Frühwarnung gegen Infostealer
Angreifer abwehren, bevor sie per Infostealer in Ihr System kommen.
Ein einziger infizierter Laptop genügt: Ein Infostealer kopiert die gespeicherten Passwörter und Sitzungscookies eines Mitarbeitenden, kurz darauf werden sie im Darknet angeboten, und mit einem noch gültigen Cookie kommt der Käufer am zweiten Faktor vorbei. Taucht zu Ihren Domains ein neuer Stealer-Log in den Beständen auf, die wir abgleichen, erfährt der DarkWeb Scanner es in Echtzeit und meldet den frischen Log eines Mitarbeitenden sofort. Ab Tarif Corporate ersetzt er über einen Notfallzugang, den Sie einrichten, das Passwort eines reinen Cloud-Kontos bei Microsoft 365 oder Google Workspace und widerruft danach die Anmeldesitzungen des Kontos: Das gestohlene Passwort gilt dort nicht mehr, und ein gestohlenes Anmeldecookie des Kontos verlangt dort eine neue Anmeldung.
Gebaut für Betriebe ohne eigenes Sicherheitsteam. Zugang auf Anfrage, monatlich kündbar, ohne Software auf den Rechnern Ihrer Mitarbeitenden.
So läuft ein Infostealer-Angriff
Zwischen dem Diebstahl und dem ersten Zugriff liegt ein Zeitfenster. Darin setzen wir an.
Der Angreifer bricht nicht ein, er benutzt einen Zugang, den er gekauft hat. Bis dahin lässt sich der Zugang schliessen: neues Passwort, widerrufene Sitzungen, ein bereinigtes Gerät. Danach ist der Angreifer im System.
-
Ein Rechner wird infiziert
Ein Anhang, ein gefälschtes Update, ein Programm aus dem Netz, auch auf einem privaten Laptop, auf dem jemand das Firmenkonto geöffnet hat. Der Infostealer kopiert in Sekunden, was der Browser gespeichert hat: Passwörter, Sitzungscookies, Formulardaten.
-
Die Daten stehen zum Verkauf
Kurz darauf liegt das Paket als Stealer-Log auf einem Marktplatz oder in einem Kanal, für ein paar Dollar und durchsuchbar nach Domain. Wer kauft, sucht häufig keine bestimmte Firma, sondern Zugänge, die funktionieren: Microsoft 365, VPN, Citrix.
-
Hier greifen wir ein
Wir melden uns, Sie schliessen die Tür
Taucht der Log in den Beständen auf, die wir abgleichen, erfährt der DarkWeb Scanner es über Ihre Domain in Echtzeit, stuft den frischen Log eines Mitarbeitenden kritisch ein und meldet ihn sofort; im Alert stehen Konto, Anwendung und Datum. Ab Tarif Corporate ersetzt er über Ihren Notfallzugang das Passwort eines reinen Cloud-Kontos bei Microsoft 365 oder Google Workspace und widerruft danach die Anmeldesitzungen des Kontos, auf Knopfdruck oder automatisch.
-
Ohne Frühwarnung: der Zugriff
Mit einem noch gültigen Cookie übernimmt der Käufer eine Sitzung, die schon angemeldet ist, ohne Passwort, ohne Zwei-Faktor-Abfrage, ohne Fehlversuch und häufig ohne Alarm; die Person arbeitet scheinbar einfach weiter. Vom Postfach geht es zu Dateien, Fernzugang und Servern, und was folgen kann, ist Zahlungsbetrug aus dem echten Postfach, Datendiebstahl oder Ransomware.
Irrtümer
Was viele für sicher halten, und wo die Lücke liegt.
Jeder dieser Sätze hat einen wahren Kern. Gefährlich wird er erst, wenn er zum Grund wird, nichts weiter zu tun.
-
Irrtum 1
Ich habe 2FA aktiviert, also bin ich sicher.
