Ihr Sonar für Deep Web und Darknet.

Darknet Monitoring von ByteRay: Wir durchleuchten, was sich Ihrer Sicht entzieht: geleakte Zugangsdaten, interne Dokumente in fremden Archiven, Domains, die Ihrer gleichen. Und wir reagieren auf den Fund, statt ihn nur zu melden.
Clear, Deep & Darknet
Foren, Marktplätze, Leak-Seiten und Messenger-Gruppen
Reaktion inklusive
Wir melden den Fund und arbeiten ihn mit Ihnen ab
BSI-qualifiziert
APT-Response-Dienstleister nach § 3 BSIG
Ein Haus, keine Kette
Vom Fund bis zur Forensik dasselbe Team
Der Markt

Vier Dinge, die dort über Sie gehandelt werden.

Der Handel mit Zugängen und Daten läuft, lange bevor jemand tatsächlich in ein Netz eindringt. Vieles, was später zum Vorfall wird, liegt vorher als Ware in einem Forum: verkäuflich, katalogisiert und für Sie unsichtbar.

Stealer-Logs
Was ein infizierter Rechner ausliefert
Jemand installiert ein manipuliertes Werkzeug. Die Schadsoftware liest in Sekunden aus, was im Browser liegt: gespeicherte Passwörter, aktive Sitzungen, VPN-Profile. Das Paket wird als Datensatz weitergereicht, häufig Wochen, bevor es jemand benutzt.
Initial Access
Der Zugang als Handelsware
Es gibt Angreifer, die selbst nie verschlüsseln. Sie beschaffen Zugänge und verkaufen sie an Gruppen weiter, die den Rest übernehmen. Zwischen Verkauf und Verschlüsselung liegen oft Tage. In diesem Fenster sind Sie noch handlungsfähig, wenn Sie davon wissen.
Typosquatting
Die Domain, die fast Ihre ist
Kurz vor einer gezielten Phishing-Welle wird eine Domain registriert, die Ihrer bis auf einen Buchstaben gleicht. Wer die Registrierung sieht, kann sperren lassen, bevor die erste Mail bei einem Mitarbeiter ankommt.
Datenlecks
Was ohne Angriff nach draußen gerät
Interne Dokumente, Quellcode mit hinterlegten Schlüsseln, Kundendaten aus einem kompromittierten Dienstleister. Nicht jeder Fund betrifft Ihr eigenes Netz; relevant ist er trotzdem, weil er Angreifern die Vorarbeit abnimmt.
Suchprofil

Was wir für Sie beobachten.

Ein Suchprofil, das alles überwacht, liefert vor allem Rauschen. Wir legen zu Beginn gemeinsam fest, was für Sie tatsächlich Gewicht hat, und schärfen es nach, sobald die ersten Befunde da sind.

Zugangsdaten und Sitzungen
Firmen-Logins, Konten von Mitarbeitern, gestohlene Session-Token und VPN-Zugänge.
Exponierte Personen
Geschäftsführung, Finanzbereich, IT-Administration: die Rollen, auf die gezielte Angriffe zulaufen.
Marke und Domänen
Neu registrierte Nachahmer-Domains, gefälschte Profile, missbräuchliche Verwendung Ihres Namens und Logos.
Dokumente und Quellcode
Interne Unterlagen in Leak-Archiven, veröffentlichte Repositories, versehentlich exponierte Schlüssel und Token.
Lieferanten und Dienstleister
Vorfälle bei Partnern, über die Angreifer an Ihre Daten oder Ihre Zugänge kommen.
Angebotene Zugänge
Inserate, in denen Netzwerkzugänge zum Verkauf stehen, mit Branchen-, Größen- oder Standortangabe, die auf Sie passt.

Ergänzend liefern wir eine einmalige historische Auswertung: was aus zurückliegenden Leaks bereits im Umlauf ist. Erfahrungsgemäß ist dieser Erstbefund der unangenehmste und zugleich der nützlichste Teil.

Nach dem Fund

Sieben Schritte vom Fund bis zur Entwertung.

Eine Meldung über geleakte Zugangsdaten erzeugt vor allem Arbeit, und die landet sonst bei Ihnen. Wir gehen den Weg mit bis zu dem Punkt, an dem der Fund niemandem mehr nützt.

