Oliver Münchow ist Unternehmer und Ethical Hacker. Seit 1998 ist er im IT-Security-Bereich im Auftrag von Unternehmen oder als selbstständiger Firmengründer unterwegs. Vor zwei Jahren lancierte er Lucy Security – die Anbieterin einer Cyber-Awareness-Software. Nun ist der Security-Experte daran, eine weitere Firma auf diesem Gebiet zu gründen. Mit dem Start-up namens Kaduu konzentriert sich Münchow allerdings nicht da­rauf, wie Sicherheitsvorfälle bei seinen Kunden verhindert werden können, sondern auf die Reaktion danach. Gemeinsam mit seinen Mitarbeitern sucht er im Deep Web nach gestohlenen Unternehmensdaten.

«Wir suchen momentan auf zwei Arten nach Daten: Einerseits automatisiert mithilfe eines Crawlers, der Marktplätze gezielt abgrast, und andererseits auf manuelle Art und Weise», erklärt Münchow. «Manuelle Arbeit» will dabei heissen, dass sich Kaduu-Mit­arbeiter im Deep Web – etwa in Foren – bewegen und aktiv Datensätze anfragen. «Weil viele Daten im Deep Web aber nicht einfach öffentlich zugänglich sind, ist oft der direkte Kontakt zu den Personen nötig, die diese anbieten.» Den Mitarbeitern des Jungunternehmens sind dabei allerdings auch Grenzen gesetzt, denn Kaduu darf laut Münchow für die Daten kein Geld bezahlen. «Weil aber oft trotzdem eine Gegenleistung nötig ist, um an die sensiblen Daten heranzukommen, können wir aufgrund un­serer Erfahrung etwa Tipps geben, wo im Deep Web welche Informationen zu finden sind.»

Für Kaduu auf Datensuche geht etwa eine Mitarbeiterin in Russland, die sich mit ihrem Profil täglich in Foren im Deep Web bewegt. «Sie ist gut vernetzt und spricht fliessend Russisch, das ist bei diesem Job auch unbedingt notwendig», erklärt Münchow. Weiter kann er auf ein 40- bis 50-köp­figes Hacker-Netzwerk zählen, das täglich nach relevanten Informationen Ausschau hält. Dieses habe er sich dank seines Beziehungsnetzes, das er in seiner knapp 20-jährigen Laufbahn als Ethical Hacker aufgebaut hatte, zusammenstellen können. In Job-Interviews und Assessments stellte er anschliessend noch deren Zuverlässigkeit und Können auf die Probe.

«Sie arbeiten von den diversen Ländern aus und stehen mit Leuten, die in einschlägigen Foren Daten anbieten, in ständigem Kontakt.» Das unterscheide die Arbeit Kaduus schliesslich auch von Diensten wie beispielsweise «Have I Been Pwned» – der öffentlichen Plattform des Security-Spezialisten Troy Hunt, welche die Suche nach geleakten Passwörtern und E-Mail-Adressen erlaubt. «Dieser Grundstock an Daten ist relativ schnell gefunden. Die aktive Suche sowie unser Netzwerk vergrössert die Menge an gefundenen Daten­sätzen dann doch deutlich.» Auf eine von drei Entwicklern konzipierte Plattform werden die gefundenen Daten anschlies­send hochgeladen. Kaduus Deep-Web-Späher erweitern die Datenbank laut Münchow monatlich um rund 500 Gigabyte an gestohlenen Account-Daten – beim automatisierten Suchvorgang sind es gar 1 bis 2 Tera­byte. Werden Daten von Kunden gefunden, übermittelt Kaduu diese über eine Programmierschnittstelle. «Die endgültige Auswertung ist danach aber Sache des Kunden», erläutert Münchow seine Geschäftsstrategie. «Unsere Datenbank gibt lediglich Aufschluss über die Quelle, das Datum und den Inhalt der Daten-Dumps. Wie diese Informationen entwendet wurden, erfahren wir leider meist nicht.»

Finden Kaduus Datendetektive z. B. geklaute Passwörter oder E-Mail-Adressen von Mitarbeitenden einer Firma, könne diese ihre Angestellten etwa darauf aufmerksam machen, sich nicht mit geschäftlichen Adressen bei Online-Diensten anzumelden. «Handelt es sich stattdessen aber etwa um vertrauliche Geschäftsdaten und eine Verletzung des Markenrechts, können betroffene Unternehmen auch rechtliche Schritte einleiten.» Mit dem Start-up verfolge der Gründer ausschliesslich das Ziel, die Suche nach gestohlenen Unternehmensdaten auch kleineren Firmen verfügbar zu machen. «KMU sind in vielen Fäl- len weniger gut geschützt als Grosskon­zerne. Zudem können solche Datenabflüsse schneller geschäftskritische Auswirkungen haben», erklärt Münchow. Auch seien die Analysen etablierter IT-Security-Anbieter für KMU meist zu teuer. Mit Kaduu will er diese deshalb kostengünstiger anbieten. Einige Firmenkunden konnte er bereits an Bord holen, nun soll das Geschäft noch ausgebaut werden. Zuerst steht allerdings noch die tatsächliche Unternehmensgründung an.

Die stellte Münchow vor einige Schwierigkeiten: «Sobald die Wörter ‹Hacker›, ‹Russland› und ‹Darknet› mit im Spiel sind, schrillen bei vielen Banken die Alarmglocken», sagt er lachend. Zwei, drei Anläufe habe es schliesslich gebraucht, bis er ein kooperatives Institut gefunden habe. Der Gründung der AG sollte nun also nichts mehr im Weg stehen. Der Zukunft seines Unternehmens sieht Oliver Münchow gelassen entgegen: «Wir bieten den Service ja sowieso schon für einige Kunden an. Nun schauen wir mal, ob wir damit noch bei weiteren Firmen einen Nerv treffen.»