E-Mail-Adressen gehören zu den wertvollsten Informationen für Cyberkriminelle. Sie dienen als Angriffspunkt für Phishing-Kampagnen, Passwort-Angriffe, Social Engineering und Identitätsdiebstahl. Gleichzeitig landen jedes Jahr Milliarden Datensätze aus kompromittierten Onlinediensten im Internet. Oft bemerken Betroffene erst sehr spät, dass ihre Daten bereits in einem Leak aufgetaucht sind.
Genau hier kann SpiderFoot seine Stärken ausspielen. Durch die Integration verschiedener Datenquellen lässt sich prüfen, ob E-Mail-Adressen, Benutzernamen oder andere Identitätsdaten bereits in bekannten Datenlecks aufgetaucht sind.
In diesem Teil unserer SpiderFoot-Serie schauen wir uns an, wie SpiderFoot bei der Erkennung von Datenlecks hilft, welche Module dafür besonders interessant sind und wie Unternehmen sowie Privatpersonen die Ergebnisse richtig interpretieren.
Warum Datenlecks so gefährlich sind
Ein Datenleck bedeutet nicht zwangsläufig, dass ein Angreifer sofort Zugriff auf ein Konto erhält. Dennoch stellen geleakte Daten ein erhebliches Risiko dar.
Ein typischer Leak kann enthalten:
- E-Mail-Adresse
- Benutzername
- Passwort-Hash
- Telefonnummer
- Anschrift
- Geburtsdatum
- Firmeninformationen
Besonders kritisch wird es, wenn mehrere Datenquellen miteinander kombiniert werden.
Angreifer erstellen daraus oft detaillierte Profile, die für Phishing-Angriffe oder Identitätsmissbrauch genutzt werden.
Beispielsweise kann eine E-Mail-Adresse aus einem alten Forum-Leak zusammen mit einem Passwort aus einem anderen Leak bereits ausreichen, um erfolgreiche Login-Versuche auf anderen Plattformen durchzuführen.
Dieses Verfahren wird als Credential Stuffing bezeichnet.
SpiderFoot und Datenlecks
SpiderFoot verfügt über zahlreiche Module zur Identitäts- und Leak-Recherche.
Der große Vorteil besteht darin, dass Informationen aus verschiedenen Quellen automatisch zusammengeführt werden.
Dadurch lassen sich Fragen beantworten wie:
- Wurde diese E-Mail-Adresse bereits kompromittiert?
- Welche Daten wurden veröffentlicht?
- Existieren weitere zugehörige Konten?
- Gibt es Hinweise auf Passwort-Leaks?
- Taucht die Identität in anderen Quellen auf?
Die Ergebnisse erscheinen anschließend im SpiderFoot-Dashboard und können mit weiteren Erkenntnissen verknüpft werden.
Have I Been Pwned
Eine der bekanntesten Datenquellen weltweit ist Have I Been Pwned.
Der Dienst sammelt Informationen aus öffentlich bekannten Datenlecks und ermöglicht die Suche nach kompromittierten E-Mail-Adressen.
SpiderFoot kann diese Datenquelle nutzen, um automatisch festzustellen, ob eine gefundene E-Mail-Adresse bereits in bekannten Vorfällen aufgetaucht ist.
Beispielsweise könnte eine Analyse zeigen:
- Adobe-Leak
- LinkedIn-Leak
- Dropbox-Leak
- Canva-Leak
- Collection #1
Dadurch wird schnell sichtbar, welche Identitäten potenziell betroffen sind.
Für Sicherheitsverantwortliche ist dies besonders hilfreich, um Risiken innerhalb der eigenen Organisation frühzeitig zu erkennen.
DeHashed
DeHashed gehört zu den umfangreichsten kommerziellen Leak-Datenbanken.
Die Plattform sammelt Informationen aus einer Vielzahl öffentlich gewordener Datenlecks und ermöglicht detaillierte Recherchen.
SpiderFoot kann über entsprechende Module folgende Informationen abrufen:
- E-Mail-Adressen
- Benutzernamen
- Passwort-Hashes
- Telefonnummern
- Domains
- IP-Adressen
Die Ergebnisse liefern häufig deutlich mehr Details als klassische Leak-Prüfungen.
Gerade bei Unternehmensanalysen lassen sich dadurch oftmals vergessene Konten oder alte Zugangsdaten entdecken.
IntelligenceX
IntelligenceX geht noch einen Schritt weiter.
Die Plattform durchsucht nicht nur Datenlecks, sondern auch zahlreiche weitere Informationsquellen.
Dazu gehören unter anderem:
- Paste-Seiten
- öffentliche Dokumente
- Archivdaten
- Leak-Sammlungen
- öffentlich zugängliche Datensätze
Dadurch lassen sich Informationen finden, die in klassischen Leak-Datenbanken möglicherweise nicht auftauchen.
