01
Für das SOC unsichtbare Spuren
Von Infostealern gestohlene Credentials, zum Verkauf stehende IAB-Zugänge, in Foren diskutierte Marken hinterlassen keine Logs auf den Systemen des Kunden — sie liegen außerhalb des Perimeters.
Bedrohungen haben ein Echo im Untergrund.
Criminal Marketplaces, Ransomware Leak Sites, Telegram-Kanäle, Underground-Foren, Infostealer Log Dumps. Die meisten Bedrohungen haben ein Echo in kriminellen Kanälen, bevor sie das SOC erreichen. Fortgale hört kontinuierlich zu: 24/7-Überwachung, Real-Time-Alerts, Akteurs-Kontext. 50+ Ransomware Leak Sites, 300+ Telegram-Kanäle, dutzende Underground-Foren und Infostealer Log Dumps, indiziert nach Kundendomain.
Standards · Framework
MITRE ATT&CK
STIX 2.1
TAXII 2.1
Diamond Model
Disziplin · Analyse
OSINT
HUMINT
Tor · I2P
Crypto Tracking
Das Problem
Das SOC sieht den Angriff. Das Dark Web hat schon darüber gesprochen.
Den meisten Ransomware-Vorfällen gehen wochenlange Spuren in kriminellen Kanälen voraus: Credentials zum Verkauf, veröffentlichte IAB-Zugänge, in Foren diskutierte Marken. Ohne Monitoring des Untergrunds bleiben diese Spuren für das SOC unsichtbar.
02
Zeitverlust nach dem Leak
Sobald die Daten auf der Leak Site landen, ist der Schaden bereits angerichtet. Nur Monitoring ermöglicht es, vorher Bescheid zu wissen — während des Countdowns oder der Verhandlung.
03
Blinde Supply Chain
Ein kompromittierter kritischer Lieferant kann zum Angriffsvektor werden. Erweitertes Tracking auf Lieferantendomains = Pre-Warning für die Supply Chain.
Die Unterscheidung, die alles ändert
Oberflächliches Monitoring vs operative Überwachung.
Der Unterschied liegt nicht darin, "wie viele Sites Sie scannen", sondern wie viele unterschiedliche, wie oft und mit welchem Kontext. Ein Monitoring ohne Korrelation und Analyst Follow-up erzeugt nur Lärm.
Standard Dark Web Monitoring
- Periodische Scans weniger bekannter Quellen
- Nur Clearnet + einige Paste Sites
- Output: rohe Mention-Liste
- Keine Korrelation mit Kunden-Assets
- Kein Kontext zum Akteur
Commodity
Fortgale Coverage
- 50+ Leak Sites · 300+ Telegram-Kanäle · Underground-Foren · Tor-Marketplaces
- Tor, I2P, Freenet · Invite-only Forums
- Automatische Korrelation mit Assets, Brand, Führungskräften
- Kontext: Akteur, Motivation, Modus Operandi
- Analyst Follow-up innerhalb von 30 Min bei kritischen Ereignissen
Operativ · actionable
Die Methode · 4 Schritte
Von der kriminellen Quelle zum qualifizierten Alert.
Vier dokumentierte Phasen · von der Quellen-Discovery bis zur Lieferung eines Alerts mit Kontext.
- 01Kontinuierliche Karte des Untergrunds
Discovery und Indexing der Quellen
Kontinuierliches Mapping der relevanten kriminellen Quellen: aktive Ransomware Leak Sites (50+), Marketplaces auf Tor/I2P, Telegram-Kanäle von Kit Sellern und IABs, Underground-Foren (Exploit, XSS, BreachForums-Nachfolger), Paste Sites (Pastebin, RentryCo). Die Quellendatenbank wird ständig aktualisiert.
- 02Automated + OSINT-Analysten
Continuous Surveillance 24/7
24/7-automatisierte Überwachung mit OSINT-Analysten von Fortgale für Quellen, die menschliche Interaktion erfordern (Invite-only-Foren, private Channels). Coverage von Tor, I2P, Freenet, Dark Web Shops, Telegram, Underground-Foren, Paste Sites, Crypto Channels.
