Threat Intelligence Feeds – Wie offene Datenströme für Recon genutzt werden können

Sep. 12, 2025

—

von

in Cyber Security, Passive Reconissance, Red Teaming

Einleitung

In der modernen Cybersecurity spielt Threat Intelligence eine zentrale Rolle. Dabei geht es darum, Informationen über Bedrohungen zu sammeln, auszuwerten und nutzbar zu machen.
Für die Passive Reconnaissance sind insbesondere offene Threat Intelligence Feeds interessant: frei zugängliche Datenströme, die Angreifern wie Verteidigern wertvolle Einblicke geben können.

Was sind Threat Intelligence Feeds?

Automatisierte Datenströme mit sicherheitsrelevanten Informationen.
Können IP-Adressen, Domains, Hashes, Leaks oder Hinweise auf aktuelle Angriffe enthalten.
Werden von Sicherheitsanbietern, Communities oder Behörden bereitgestellt.

👉 In der Passive Recon dienen sie dazu, ein Bild von potenziellen Zielen oder deren Exposition im Netz zu bekommen.

Typische Arten von Feeds

1. IP- & Domain-Blacklists

Listen kompromittierter oder bösartiger Server.
Nützlich, um zu sehen, ob eigene Domains oder IPs dort auftauchen.

2. Malware- & Hash-Feeds

Hash-Werte bekannter Schadsoftware (z. B. von VirusTotal).
Angreifer können prüfen, ob ihre Tools schon bekannt sind – Verteidiger sehen, welche Varianten im Umlauf sind.

3. Phishing- & Scam-Datenbanken

Aktuelle Listen betrügerischer Webseiten.
Rückschlüsse, ob eigene Marke oder Domains missbraucht werden.

4. Leak- & Credential-Feeds

Sammeln kompromittierte Zugangsdaten aus Datenpannen.
Dienste wie Have I Been Pwned bieten teils APIs für solche Feeds.

5. Open Source Threat Intelligence (OSINT)

Feeds von Communities wie Abuse.ch, AlienVault OTX oder MISP.
Bieten oft Indicators of Compromise (IoCs) und Reports.

Nutzen für Passive Reconnaissance

Angreifer: erkennen, ob ein Ziel bereits in Threat Feeds auftaucht → wertvolle Vorabinformationen.
Pentester: nutzen Feeds, um realistische Bedrohungsszenarien zu simulieren.
Verteidiger: prüfen kontinuierlich, ob eigene Systeme, Domains oder Credentials kompromittiert sind.

Risiken für Unternehmen

Exponierte Assets: Eigene IPs oder Domains können in Feeds auftauchen, ohne dass das Unternehmen es weiß.
Leak-Daten: Veraltete, aber immer noch gefährliche Credentials werden weiterhin gelistet.
Missbrauch: Dieselben Feeds, die Verteidiger nutzen, stehen auch Angreifern offen.

Schutzmaßnahmen

Eigenes Monitoring: Regelmäßig prüfen, ob Unternehmensdaten in Feeds vorkommen.
Integration in SIEM/SOC: Feeds automatisiert in Sicherheitsprozesse einbinden.
Zusammenarbeit mit Communities: Offene Feeds nutzen und eigene Erkenntnisse beisteuern.
Incident Response: Sofortige Maßnahmen bei Funden in Feeds (z. B. Passwort-Reset, Domain-Check).