Ein neuer Bericht von Check Point Software und Cyberint gibt Einblick in das florierende Geschäft mit gestohlenen Zugangsdaten. Besonders kleine und mittlere Unternehmen sind im Visier. Administratoren-Konten sind zunehmend gefragt – oft für weniger als 1000 US-Dollar.
Foto: Adobe Stock / blackday
Die zunehmende Professionalisierung cyberkrimineller Netzwerke zeigt sich in einem Bereich besonders deutlich: dem Geschäft mit initialen Zugriffen auf Unternehmenssysteme. Sogenannte Initial Access Broker (IAB) verkaufen gehackte Zugangsdaten an andere Kriminelle, die diese etwa für Ransomware-Angriffe nutzen. Ein neuer Report von Cyberint, einer Tochtergesellschaft von Check Point Software Technologies, beleuchtet dieses Geschäftsmodell auf Basis von Daten aus einschlägigen Darknet-Foren. Die Analyse legt dar, wie systematisch der Zugang zu Unternehmen angeboten wird – und wie gering die Einstiegskosten für Angreifer inzwischen sein können.
Laut dem Bericht werden 58 Prozent der im Darknet gehandelten Firmennetzwerk-Zugänge für unter 1000 US-Dollar verkauft. Die Preisspanne für die Mehrheit der Angebote liegt zwischen 500 und 3000 US-Dollar. Gelegentlich finden sich auch besonders privilegierte Zugänge, die mit bis zu 10.000 US-Dollar gehandelt werden. Die Daten stammen aus den Darknet-Foren „Ramp“, „Breach“, „XSS“ und „Exploit“ und wurden über einen Zeitraum von zweieinhalb Jahren erhoben.
Quelle: Check Point Software Technologies
Die Abbildung zeigt die Preisspannen und Ihre Häfigkeit
Die USA waren 2024 mit 31 Prozent aller beobachteten Fälle das Hauptziel von IAB-Aktivitäten. Auch Frankreich und Brasilien rückten zunehmend in den Fokus. Deutschland belegt Platz zehn unter den am häufigsten betroffenen Ländern. Die geografische Konzentration deutet laut Bericht darauf hin, dass Hacker gezielt Regionen mit wirtschaftlich attraktiven Zielen ins Visier nehmen. Die Branche der Unternehmensdienstleistungen war am häufigsten betroffen, gefolgt von Einzelhandel und – neu aufgestiegen – der Fertigungsindustrie.
Quelle: Check Point Software Technologies
Die Abbildung zeigt die Top 5 der betroffenen Branchen 2024
Ein signifikanter Trend ist die zunehmende Fokussierung auf kleinere Unternehmen. Im Jahr 2024 entfielen rund 60 Prozent der angebotenen Zugänge auf Unternehmen mit einem Jahresumsatz zwischen fünf und 50 Millionen US-Dollar. Diese Organisationen verfügen häufig über schwächere IT-Infrastrukturen. Auffällig: 53 Prozent der angegriffenen Endpunkte vertrauten ausschließlich auf Windows Defender als Schutzlösung. Der durchschnittliche Umsatz der IAB sank entsprechend von 1,38 Milliarden US-Dollar (2023) auf 1,28 Milliarden US-Dollar (2024).
Quelle: Check Point Software Technologies
Die Abbilung zeigt den hohen Fokus auf Unternehmen zwischen 5 und 50 Millionen Dollar Jahresumsatz
Beim Zugangstyp zeigt sich ein Wandel: Während 2023 vor allem über ungesicherte Remote Desktop Protocols (RDP) kompromittierte Server verkauft wurden, gewinnen VPN-Zugänge an Bedeutung. Ihr Anteil stieg auf 33 Prozent, während RDP auf 55 Prozent zurückging. Auch die Art der Benutzerkonten verändert sich. Besonders stark wuchs der Handel mit Domain-Nutzerkonten (+447 Prozent), aber auch lokale Administratoren (+161 Prozent) und Domain-Administratoren (+144 Prozent) wurden häufiger angeboten.
Laut Marco Eggerling, Global CISO bei Check Point, sei die Bedrohungslage insbesondere für die DACH-Region nicht zu unterschätzen: „Angesichts der vermehrten Berichterstattung über Angriffe im Mittelstand ist es nur eine Frage der Zeit, bis auch hiesige Unternehmen verstärkt betroffen sind.“ Er betont die Bedeutung robuster Passwort-Richtlinien, konsequenter Multi-Faktor-Authentifizierung und proaktiver Maßnahmen wie Darknet-Monitoring auf kompromittierte Zugangsdaten. Nur ein mehrschichtiger Sicherheitsansatz könne Unternehmen wirksam schützen.
Bitte beachten Sie, dass die bereitgestellten Daten auf Beobachtungen aus den Foren „Ramp“, „Breach“, „XSS“ und „Exploit“ beschränkt sind. Diese Quellen sind zwar wichtig, vermitteln aber kein vollständiges Bild aller Bedrohungsaktivitäten.