- 03Vom Signal zum Kontext
Validierung, Korrelation, Anreicherung
Jedes Ereignis wird validiert (keine False Positives), mit Assets und Brand des Kunden korreliert (Domains, Unternehmens-E-Mails, Führungskräfte, IP-Ranges, Produkte) und mit Kontext zum Herkunftsakteur angereichert (Ransomware-Gruppe, IAB, MaaS Operator, Motivation).
- 04Von der Erkennung zur Aktion
Real-Time-Alert und Analyst Follow-up
Sofortiger Alert via Webhook (Slack, Teams, Discord), E-Mail, SMS. Bei kritischen Ereignissen (Leak Site Exposure, Admin-Credentials, kompromittierte Führungskräfte) meldet sich ein Fortgale-Analyst innerhalb von 30 Minuten zur operativen Unterstützung (Containment, Reset, Take-down).
Monitoring-Kategorien
Fünf Quellenfamilien · kontinuierliche Coverage.
Die fünf Familien krimineller Quellen, die Fortgale kontinuierlich überwacht. Jede Familie hat eigene Dynamiken, eigene Zeiten, eigene Muster.
Kategorie 01
Ransomware Leak Site Tracking
50+ aktive Gruppen · LockBit · RansomHub · Akira · Medusa · Cl0p
Kontinuierliches Tracking der Leak Sites der wichtigsten Ransomware-Gruppen. Jedes neu angekündigte Opfer wird indiziert, mit den Fortgale-Kunden und ihren Supply Chains korreliert. Pre-Leak Alert, wenn eine Kunden- oder Lieferantendomain im Countdown erscheint.
- Top-Gruppen 2024-2026 LockBit (post-Cronos), RansomHub, Akira, Medusa, Cl0p, BlackBasta, Play, INC Ransom, Hunters International, Qilin.
- Pre-Leak Countdown Alert, wenn die Domain des Kunden oder eines Lieferanten im Countdown auf der Leak Site erscheint, bevor die Daten veröffentlicht werden.
- Data Leak Content Analysis Sobald die Daten veröffentlicht werden, schnelle Analyse des Inhalts: Typ (PII, Finanzdaten, Quellcode, E-Mail), Perimeter, Sensitivity.
- Sektor-Viktimologie Tracking von Opfer-Häufungen im Sektor des Kunden für Pre-Warning zu aktiven Gruppen (z.B. LockBit-Welle im DACH-Manufacturing).
- Negotiation Channel Monitoring der Verhandlungskanäle der Gruppe (Tor Portal, Tox ID, qTox), um Taktik- und Pricing-Änderungen vorwegzunehmen.
Kategorie 02
Criminal Marketplaces
Russian Market · Tor Shops · Dark Web Stores
Kontinuierliche Coverage der Marketplaces, auf denen Initial Access (IAB), Credentials, exfiltrierte Daten, Exploits und Malware verkauft werden. Automatische Indexierung nach Kundendomain, IP-Range, Produkten, Führungskräften.
- Russian Market Top-Marketplace für Stolen Logs (nach dem Takedown von Genesis Market). Kontinuierliches Tracking neuer Listings nach Kundendomain.
- Initial Access Brokers Listings von kompromittierten RDP-, VPN-, Citrix-, SSH-Zugängen. Typisches Pricing $500-50.000 je nach Sektor und Privileg.
- Exploit Marketplace Verkauf von 0-Days, N-Days, Exploit Chains. Tracking für CVEs, die für den Kundenperimeter relevant sind.
- Tor Shops und Clearnet Escrow Marketplaces auf .onion (Tor) und Clearnet-Mirror mit Crypto Escrow. Listings exfiltrierter Daten, kompromittierter Konten, gestohlener Identitäten.
- Crypto Laundering Channel Tracking von Crypto-Flüssen im Zusammenhang mit Ransom Payment, Exit Scam, Money Laundering — nützlich für Attribution und Kontext.
Kategorie 03
Infostealer Log Dump Tracking
Lumma · RedLine · Vidar · StealC · Atomic
Erfassung und Indexierung der zum Verkauf stehenden Infostealer-Logs. Infostealer stehlen Credentials, Cookies, Session Tokens, Crypto Wallets, Autofill aus den Browsern der Opfer. Die Logs landen auf Marketplaces, Telegram und Foren zum Verkauf. Fortgale erfasst sie, indiziert nach Kundendomain und meldet in Echtzeit.
