Infostealer: Geleakte Zugangsdaten überwachen

Ausgangslage

Infostealer stehlen mehr als Passwörter. Sie stehlen gültige Sitzungen.

Ein infizierter Rechner liefert alles, was im Browser gespeichert ist: Logins für VPN, E-Mail, Cloud und SaaS, dazu Sitzungscookies, mit denen Angreifer eine bestehende Anmeldung übernehmen können. Häufig ist es ein privates Gerät, das kein Sicherheitswerkzeug des Unternehmens sieht.

39%
der untersuchten Datenschutzverletzungen enthielten den Missbrauch von Zugangsdaten an irgendeiner Stelle des Angriffs.
Verizon DBIR 2026 ↗
13,2Mio.
Infostealer-Infektionen wertete SpyCloud für 2025 aus, mit durchschnittlich 50 Zugangsdaten je infiziertem Gerät.
SpyCloud Identity Exposure Report 2026 ↗
300.000+
Zugangsdaten für ChatGPT wurden 2025 durch Infostealer offengelegt. KI-Dienste tragen damit dasselbe Risiko wie andere SaaS-Anwendungen.
IBM X-Force Threat Index 2026 ↗

Warum ein Passwort-Reset nicht reicht

Ein Treffer ist erst der Anfang.

Sitzungen statt PasswörterGestohlene Sitzungscookies können gültig bleiben, bis die Sitzung beendet wird. Ein neues Passwort allein schließt den Zugang nicht immer.
Private Geräte außer SichtInfostealer laufen oft auf Rechnern, die keine Sicherheitssoftware des Unternehmens kennt. Die Infektion fällt intern nicht auf.
Alte Leaks, viel AufwandViele Treffer stammen aus Jahre alten Datensätzen. Ohne Prüfung bindet jeder davon das SOC, ob der Zugang noch relevant ist oder nicht.
Dienstleister und SaaSZugänge zu Ihren Systemen liegen auch auf Geräten von Dienstleistern und in SaaS-Konten, die in keinem Verzeichnis stehen.

So arbeitet NEXGAP

Funde prüfen, Zugänge schließen. Bevor jemand sie nutzt.

CQTI gleicht Infostealer-Logs, Combolists und Leaks laufend mit Ihren Domains, Anwendungen und kritischen Dienstleistern ab. Analysten prüfen Alter, Herkunft und Bezug zu Ihren Systemen, bevor ein Fund Sie erreicht.

01CQTI
Erfassen
Wir bilden Domains, Anmeldeportale, SaaS-Anwendungen und kritische Dienstleister ab und legen mit Ihnen fest, welche Funde sofort gemeldet werden.
Abgestimmter Scope
Zu CQTI ↗
02CQTI
Abgleichen
Infostealer-Logs, Combolists, Marktplätze und Leak-Seiten werden laufend nach Ihren Domains und Anmeldeadressen ausgewertet.
Laufender Abgleich
Zu CQTI ↗
03Analyst
Prüfen
Analysten bewerten Alter, Herkunft und Tragweite: Welches Konto, welche Anwendung, privates oder dienstliches Gerät, Passwort oder Sitzung?
Verifizierter Fund
Zu CQTI ↗
04Webhook
Schließen
Kritische Funde gehen binnen 60 Minuten per E-Mail und Webhook an SOC, IAM oder Ticketsystem, mit Empfehlung wie Passwort-Reset, Sitzungen beenden oder Gerät prüfen.
Alert mit Empfehlung
Zu CQTI ↗

Ergebnis

Ein Fund, mit dem IAM und SOC arbeiten können.

Geprüfte Funde je KontoMit Quelle, Zeitpunkt und betroffener Anwendung, ohne Dubletten und ohne alte Leaks.
Meldung binnen 60 MinutenPer E-Mail und Webhook in SIEM, SOAR, IAM-Prozess oder Ticketsystem.
Empfehlung je FundPasswort zurücksetzen, Sitzungen und Tokens beenden, Gerät prüfen, Dienstleister informieren.
LageberichtEntwicklung der Funde nach Gesellschaft, Anwendung und Dienstleister, für CISO und Geschäftsleitung.

FAQ

Häufige Fragen zu geleakten Zugangsdaten.

Was CISO, SOC und IAM-Team vor dem Start wissen möchten.

Frage stellen →

01Was ist ein Infostealer?

Schadsoftware, die gespeicherte Passwörter, Sitzungscookies und Browserdaten von einem Rechner kopiert und an Angreifer schickt, oft auch Zahlungsdaten und Krypto-Wallets. Die gesammelten Daten werden als Logs gehandelt und für den Einstieg in Unternehmensnetze genutzt.

02Wie erfahre ich, ob Zugangsdaten meines Unternehmens geleakt wurden?

Durch laufende Überwachung von Infostealer-Logs, Combolists, Marktplätzen und Leak-Seiten auf Ihre Domains und Anmeldeadressen. CQTI übernimmt das und meldet nur geprüfte Funde. Für eine einmalige Bestandsaufnahme eignet sich ein Darknet Audit.

03Was tun, wenn Zugangsdaten im Darknet auftauchen?

Passwort zurücksetzen, alle Sitzungen und Tokens des Kontos beenden und prüfen, ob das Konto seit dem Leak auffällig genutzt wurde. Stammt der Fund aus einem Infostealer-Log, gehört auch das infizierte Gerät geprüft. Jeder Alert von CQTI enthält die Empfehlung für den konkreten Fall.

04Schützt Mehrfaktor-Authentifizierung vor Infostealern?

Nur teilweise. Stehlen Infostealer ein gültiges Sitzungscookie, können Angreifer eine bestehende Anmeldung übernehmen, ohne die Mehrfaktor-Abfrage erneut zu durchlaufen. Deshalb gehört zum Umgang mit einem Fund immer auch das Beenden der Sitzungen.

05Kaufen Sie geleakte Daten im Untergrund?

Nein. Wir erwerben keine gestohlenen Daten. Sie erhalten die Angaben, die Sie zur Bewertung und Behebung brauchen, etwa betroffenes Konto, Anwendung, Zeitpunkt und Quelle des Funds.

06Hilft die Überwachung geleakter Zugangsdaten bei NIS2?

Sie liefert laufend Erkenntnisse für Risikoanalyse, Zugriffskontrolle und die Bewältigung von Sicherheitsvorfällen nach § 30 BSIG, jeweils mit Zeitpunkt und Quelle dokumentiert. Die Übersicht unterstützt die Einordnung und ersetzt keine rechtliche Bewertung.

Geleakte Zugangsdaten.
Gefunden, bevor sie genutzt werden.

Infostealer stehlen mehr als Passwörter. Sie stehlen gültige Sitzungen.

Funde prüfen, Zugänge schließen. Bevor jemand sie nutzt.

Erfassen

Abgleichen

Prüfen

Schließen

Häufige Fragen zu geleakten Zugangsdaten.

Welche Ihrer Zugänge stehen gerade zum Verkauf? Das Briefing zeigt es.

Geleakte Zugangsdaten.Gefunden, bevor sie genutzt werden.

Infostealer stehlen mehr als Passwörter. Sie stehlen gültige Sitzungen.

Funde prüfen, Zugänge schließen. Bevor jemand sie nutzt.

Erfassen

Abgleichen

Prüfen

Schließen

Verwandte Use Cases. Und die Leistungen dahinter.

Häufige Fragen zu geleakten Zugangsdaten.

Welche Ihrer Zugänge stehen gerade zum Verkauf? Das Briefing zeigt es.

Geleakte Zugangsdaten.
Gefunden, bevor sie genutzt werden.