01
Ein Datensatz mit Bezug zu Ihnen taucht auf
Zugangsdaten aus einem Stealer-Log, ein Firmendokument in einem Leak-Archiv, eine frisch registrierte Domain, die Ihrer bis auf einen Buchstaben gleicht.
02
Ein Analyst prüft, bevor Sie etwas hören
Ist der Fund frisch oder aus einem alten Leak recycelt? Existiert das Konto überhaupt noch? Passen Zeitstempel und Quelle zusammen? Was diese Prüfung nicht übersteht, erreicht Ihr Postfach nicht.
03
Sie bekommen den Befund mit Einordnung
Was gefunden wurde, wie belastbar es ist, was daraus folgen kann, und ein konkreter Vorschlag, was jetzt zu tun ist. Aufbereitet in einer Form, die Sie einem Vorstand vorlegen können, statt als Rohdatenauszug.
Bis hierher reicht ein reiner Monitoring-Auftrag. Alles Weitere wäre sonst Ihre Aufgabe.
04
Die Domain wird gesperrt, bevor die erste Mail ankommt
Aufnahme in die Sperrlisten Ihres Mail-Gateways und der Web-Filter, auf Wunsch mit Takedown-Antrag beim Registrar. Bei einer Nachahmer-Domain zählen die Stunden zwischen Registrierung und erster Welle.
05
Gefundene Zugänge werden entwertet
Passwortwechsel und Invalidierung offener Sitzungen, abgestimmt mit Ihrer IT. Betroffene Mitarbeiter werden angesprochen, in einer Formulierung, die niemanden vorführt, weil sonst beim nächsten Mal niemand mehr etwas meldet.
06
Wir sehen nach, ob der Zugang schon benutzt wurde
Anmeldungen mit dem betroffenen Konto, Aktivität auf dem Gerät, aus dem das Stealer-Log stammt, auffällige Sitzungen im fraglichen Zeitraum. Rückwirkend über die Falcon-Plattform, sofern wir sie bei Ihnen betreiben.
07
Wird ein Fall daraus, bleibt er im Haus
Bestätigt sich eine Kompromittierung, übernimmt dasselbe Team: Managed CSIRT für die laufende Bearbeitung, unser DFIR-Team für die forensische Aufklärung. Ohne Anbieterwechsel, ohne neue Vertragsrunde, ohne den Sachstand noch einmal erklären zu müssen.
↳ Scoping-Gespräch vereinbaren
Einordnung

Darknet Monitoring, Managed CSIRT und Incident Response im Vergleich.

Darknet Monitoring schaut nach draußen, auf das, was über Sie im Umlauf ist. Was in Ihrem Netz passiert, ist eine andere Frage. Beides greift ineinander, ist aber nicht dasselbe.

Darknet Monitoring
Blick nach außen: Was ist über Sie im Umlauf, wer bereitet etwas gegen Sie vor. Frühwarnung, bevor ein Angriff überhaupt beginnt, unabhängig davon, ob Sie CrowdStrike einsetzen.
Managed CSIRT
Blick nach innen: laufende Überwachung Ihrer Systeme, Bewertung von Alarmen und aktives Eingreifen rund um die Uhr. Hier landet ein Fund, wenn sich herausstellt, dass jemand den Zugang bereits benutzt hat.
↳ Managed CSIRT ansehen↳ Falcon Identity Protection ansehen
Incident Response
Der Ernstfall: forensische Aufklärung, Eindämmung, Wiederherstellung durch unser BSI-qualifiziertes DFIR-Team. Erreichbar rund um die Uhr, auch ohne bestehenden Vertrag.
↳ Incident Response ansehen
Womit

Woher die Daten kommen und was wir daraus machen.

Als Datenbasis nutzen wir CrowdStrike Falcon Adversary Intelligence, den Teil der Plattform, der Zugriff auf geschlossene Foren, Marktplätze und Messenger-Kanäle hat, die man von außen nicht betreten kann. Diese Quellen kauft man ein; darin unterscheiden wir uns nicht von anderen.

Was danach passiert, macht den Ausschlag: die Bewertung, was ein Fund für Ihre Umgebung bedeutet, und das, was daraus folgt. Dieselben Leute, die Ihre Falcon-Plattform betreiben und im Ernstfall die Forensik machen, entscheiden auch, ob ein Treffer Sie überhaupt erreichen sollte.