- Lumma Stealer Logs Top-Stealer 2024-2026. Verbreitung via Telegram, Verkauf der Logs auf Russian Market und Seller-Telegram-Kanälen. Indexierung nach Kundendomain.
- RedLine · Vidar · StealC Legacy-Familien, weiterhin aktiv. Tracking der C2-Panels, Build-IDs, Exfiltration Server und Distributionskanäle.
- Atomic / macOS Stealer AMOS, Banshee, Cthulhu — wachsendes macOS-Ökosystem. Tracking von Fake Installern (Homebrew, Cracked Apps), Exfiltration Patterns.
- Combolist & Credential Stuffing Dump Aggregate von Credentials aus mehreren Breaches. Coverage der wichtigsten Dumps, verbreitet via Paste Sites und Telegram.
- Session Cookie und Token Theft Gültige Session Cookies für Microsoft 365, Google Workspace, Okta — eingesetzt zur Umgehung von MFA. Tracking der Dumps.
Kategorie 04
Underground-Foren
Exploit · XSS · BreachForums-Nachfolger · Niche Forums
Monitoring der historischen Criminal Forums (Exploit, XSS) und der Post-Takedown-Nachfolger von BreachForums/RaidForums. Coverage von technischen Diskussionen, Access Sales, Angriffsplanung, Recruitment.
- Exploit · XSS Historische russischsprachige Foren. Technische Diskussionen, Verkauf von 0-Days und IAB-Zugängen, Recruitment für Ransomware Affiliate Programs.
- BreachForums-Nachfolger Nach den Takedowns 2023-2024 Monitoring der Nachfolger (Klone, Mirror, Niche-Foren).
- DACH-targeting Niche Forums Foren spezialisiert auf deutsche/europäische Ziele (Sprache, gebrandet). Diskussionen zu DACH-Banken, deutschen IDPs und behördlichen Diensten.
- Recruitment & Affiliate Channel Recruitment-Ankündigungen für Ransomware-Affiliates, IAB-Partnerschaften, DDoS-for-Hire — nützlich zur Antizipation von Angriffswellen.
- Reputation Tracking Tracking der Reputation der Operatoren (Scammer, Scammers Blacklist) — nützlich für Attribution.
Kategorie 05
Criminal Telegram-Kanäle
Kit Seller · Ransom Announcement · IAB · Combo Dump
Telegram ist heute der bevorzugte Kommunikationskanal des russischsprachigen und europäischen Cybercrime. Coverage von 300+ Kanälen aus Kit Sellern, Ransom Announcements (alternativ zur Leak Site), IAB-Markt, Combolist Dumps, Hacktivist Channels.
- Kit Seller Channel Tycoon 2FA, Mamba 2FA, EvilProxy, W3LL · Seller-Kanäle mit Version-Announcements, Demos, Support.
- Ransom Announcement Einige Gruppen (Cl0p, Akira) kündigen Opfer auch auf Telegram an, zusätzlich zur Tor-Leak-Site. Bilaterale Coverage.
- IAB Market Kanäle, auf denen Zugänge (RDP, VPN, Citrix) verkauft werden. Real-Time Listings, transparentes Pricing.
- Combolist und Dumps Kanäle dediziert zur Verbreitung von Combolists (email:password) aus mehreren Breaches.
- Hacktivist und Ideologen Hacktivist-Kanäle (KillNet, NoName057(16), Anonymous Sudan) mit Announcements zu DDoS, Leaks, Defacement.
Unter den am intensivsten getrackten
Sieben Quellen, die Fortgale jeden Tag überwacht.
Ein Auszug der relevantesten kriminellen Quellen für DACH- und europäische Kunden. Es verändert sich ständig: jeden Monat tauchen neue Leak Sites auf, andere verschwinden durch Takedown oder Exit Scam.
Ransomware Leak Site · 2019-aktiv · Top
LockBit Leak Site
LockBit · RaaS · post-Operation Cronos
- Typ
- Leak Site Tor · Countdown · Double Extortion
- Tracking
- Opfer · Countdown · Negotiation Channel · veröffentlichte Daten
Kontinuierliches Tracking der LockBit-Leak-Site nach der Operation Cronos 2024. Die Gruppe hat sich mit erneuerter Leak Site und Affiliate Program rekonstituiert. Fortgale überwacht neue Opfer, Countdowns und indiziert die veröffentlichten Daten für Kunden-Assets.
