hauptursache: Schadsoftware wie Lumma, RedLine, Vidar oder Stealc infiziert private Computer (z. B. über manipulierte Downloads) und stiehlt alle im Browser gespeicherten Passwörter und Session-Cookies.
- Gefahr für Firmen: Wenn Mitarbeiter vom privaten Laptop auf Webmail, VPN oder Microsoft 365 zugreifen, landen die geschäftlichen Zugangsdaten im selben Stealer-Log.
- Initial Access Broker (IAB): Cyberkriminelle kaufen diese Logs gezielt auf, filtern nach Schweizer Domänen (
.ch) und verkaufen den direkten Einstieg an Ransomware-Banden weiter. - Lösung: Kontinuierlicher Abgleich der eigenen Domänen mit Darknet-Datenbanken und Durchsetzung phishing-resistenter Mehrfaktor-Authentifizierung (FIDO2).
1. Die Lieferkette der Cyberkriminalität: Wie Ihre Daten im Darknet landen
Viele Geschäftsleiter glauben noch immer, ein Darknet-Leak passiere nur, wenn die eigene IT gehackt wird. Die Realität sieht ganz anders aus:
- Die Infektion: Ein Mitarbeiter lädt zu Hause eine Software herunter (z. B. einen PDF-Konverter, ein PC-Spiel oder ein YouTube-Download-Tool). Die Datei enthält getarnte Infostealer-Malware.
- Der Datendiebstahl: Binnen Sekunden liest der Trojaner den Passwort-Tresor von Chrome, Edge oder Firefox aus. Er stiehlt Passwörter, Sitzungs-Cookies, Krypto-Wallets und Browser-Verläufe.
- Der Verkauf: Die gesammelten Daten werden als komprimiertes «Log» an den Täter übermittelt. Tausende dieser Logs werden auf Plattformen wie Russian Market oder in privaten Telegram-Kanälen für wenige Dollar verkauft.
- Die Verwertung: Kriminelle «Initial Access Broker» durchsuchen die Logs nach Zugängen zu VPNs, Citrix-Portalen oder Microsoft 365 Schweizer Firmen, Gemeinden oder Spitäler. Der fertige Netzzugang wird für CHF 2'000 bis CHF 20'000 an Ransomware-Kartelle versteigert.
2. Warum das Ändern von Passwörtern allein nicht reicht
Wenn Zugangsdaten im Darknet auftauchen, reagieren die meisten IT-Abteilungen mit einem simplen Passwort-Reset. Das greift jedoch aus zwei Gründen zu kurz:
- Session Hijacking: Infostealer stehlen neben dem Passwort auch die aktiven Session-Cookies. Mit diesen Cookies kann der Angreifer die aktive Sitzung im Browser spiegeln – ohne Passwort und ohne MFA-Abfrage! Solange die Sitzung im Identity-Provider nicht explizit widerrufen wird, bleibt der Zugang offen.
- Re-Infektion: Wenn der private Heim-PC des Mitarbeiters infiziert bleibt, wird das neue Passwort beim nächsten Login sofort wieder gestohlen.
| Schritt | Massnahme bei Leak-Erkennung | Zuständigkeit |
|---|---|---|
| 1. Sitzungswiderruf | Alle aktiven Refresh-Tokens und Web-Sessions des Nutzers in Entra ID / Google Workspace sofort invalidieren. | IT-Administrator |
| 2. Passwort-Reset & MFA-Prüfung | Passwort über sicheren Kanal neu setzen; MFA-Geräte auf unbekannte Authenticator-Apps prüfen. | IT-Support & Mitarbeiter |
| 3. Endgeräte-Isolation | Betroffenes Gerät identifizieren und auf Infostealer-Spuren scannen / neu aufsetzen. | Sicherheitsbeauftragter |
| 4. Log-Audit | Prüfen, ob in den letzten 14 Tagen verdächtige Anmeldungen von ausländischen IP-Adressen stattfanden. | SOC / Suisse Guard Analyst |
3. Wie Suisse Guard Ihre Identitäten schützt
Im Prüfbereich 4 der Suisse Guard Bedrohungsanalyse führen wir einen tiefen Abgleich Ihrer Unternehmensdomänen mit allen bekannten Datenlecks und aktuellen Stealer-Caches durch. Sie erfahren exakt, welche Konten Ihrer Organisation im Umlauf sind, wann der Abfluss stattfand und welche Gegenmassnahmen sofort ergriffen werden müssen.
Befinden sich Zugangsdaten Ihrer Mitarbeiter im Darknet?
Lassen Sie Ihre Domäne im Rahmen der Suisse Guard Bedrohungsanalyse auf kompromittierte Konten prüfen.