↳ Alle CrowdStrike-Leistungen im Überblick
Einrichtung
Scoping-Gespräch, dann Aufbau des Suchprofils. Erster Befund in der Regel innerhalb weniger Tage.
Meldeweg
E-Mail, Microsoft Teams oder Slack, nach Dringlichkeit gestuft, nicht als Sammelreport am Monatsende.
Voraussetzung
Keine. Der Dienst läuft eigenständig. Mit Falcon im Haus kommt die Rückwärtsprüfung dazu.
Betreuung
Deutschsprachige Analysten, feste Ansprechpartner, Berichte in einer Form für Geschäftsleitung und Technik.
Häufige Fragen

Was Kunden vorher wissen wollen.

Überflutet uns der erste Befund?
Der Erstbefund fällt fast immer umfangreicher aus als erwartet; in ihm steckt alles, was sich über Jahre angesammelt hat. Wir liefern ihn deshalb sortiert statt als Rohdatenliste: was aktiv nutzbar ist, was historisch und längst entwertet ist, was gar nicht Sie betrifft. Abgearbeitet wird in dieser Reihenfolge. Danach normalisiert sich die Menge deutlich, weil nur noch Neues dazukommt.
Wie schnell erfahren wir von einem Fund?
Die Überwachung läuft kontinuierlich. Zwischen dem Auftauchen einer Information und Ihrer Benachrichtigung liegt die analytische Prüfung. Bei kritischen Funden wie verkauften Netzwerkzugängen oder frisch registrierten Nachahmer-Domains ist das eine Frage von Stunden, nicht von Tagen. Weniger dringliche Treffer bündeln wir, statt Sie einzeln zu unterbrechen.
Brauchen wir dafür CrowdStrike im Haus?
Nein. Der Dienst läuft eigenständig und setzt keine Installation bei Ihnen voraus; wir brauchen lediglich Ihr Suchprofil. Betreiben wir zusätzlich Ihre Falcon-Umgebung, kommt ein wesentlicher Schritt dazu: Wir können rückwirkend prüfen, ob ein gefundener Zugang bereits benutzt wurde. Ohne diesen Abgleich bleibt offen, ob ein Leak folgenlos war.
Ist die Überwachung datenschutzrechtlich zulässig?
Wir suchen nach Daten Ihres Unternehmens und Ihrer Beschäftigten, die bereits ohne Erlaubnis veröffentlicht wurden; die Verarbeitung dient dem Schutz genau dieser Personen. Vertragsgrundlage ist eine Auftragsverarbeitung nach Art. 28 DSGVO; das Suchprofil wird auf betriebliche Bezüge beschränkt. Wie Sie Betriebsrat und Datenschutzbeauftragte einbinden, klären Sie intern; wir liefern die Unterlagen, die dafür nötig sind.
Können Sie geleakte Daten löschen lassen?
In den seltensten Fällen, und wir versprechen es nicht. Was einmal in einem Untergrundforum liegt, bekommt niemand zuverlässig wieder heraus. Handhabe gibt es dort, wo ein Betreiber oder Registrar erreichbar ist: bei Nachahmer-Domains, gefälschten Profilen und Inhalten auf regulären Plattformen. Deshalb liegt der Schwerpunkt darauf, den Fund wertlos zu machen, statt ihn zurückzuholen.
Was, wenn ein Fund einen unserer Dienstleister betrifft?
Das ist der häufigere Fall, als die meisten annehmen. Wir melden ihn genauso, mit der Einordnung, welche Ihrer Zugänge oder Daten über diesen Partner betroffen sein könnten. Die Ansprache des Dienstleisters bleibt bei Ihnen, weil dort Vertragsverhältnisse berührt werden; auf Wunsch stellen wir die technische Faktenlage bereit, mit der Sie das Gespräch führen können.
Was kostet Darknet Monitoring?
Der Preis hängt am Umfang des Suchprofils: wie viele Domänen, Marken und Personen überwacht werden und ob die Reaktion auf Funde mit beauftragt ist. Nach dem Scoping-Gespräch bekommen Sie ein festes monatliches Angebot ohne Abrechnung nach Fundmenge. Ein Erstbefund mit vielen Treffern verteuert den Dienst also nicht.
z
z
z
z
i
i
z
z
Wir
durchleuchten
das Darknet
Ein Scoping-Gespräch mit einem Analysten: was überwacht werden soll und was ein realistischer Erstbefund zeigt.