Post-CronosESXi TargetingRaaSTop Tracked
Tracking · Top Monitoring anfragen →
Ransomware Leak Site · 2024-aktiv · Top Group
RansomHub Leak Site
RansomHub · RaaS · Ex-ALPHV Affiliate
- Typ
- Leak Site Tor · Multi-Sektor
- Tracking
- Opfer · Payload Exclusivity · Negotiation
Top-Gruppe 2024-2026. Tracking der RansomHub-Leak-Site, angekündigte Opfer (Fertigung, Gesundheitswesen, Öffentliche Verwaltung), Exfiltration Patterns und Korrelation mit den Kunden Ihrer Lieferanten.
Top 2024-26Multi-SektorPost-ALPHVESXi
Tracking · Top Monitoring anfragen →
Infostealer Logs · 2022-aktiv · Top Dump
Lumma Stealer Logs
Lumma · MaaS · Telegram-distributed
- Typ
- Stolen Log Dump · Credentials · Cookies · Wallets
- Tracking
- C2 Panel · Build ID · Log Dumps · Telegram Channels
Lumma Stealer ist der Top-Infostealer 2024-2026. Die gestohlenen Logs werden auf Russian Market, Telegram und BreachForums verkauft. Fortgale indiziert die Logs nach Kundendomain und meldet in Echtzeit.
Top Stealer 2025MaaSTelegram-dist.Cookie Theft
Tracking · Top Monitoring anfragen →
Stolen Log Marketplace · 2024-aktiv
Russian Market
Russian Market · Marketplace
- Typ
- Stolen Log Marketplace · Post-Genesis
- Tracking
- Neue Listings · Domains · Produkte · Preise
Marketplace #1 für Stolen Logs nach dem Takedown von Genesis Market. Real-Time-Tracking neuer Listings nach Kundendomain. Distinct Fingerprint auf den Patterns der wichtigsten Seller.
Stolen LogsPost-GenesisMulti-StealerActive 24/7
Tracking · Top Monitoring anfragen →
Underground Forum · 2024-aktiv
BreachForums-Nachfolger
BreachForums · Klone post-Takedown
- Typ
- Underground Forum · Breach Sale · IAB
- Tracking
- Breach Listings · Credential Sale · 0-Day Discussion
Nach den Takedowns 2023-2024 hat BreachForums zahlreiche Klone und Nachfolger hervorgebracht. Tracking der wichtigsten (teils Invite-only) durch OSINT-Analysten von Fortgale.
Post-TakedownBreach SaleIABInvite-only
Tracking · Active Monitoring anfragen →
Phishing Kit Market · 2023-aktiv
Telegram Phishing Kit Shops
Tycoon · Mamba · EvilProxy Seller Channels
- Typ
- Phishing Kit Sale · Operator Support
- Tracking
- Listings · Demos · Pricing · Operator Profile
Telegram ist der bevorzugte Kanal für den Verkauf von Phishing Kits. Tracking der Kanäle von Tycoon 2FA, Mamba 2FA, EvilProxy, W3LL. Coverage neuer Versionen, Pricing, Support-Kanäle.
Phishing KitTelegram-dist.AiTMOperator Tracking
Tracking · Active Monitoring anfragen →
IAB & Exploit · 2023-aktiv
Initial Access Broker Forums
IAB · Exploit · XSS · Telegram IAB Market
- Typ
- Initial Access Sale · RDP · VPN · Citrix
- Tracking
- IAB Listings · Opfer-Sektor · Pricing
Foren und Kanäle, auf denen kompromittierte Initial-Access-Zugänge (RDP, VPN, Citrix, SSH) verkauft werden. Real-Time-Tracking, Korrelation mit dem Sektor des Kunden für Pre-Warning.
IABPre-RansomwareAccess SalePricing Tracking
Tracking · Active Monitoring anfragen →
Qualität · Methodik
Explizite Severity. Kein Noise.
Jedes Ereignis erhält ein explizites Severity-Level (Critical/High/Medium/Info), das den Alert-Kanal bestimmt. Keine rohe Liste, keine Alert Fatigue.