Die Zwei-Faktor-Anmeldung bleibt richtig und gehört auf jedes Konto: Gegen ein gestohlenes Passwort allein ist sie die wichtigste Hürde. Sie prüft aber nur den Moment der Anmeldung. Ein Infostealer kopiert das Sitzungscookie eines Browsers, der bereits angemeldet ist, und wer es einspielt, übernimmt diese Sitzung, ohne dass der zweite Faktor je gefragt wird, solange sie gilt und nichts sie an das ursprüngliche Gerät bindet.
Was hilft: Ein frischer Stealer-Log eines Mitarbeitenden ist bei uns kritisch und rot als vermutlich gestohlene Sitzung markiert; ab Tarif Corporate ersetzt die Anwendung das Passwort eines reinen Cloud-Kontos bei Microsoft 365 oder Google Workspace und widerruft danach die Anmeldesitzungen des Kontos.
-
Irrtum 2
Ich habe doch ein Backup, wegen Ransomware muss ich mir keine Sorgen machen.
Ein Backup bringt die Verfügbarkeit zurück: Ihre Systeme laufen wieder, oft erst nach Tagen, und nur, wenn die Angreifer das Backup nicht ebenfalls verschlüsselt oder gelöscht haben. Die Vertraulichkeit bringt es nicht zurück: Erpressergruppen kopieren die Daten heute häufig, bevor sie verschlüsseln, und drohen mit der Veröffentlichung. Kundendaten, Verträge und Lohnlisten im Netz können Meldepflichten, Haftung und Vertrauensverlust nach sich ziehen, und das macht kein Backup rückgängig.
Was hilft: Gestohlene Zugänge schliessen, bevor sie zum Einstieg werden, und regelmässig prüfen lassen, ob Ihre Domain auf Veröffentlichungsseiten von Erpressergruppen genannt wird.
-
Irrtum 3
Ich habe eine Cyberversicherung, ich bin abgesichert.
Eine Versicherung zahlt nach dem Schaden, verhindern kann sie ihn nicht, und sie zahlt nur im vereinbarten Umfang. Viele Policen knüpfen die Leistung an Obliegenheiten wie Zwei-Faktor-Anmeldung, Updates und Backups und kennen Ausschlüsse; wer Massnahmen angibt, die nicht gelebt werden, riskiert die Leistung genau dann, wenn es teuer wird. Veröffentlichte Kundendaten und verlorenes Vertrauen bringt sie nicht zurück.
Was hilft: Die Police ist für den Schaden da, wir für die Zeit davor: Jeder Alert hält fest, wann er auftauchte, wer zuständig ist und welche Schritte abgehakt sind, damit Sie zeigen können, dass Sie gehandelt haben.
-
Irrtum 4
Mein IT-Dienstleister hat alles im Griff, ich habe einen Fullservice-Vertrag.
Ihr IT-Dienstleister betreut Ihre Systeme: Server, Firewall, Updates, Backups, oft auch Microsoft 365. Der Zugang wird aber ausserhalb davon gestohlen, zum Beispiel auf einem privaten Laptop, den er nie zu sehen bekommt, und die Anmeldung damit sieht aus wie die Ihres Mitarbeitenden. Ein Fullservice-Vertrag regelt Betrieb und Störungen; ob er auch die Suche nach gestohlenen Zugangsdaten umfasst, steht im Vertrag, fragen Sie nach. Fehlt sie, wird auch ein guter Dienstleister in der Regel erst aktiv, wenn etwas auffällt, und dann ist der Angreifer oft schon drin.
Was hilft: Wir finden den Log über Ihre Domain, auf welchem Gerät er auch entstand, und ab Tarif Corporate landet jeder neue Alert ab der gewählten Schwere als Ticket in Jira oder ServiceNow oder als Nachricht in Teams oder Slack, also direkt bei Ihrem Dienstleister.
-
Irrtum 5
Wir sind zu klein, für uns interessiert sich niemand.
Ein Infostealer sucht sich keine Firma aus: Er wird breit gestreut, über Anhänge, gefälschte Downloads und Werbung, und nimmt von jedem Gerät, was er findet. Sortiert wird erst beim Verkauf, und gekauft wird, was funktioniert, nicht nur, was gross ist. Ein kleiner Betrieb ist zudem ein Weg zu seinen Kunden: Aus dem echten Postfach lässt sich eine Rechnung mit neuer IBAN glaubwürdig verschicken.
