Kein Treffer in der Leak-Datenbank? Puh, dann sind wir ja sicher.

Es ist der Moment, auf den viele Kunden hoffen: Der Bericht kommt, die Rubrik „geleakte Zugangsdaten“ ist leer. Erleichterung im Raum. Und dann fällt fast immer derselbe Satz — „Dann sind wir ja sauber.“

Diesen Satz kann Ihnen seriös niemand unterschreiben. Nicht, weil die Prüfung schlecht war. Sondern weil die Frage dahinter falsch gestellt ist.

Was ein Positivtreffer bedeutet — und was nicht

Die beiden Richtungen eines Leak-Befunds sind grundverschieden belastbar.

Ein Treffer ist harte Evidenz. Taucht ein Mitarbeiter-Login in einem Infostealer-Datensatz auf, dann ist auf einem Endgerät Schadsoftware gelaufen und hat Zugangsdaten abgegriffen. Das ist kein Risikoindikator, das ist ein Befund mit Datum und Quelle. Entsprechend eindeutig ist die Handlungsempfehlung.

Kein Treffer ist dagegen bloß eine Aussage über die geprüften Quellen. Kein Anbieter der Welt sieht sämtliche Infostealer-Logs, sämtliche Foren, sämtliche privaten Sammlungen. Ein erheblicher Teil dieser Daten wird nie öffentlich gehandelt, sondern direkt weitergereicht. Was nicht in den zugänglichen Quellen liegt, kann niemand finden — auch nicht mit dem besten Werkzeug.

Warum diese Unterscheidung geschäftskritisch ist

Wer den leeren Report als Entwarnung liest, trifft Folgeentscheidungen auf einer Grundlage, die sie nicht trägt: Der MFA-Rollout wird geschoben, die Passwort-Rotation als unnötig abgehakt, das Awareness-Budget gekürzt. Was dabei entsteht, ist keine Sicherheit, sondern ein Sicherheitsgefühl — und das ist am Ende die teurere Variante.

Umgekehrt gilt: Die Prüfung ist deshalb nicht wertlos. Sie liefert eine bestätigte Mindest-Exposure. Das ist eine ehrliche, nützliche Größe — solange man sie als das behandelt, was sie ist: eine Untergrenze, keine Bilanz.

Wie wir damit umgehen

• Quellenübergreifend arbeiten. Je breiter die Basis, desto aussagekräftiger die Untergrenze — vollständig wird sie nie.
• Stand-Datum ausweisen. Jeder Befund und jede Nicht-Feststellung bekommt ein Datum. Ein Ergebnis von vor drei Monaten ist eine historische Aussage, keine aktuelle.
• Kontext statt Rohdaten. Betroffene Accounts, Quelle und Aktualität werden ausgewiesen — Klartext-Passwörter grundsätzlich nicht.
• Kontinuierlich statt punktuell prüfen. Eine Einmalprüfung ist eine Momentaufnahme. Zugangsdaten tauchen dann auf, wenn sie auftauchen — nicht dann, wenn der nächste Audit ansteht.

Die bessere Frage

Statt „Sind wir betroffen?“ lohnt sich die Frage: „Wie schnell würden wir es merken?“

Das ist eine Frage, die ein Unternehmen tatsächlich beantworten und beeinflussen kann — durch Prüffrequenz, durch Alerting, durch geübte Prozesse für den Moment, in dem ein Treffer kommt. Wer täglich prüft, hat im Ernstfall Stunden Vorsprung. Wer jährlich prüft, erfährt es meist von jemand anderem.

Genau deshalb steht in unseren Transparenzhinweisen ausdrücklich, was unsere Aussagekraft begrenzt. Nicht im Kleingedruckten eines Vertrags, sondern direkt neben dem Ergebnis. Alles andere wäre ein Verkaufsversprechen — und davon gibt es in dieser Branche schon genug.

Sie möchten wissen, was aktuell über Ihr Unternehmen auffindbar ist? Nennen Sie uns Ihre Domain — info@nexpoise.de