Critical
Sofortige Aktion
Aktive Leak Site Exposure, kompromittierte Admin-Credentials, Führungskraft in Opferliste, sensible Daten zum Verkauf. Sofortiger Alert + Analyst Follow-up innerhalb von 30 Min.
High
Webhook Alert
Standard-User-Credentials kompromittiert, Erwähnung des Unternehmens in Criminal Forum, aktive Registrierung einer Look-Alike-Domain. Webhook Alert innerhalb von 15 Min.
Medium
Weekly Digest
Erwähnung im Weekly Digest, historisches nicht mehr aktives Listing, Datum mit geringem Wert. Enthalten im Weekly Digest.
Info
Nur Dashboard
Informelle Erwähnung, Mention in Kanal mit geringem Wert, allgemeiner Kontext. Verfügbar im Dashboard, erzeugt keinen Alert.
Der Output
Wie das Monitoring geliefert wird.
Vier Distributionskanäle, gewählt je nach Rolle (CISO, SOC, IR, Vorstand) und Kritikalität des Ereignisses.
01
Real-Time-Dashboard
Fortgale Web-Konsole mit Echtzeit-Sicht auf die erkannten Ereignisse: Leak Sites, Marketplace Listings, Infostealer Log Dumps, Mentions in Foren. Filtering nach Quelle, Kritikalität, betroffenem Asset.
02
Real-Time Webhook Alert
Sofortiger Push kritischer Alerts via Webhook (Slack, Teams, Discord), E-Mail, SMS. SLA < 15 Minuten ab Erkennung für kritische/high-severity Ereignisse.
03
Weekly Digest
Wöchentlicher Report per E-Mail für CISOs mit statistischer Übersicht: Ereignisvolumen, Top Sources, Top Actors, Fokus auf Ereignisse, die Management-Entscheidungen erfordern.
04
On-Demand Investigation
On-Demand-Vertiefung spezifischer Ereignisse durch Fortgale-Analysten: Akteurs-Kontext, Containment-Unterstützung, Koordination mit Incident Response.
Technische Ehrlichkeit
Wann Monitoring nicht aktiviert werden muss.
Deep & Dark Web Monitoring ist nur sinnvoll, wenn die Organisation eine Online-Exposition hat: sichtbare Marke, Führungskräfte mit öffentlichem Profil, E-Commerce, vom Internet aus zugängliche kritische Assets, Ransomware-Zielsektor (Fertigung, Gesundheitswesen, Energie, Finanzen, Öffentliche Verwaltung).
Ist die Organisation B2B-Niche, ohne öffentliche Marke, ohne E-Commerce, ohne sichtbare Führungskräfte — ist der Wert der Alerts gering. In diesem Fall liefert ein Standard-STIX/TAXII-Feed (Capability 02) oder vertikale Advisories (Capability 03) mehr Wert.
Sind Sie unsicher? Sprechen Sie mit uns. Wenn Sie es nicht brauchen, sagen wir Ihnen das.
Integration
Monitoring als Advanced Sensor der Verteidigung.
Die Monitoring-Ereignisse speisen Detection, Intelligence und Governance · sie bleiben nicht in einem isolierten Report.
SOC · Detection
Kompromittierte Credentials → Detection
Wenn ein exponiertes Infostealer-Log Unternehmens-Credentials enthält, erhält das SOC einen priorisierten Alert, um die Session zu deaktivieren und ein Reset zu erzwingen.
SOC entdecken →IR · Early Warning
Pre-Leak Alert für IR
Sobald eine Domain im Countdown einer Leak Site erscheint, wird das IR-Team präventiv für das Containment aktiviert.
IR kontaktieren →CTI · Capability 01
Akteurs-Kontext aus dem Monitoring
Die Spuren im Dark Web speisen die Akteurs-Profile — wer was angreift, wie und wie oft.
TA Profiling entdecken →CTI · Sister Capability
Die anderen 6 CTI-Capabilities
Threat Actor Profiling · TI Feed · Advisory · Executive Briefing · ASM · Brand Intelligence. Monitoring ist Capability 05 von 7.
Alle ansehen →Für den Vorstand
Drei Slides · die Exposition, die der Vorstand nicht sieht.
Dark Web Monitoring liefert Daten, die der Vorstand sonst nicht erhalten kann. Drei Slides, um die Relevanz hervorzuheben.