Was hilft: Schon der Tarif Business überwacht Ihre Domain auf Stealer-Logs, Combolists und Datenbank-Leaks; Domains und Mailadressen überwachen alle Tarife gleich gut.
-
Irrtum 6
Unser Virenschutz würde einen Infostealer erkennen.
Virenschutz ist nötig und fängt viel ab. Ein Infostealer ist aber in Sekunden fertig und wird laufend verändert, damit Erkennungsmuster nicht greifen; ein Stealer-Log hält oft sogar fest, welcher Virenschutz auf dem Gerät lief. Auf einem privaten Laptop läuft ohnehin nicht Ihrer, und was einmal kopiert ist, holt auch eine spätere Bereinigung nicht zurück.
Was hilft: Wir suchen nicht auf dem Rechner, sondern über Ihre Domain in den Datenbeständen, die wir abgleichen, auch wenn das Gerät nicht der Firma gehört; die Checkliste am Alert beginnt mit dem Isolieren des Geräts.
-
Irrtum 7
Wir haben starke Passwörter und einen Passwortmanager.
Beides ist richtig und schützt vor erratenen und wiederverwendeten Passwörtern. Ein Infostealer rät aber nicht, er liest: das im Browser gespeicherte Passwort, das Sitzungscookie gleich dazu, und war der Passwortmanager in dem Moment entsperrt, ist sein ganzer Inhalt als gestohlen zu behandeln. Ein starkes Passwort ist dann ein starkes Passwort in fremden Händen.
Was hilft: Die Alerts lassen sich nach infiziertem Gerät gruppieren, damit Sie sehen, welche Ihrer Konten derselbe Rechner preisgegeben hat; in Enterprise zeigt der Abgleich mit Ihrem Active Directory, ob ein geleaktes Passwort heute noch gilt.
-
Irrtum 8
Einen Einbruch würden wir sofort bemerken.
Mit gültigen Zugangsdaten sieht ein Zugriff aus wie Arbeit: keine Fehlversuche, mit einem gestohlenen Sitzungscookie nicht einmal eine Zwei-Faktor-Abfrage, und häufig kein Alarm. Für das System arbeitet einfach ein Mitarbeitender weiter. Bemerkt wird so ein Zugriff oft erst an den Folgen: an einer umgeleiteten Zahlung, einer fremden Weiterleitung im Postfach oder verschlüsselten Laufwerken.
Was hilft: Das Signal kommt mit dem Log, nicht erst mit den Folgen: Ein neuer Stealer-Log zu Ihrer Domain erreicht uns in Echtzeit, und wir melden ihn sofort, im besten Fall vor dem ersten Zugriff. Jeder Alert bekommt eine Frist je Schwere und lässt sich einer Person zuweisen.
-
Irrtum 9
Unsere Daten liegen bei Microsoft, die kümmern sich um die Sicherheit.
Microsoft schützt die Plattform: Rechenzentren, Server, Software. Wer sich mit gültigem Passwort anmeldet oder ein gültiges Sitzungscookie einspielt, sieht für Microsoft zunächst aus wie der berechtigte Benutzer; ob ungewöhnliche Zugriffe erkannt und blockiert werden, hängt von Lizenzen und Richtlinien ab, die Sie selbst einrichten. Konten, Rechte und Anmelderichtlinien sind Ihre Seite der geteilten Verantwortung, und ein Firmenkonto öffnet häufig Mail, Dateien und Teams zugleich.
Was hilft: Ab Tarif Corporate handelt die Anwendung genau dort: Über einen Notfallzugang, den Ihre IT anlegt und wie ein Administratorkonto schützt, ersetzt sie in Entra ID oder Google Workspace das Passwort eines reinen Cloud-Kontos und widerruft danach die Anmeldesitzungen des Kontos.
-
Irrtum 10
Wenn etwas auftaucht, ändern wir einfach das Passwort.