Für Sicherheitsanalysten ist dies besonders wertvoll, da häufig Zusammenhänge zwischen verschiedenen Datenquellen sichtbar werden.
Praxisbeispiel: Analyse einer Unternehmensdomain
Angenommen, ein Unternehmen möchte wissen, welche Informationen über seine Mitarbeiter öffentlich bekannt geworden sind.
SpiderFoot startet die Analyse mit der Unternehmensdomain.
Während des Scans werden:
- E-Mail-Adressen identifiziert
- öffentliche Dokumente durchsucht
- Leak-Datenbanken abgefragt
- weitere Identitäten ermittelt
Die Ergebnisse könnten beispielsweise zeigen:
- mehrere Mitarbeiterkonten in alten Foren-Leaks
- kompromittierte E-Mail-Adressen aus früheren Datenpannen
- veröffentlichte Passwort-Hashes
- alte Accounts auf Drittplattformen
Diese Informationen ermöglichen es dem Unternehmen, gezielt Gegenmaßnahmen einzuleiten.
Passwort-Leaks verstehen
Ein häufiges Missverständnis besteht darin, dass ein Passwort-Leak immer das tatsächliche Passwort enthält.
In vielen Fällen werden lediglich Passwort-Hashes veröffentlicht.
Ein Hash ist eine mathematische Darstellung eines Passworts.
Allerdings sind viele alte Hash-Verfahren mittlerweile unsicher.
Wenn Angreifer die Hashes knacken können, erhalten sie Zugriff auf die ursprünglichen Passwörter.
Besonders gefährlich sind:
- MD5
- SHA1
- unsaltete Hashes
Moderne Verfahren wie bcrypt oder Argon2 bieten deutlich besseren Schutz.
Tauchen alte Hashes in einem Leak auf, sollten die zugehörigen Passwörter dennoch sofort geändert werden.
Kompromittierte Identitäten erkennen
SpiderFoot betrachtet nicht nur einzelne E-Mail-Adressen.
Durch die Verknüpfung verschiedener Datenquellen können komplette digitale Identitäten sichtbar werden.
Dazu gehören:
- Benutzerkonten
- Social-Media-Profile
- E-Mail-Adressen
- Domains
- Dokumente
- Leaks
Diese Zusammenhänge helfen dabei, Risiken besser zu verstehen.
Ein einzelner Leak wirkt zunächst oft harmlos.
Werden jedoch mehrere Datenquellen kombiniert, entsteht schnell ein umfassendes Profil einer Person oder Organisation.
Was tun, wenn ein Leak entdeckt wird?
Wird eine kompromittierte Identität gefunden, sollten möglichst zeitnah Maßnahmen eingeleitet werden.
Dazu gehören:
Passwörter ändern
Alle betroffenen Passwörter sollten sofort ersetzt werden.
Passwort-Wiederverwendung vermeiden
Jedes Konto benötigt ein eigenes Passwort.
Multi-Faktor-Authentifizierung aktivieren
MFA reduziert das Risiko erheblich.
Alte Konten entfernen
Nicht mehr benötigte Accounts sollten gelöscht werden.
Regelmäßige Überwachung einführen
Neue Leaks entstehen ständig.
Eine wiederkehrende Überprüfung ist daher sinnvoll.
Grenzen der Leak-Erkennung
SpiderFoot kann nur auf Daten zugreifen, die in den angebundenen Quellen verfügbar sind.
Nicht jeder Vorfall wird öffentlich bekannt.
Zudem enthalten manche Leak-Datenbanken nur einen Teil der tatsächlich verfügbaren Informationen.
Die Ergebnisse sollten daher stets als Indikator betrachtet werden und nicht als vollständige Übersicht aller kompromittierten Daten.
Datenlecks gehören mittlerweile zum Alltag der digitalen Welt. Viele Benutzer und Unternehmen wissen jedoch nicht, dass ihre Daten bereits seit Jahren öffentlich kursieren.
SpiderFoot hilft dabei, solche Risiken sichtbar zu machen. Durch die Integration von Quellen wie Have I Been Pwned, DeHashed und IntelligenceX lassen sich kompromittierte E-Mail-Adressen, veröffentlichte Zugangsdaten und potenziell gefährdete Identitäten frühzeitig erkennen.
Wer SpiderFoot regelmäßig einsetzt, kann Sicherheitsrisiken deutlich früher identifizieren und geeignete Schutzmaßnahmen ergreifen. Gerade für Unternehmen, Behörden und Organisationen ist die kontinuierliche Überwachung von Identitäten und Datenlecks ein wichtiger Baustein moderner Informationssicherheit.