01 · Aktuelle Exposition
Wie viele Ereignisse in den letzten 6 Monaten erkannt · wie viele Credentials exponiert · wie viele Führungskräfte erwähnt · wie viele Lieferanten auf Leak Sites.
02 · Der Gegner
Wer Ihren Sektor angreift (Ransomware-Gruppen, IABs, Infostealer) · wie oft Sie indirekte Häufungen haben (über Lieferanten, Ex-Mitarbeiter).
03 · Die Aktion
Wie viele Vorfälle dank Pre-Warning vermieden (zurückgesetzte Credentials · blockierte Domains · zur Sensibilisierung kontaktierte Führungskräfte) · geschätzte vermiedene Kosten.
Das «3-Slides-Vorstands»-Pack ist im PDF-Format verfügbar · separat anforderbar.
FAQ
Häufige Fragen zum Dark Web Monitoring.
Was bedeutet Deep & Dark Web Monitoring?
Es bedeutet kontinuierliche Überwachung der kriminellen Quellen, die für Suchmaschinen nicht zugänglich sind: Marketplaces auf Tor, Ransomware Leak Sites, Underground-Foren, Telegram-Kanäle von Kit Sellern und IABs, zum Verkauf stehende Infostealer Log Dumps, Paste Sites. Fortgale überwacht über 50 aktive Ransomware Leak Sites sowie dutzende Marketplaces und hunderte Telegram-Kanäle, mit 24/7 Coverage automated + OSINT-Analysten.
Welche Ransomware Leak Sites werden getrackt?
Alle Top-Gruppen aktiv in 2024-2026: LockBit (post-Cronos), RansomHub, Akira, Medusa, Cl0p, BlackBasta, Play, INC, Hunters International, Qilin sowie 40+ weitere kleinere Gruppen. Tracking von Leak Announcements, veröffentlichten Daten, Negotiation Channels und Opfer-Häufungen im Sektor des Kunden.
Wie funktioniert das Monitoring der Infostealer-Logs?
Infostealer (Lumma, RedLine, Vidar, StealC) stehlen Credentials, Cookies und Session Tokens, die auf Russian Market, Telegram-Kanälen und BreachForums-Nachfolgern zum Verkauf landen. Fortgale erfasst die Marketplace-Logs, indiziert sie nach Kundendomain und meldet in Echtzeit, sobald Unternehmens-Credentials oder kompromittierte Assets auftauchen.
Was unterscheidet das Angebot von Standard-Dark-Web-Monitoring-Services?
Standard-Services führen periodische Scans weniger bekannter Quellen durch. Fortgale bietet kontinuierliche Coverage von 50+ Leak Sites, 300+ Telegram-Kanälen, dutzenden Underground-Foren, Marketplaces auf Tor/I2P und Infostealer Log Dumps, mit automatischer Korrelation zum Kunden-Inventory und Kontext zu den Akteuren. Kein roher Report: ein qualifizierter Alert mit erforderlicher Aktion.
Wie schnell wird ein Alert ausgelöst?
Für Leak Site Exposure und hochprivilegierte Credentials: Webhook-Alert in Echtzeit innerhalb von 5-15 Minuten nach Erkennung. Bei kritischen Ereignissen (Critical Severity) ruft oder schreibt ein Fortgale-Analyst innerhalb von 30 Minuten. Für informelle Ereignisse: tägliches oder wöchentliches Digest nach Wahl des Kunden.
Wann ist Dark Web Monitoring NICHT sinnvoll?
Wenn die Organisation keine online sichtbare Marke hat, keine kritischen Assets vom Internet aus zugänglich sind, keine Führungskräfte mit öffentlichem Profil, kein E-Commerce und keinen Ransomware-Zielsektor. In diesen Fällen ist der Wert der Alerts gering. Wenn jedoch die Marke sichtbar ist und der Sektor ein Ziel darstellt, gehört Monitoring zu den kosteneffizientesten Wegen, Angriffe vor der aktiven Phase abzufangen.
Mit dem Monitoring starten
Was wird im Untergrund bereits über Sie gesagt?
Fordern Sie einen kostenlosen 30-Tage-Scan an · 5 Domains, 10 Führungskräfte, Brand Keywords. Sie erhalten einen Report mit realen, in kriminellen Kanälen erkannten Ereignissen · ohne Verpflichtung.