Was ist das Darknet?

Das Darknet (Dark Web) ist der Teil des Internets, der nur über anonymisierende Overlay-Netzwerke erreichbar ist, meist Tor, das Verkehr über mehrere verschlüsselte Relais leitet, um sowohl zu verbergen, wer eine Seite anfragt, als auch, wo diese Seite gehostet ist. Es liegt unterhalb des Deep Web, der weit größeren Menge an Seiten, die von Suchmaschinen schlicht nicht indexiert sind, etwa ein Banking-Dashboard hinter einem Login, als eigene, kleinere Schicht, definiert durch bewusste Anonymität statt bloßer Unauffindbarkeit. Diese Anonymität dient echten, legitimen Zwecken: Journalisten und Whistleblower, die Überwachung umgehen, Aktivisten in zensierten Regionen, gewöhnliche Nutzer, die ihr Surfverhalten bewusst von ihrer Identität entkoppeln. Dieselbe Eigenschaft verschafft unvermeidlich auch kriminellen Märkten genau die operative Deckung, die sie brauchen.

Was in der kriminellen Schicht gehandelt wird

Das Darknet beherbergt Marktplätze, die ähnlich wie gewöhnlicher E-Commerce funktionieren, mit Angeboten, Verkäuferbewertungen und Zahlungsabwicklung, aufgebaut auf Kryptowährung aus denselben Anonymitätsgründen, aus denen das Netzwerk selbst existiert. Was zum Verkauf steht, zeichnet den vollständigen Lebenszyklus digitalen Betrugs nach: gestohlene Kartennummern und komplette Identitätspakete, verkauft als Fullz, erbeutete Kontozugangsdaten, die Credential-Stuffing-Operationen speisen, Hacking-Tools und Exploit-Kits, und zunehmend Fraud-as-a-Service-Angebote: Bots-as-a-Service, Phishing-Kits und Konto-Erstellungs-Automatisierung, gemietet statt selbst gebaut. Strafverfolgungsbehörden haben wiederholt große Märkte beschlagnahmt, und jeder Takedown wird meist binnen Monaten von Nachfolgemärkten abgelöst, die den verdrängten Handel aufnehmen: Die Dezentralität der Schicht macht sie widerstandsfähig gegen jede einzelne Durchsetzungsmaßnahme.

Warum es für Verteidiger wichtiger ist als für Angreifer

Für ein Unternehmen liegt die Relevanz des Darknets fast ausschließlich in seiner Funktion als Frühwarnsignal, nicht als eigener Angriffsvektor: Nichts dort erreicht die Systeme eines Unternehmens direkt. Threat-Intelligence-Dienste überwachen Darknet-Foren und -Märkte auf eigene geleakte Zugangsdaten, auf Mitarbeiterdaten, die in Breach-Sammlungen auftauchen, oder auf die eigene Marke, die in Phishing-Kits imitiert wird, und verwandeln Untergrund-Gerede so in Vorwarnung vor genau den Angriffen, die ein Unternehmen erwarten sollte. Dort auftauchende Daten erklären auch Angriffsmuster im Nachhinein: Eine Welle automatisierter Login-Versuche gegen die Seite eines Unternehmens lässt sich oft auf einen bestimmten, Wochen zuvor auf einem bestimmten Markt verkauften Credential-Dump zurückführen.

Wo die Verteidigung wieder ansetzt

Welche Daten oder Werkzeuge auch immer aus dem Darknet stammen, sie müssen ihr Ziel schließlich über gewöhnlichen Web-Verkehr erreichen, und genau dort leisten konventionelle Abwehren ihre Arbeit, unabhängig von der Herkunft der Daten. Dort gekaufte gestohlene Zugangsdaten müssen weiterhin per Credential Stuffing gegen ein Login-Formular getestet werden; Fullz müssen weiterhin durch einen Antragsfluss eingereicht werden; gemietete Bot-Infrastruktur muss weiterhin einen Checkout oder eine Registrierung erreichen. Menschliche Verifizierung wie CaptchaFox an diesen Endpunkten fängt die Automatisierung unabhängig davon ab, welcher Markt das Rohmaterial lieferte, das ist die praktische Erkenntnis: Ein Unternehmen kann das Darknet nicht kontrollieren, aber es kann dafür sorgen, dass das dort Gekaufte nicht funktioniert, wenn es schließlich ankommt.