Ein neues Passwort beendet nicht bei jedem Dienst die Sitzungen, die schon laufen; ein gestohlenes Cookie kann weiter gelten, bis sie ausdrücklich widerrufen sind. Die Reihenfolge entscheidet: erst das Passwort ersetzen, dann sofort alle Sitzungen widerrufen, denn wer zuerst widerruft, lässt dem Angreifer mit dem alten Passwort Zeit für eine frische Sitzung. Und solange das Gerät infiziert bleibt, steht auch das neue Passwort im nächsten Log.
Was hilft: Die Sofortmassnahmen ab Tarif Corporate halten diese Reihenfolge bei Microsoft 365 oder Google Workspace ein, und die Checkliste am Alert führt durch die Schritte am Gerät.
Funktionen
Ein Frühwarnsystem für die Zeit vor dem Einbruch.
Sie nennen Ihre Domains, ohne Software auf den Rechnern Ihrer Mitarbeitenden: Neue Stealer-Logs dazu erreichen uns in Echtzeit, alles andere gleichen wir täglich ab. Neue dringende Funde melden wir sofort, alles andere bündelt der Wochenbericht; jeder Bereich ist unter Funktionen ausführlich beschrieben.
-
Infostealer-Frühwarnung
Stealer-Logs zu Ihren Domains; der frische Log eines Mitarbeitenden ist kritisch, wird sofort gemeldet und als vermutlich gestohlene Sitzung markiert. Ab Tarif Corporate ersetzt die Anwendung das Passwort eines reinen Cloud-Kontos bei Microsoft 365 oder Google Workspace und widerruft danach die Anmeldesitzungen des Kontos, auf Knopfdruck oder automatisch.
Mehr dazu: Infostealer-Frühwarnung -
Gestohlene Zugangsdaten
Passwörter aus Combolists und Datenbank-Leaks, je Leak eine Zeile, nach Inhalt und Alter eingestuft: Ein altes Leck, das nur Mailadresse und Name enthält, steht als niedrig da. Taucht zu einer Adresse ein neues Passwort auf, öffnet sich ein erledigter Alert wieder.
Mehr dazu: Gestohlene Zugangsdaten -
Ihre Aussensicht
Vergessene Hostnamen, offene Ports verifizierter Domains, Nachbau-Domains mit dem Hinweis, ob sie schon Mail empfangen können, SPF, DKIM und DMARC, und ob Ihre Domain auf Veröffentlichungsseiten von Erpressergruppen genannt wird.
Mehr dazu: Ihre Aussensicht -
Meldung ohne Lärm
Neue hohe und kritische Funde sofort per E-Mail, auf Wunsch auch per Telegram, Slack, Teams oder Threema; alles andere gebündelt im Wochenbericht. Für die Geschäftsleitung liegt jeden Monat ein PDF-Bericht mit Risk Score je Domain zum Herunterladen bereit.
Mehr dazu: Meldung ohne Lärm -
Klare Zuständigkeit
Jeder Alert bekommt eine Frist je Schwere und lässt sich einer Person zuweisen; eine Ausnahme legt Bekanntes still ab, Neues kommt trotzdem durch. Ab Tarif Corporate geht jeder neue Alert ab der gewählten Schwere als Nachricht in Slack oder Teams oder als Ticket in Jira oder ServiceNow hinaus.
Mehr dazu: Klare Zuständigkeit -
Für Ihren IT-Dienstleister
IT-Dienstleister betreuen mehrere Kunden aus einer Anmeldung: eigenes Team, Kunden anlegen, im Kunden arbeiten, die Warnungen der Kunden inklusive, eine Rechnung für alle.
Mehr dazu: Für Ihren IT-Dienstleister
Preise ab CHF 49 pro Monat, zuzüglich MWST · Zur Preisliste
Den gestohlenen Zugang wertlos machen, bevor ihn jemand benutzt.
Zugang gibt es auf Anfrage: Sie nennen Firma, Name und Mailadresse, wir prüfen die Anfrage und schalten Sie frei. Mit der Einladung können wir eine kostenlose Testphase gewähren. Der erste Abgleich zeigt, was schon bekannt ist; der Wert entsteht an jedem Tag danach.