Kaspersky Threat Data Feeds

Was ist in den Kaspersky-Bedrohungsdaten-Feeds enthalten?

Netzwerkindikator-Feeds – Schädliche, Phishing- und Botnetz-C&C-URLs mit Masken und Hosts.
IP-Reputations-Feed – Verdächtige und schädliche IP-Adressen mit Bedrohungskontext.
Feeds mit schädlichen Hashes – Datei-Hashes für Windows, Linux, macOS, Android und iOS.
APT- und Crimeware-IOCs – Hash-, URL-, IP- und YARA-Indikatoren aus der Kaspersky-Forschung.
Spezialisierte Datenfeeds – Passives DNS, IoT-URLs, Suricata-Regeln, Schwachstellen- und Open-Source-Daten.
Wichtig – Kein Agent, keine Konsole; Ihre Tools übernehmen den Abgleich und die Blockierung.

Was sind die wichtigsten Vorteile der Kaspersky Threat Data Feeds?

„Kaspersky Threat Data Feeds“ ist ein Abonnement für maschinenlesbare Indikatorenlisten, die Sie über HTTPS herunterladen und in Ihr eigenes SIEM, Ihre Firewall oder Ihre Threat-Intelligence-Plattform laden. In der Kaspersky-Dokumentation wird derselbe Dienst auch als „Kaspersky Threat Intelligence Data Feeds“ bezeichnet, und das dazugehörige Abgleichstool, Kaspersky CyberTrace, hieß früher „Kaspersky Threat Feed Service“.

Schnellere Alarm-Triage – Der Kontext zu jedem Datensatz zeigt, welche Alarme eine Eskalation erfordern.
Geringere SIEM-Auslastung – CyberTrace gleicht Ereignisse extern statt innerhalb des SIEM ab.
Blocklisten für Firewalls – Dynamische Sperrlisten versorgen NGFWs, Proxys und E-Mail-Gateways.
Anbieterunabhängige Formate – JSON, CSV, STIX und OpenIoC verhindern eine Bindung an bestimmte Tools.
Vorgefertigte Konnektoren – QRadar, ArcSight, Splunk, MISP, Sentinel und Suricata werden unterstützt.
Nichts verlässt Ihr Netzwerk – Kaspersky liefert ausschließlich Text; der Abgleich erfolgt auf Ihrer Seite.

Für welche Unternehmensgröße eignen sich die Kaspersky Threat Data Feeds?

Entscheidend ist nicht die Mitarbeiterzahl, sondern ob in Ihrem Unternehmen bereits ein SIEM, eine Threat-Intelligence-Plattform oder eine Next-Generation-Firewall mit dynamischen Sperrlisten im Einsatz ist. Ohne eine dieser Lösungen können die Feeds keine Abgleiche vornehmen und liefern keinerlei Ergebnisse.

Erfüllt Kaspersky Threat Data Feeds die Anforderungen der Schweizer Cybersicherheitsgesetzgebung?

Die Meldepflicht gemäss dem revidierten Informationssicherheitsgesetz gilt für Betreiber kritischer Infrastrukturen, darunter Energie- und Trinkwasserversorger, Transportunternehmen, gelistete Spitäler, Cloud- und Rechenzentrumsanbieter sowie kantonale und kommunale Verwaltungen. Seit dem 1. April 2025 müssen diese Organisationen einen meldepflichtigen Cyberangriff innerhalb von 24 Stunden nach seiner Entdeckung an das Bundesamt für Cybersicherheit (BACS) melden und haben weitere 14 Tage Zeit, um den Bericht zu vervollständigen. Kaspersky Threat Data Feeds unterstützt die Einhaltung dieser Frist auf ganz konkrete Weise: Jeder Datensatz enthält Kontextinformationen wie den Namen der Bedrohung, Zeitstempel, aufgelöste IP-Adressen und Geolokalisierung – also genau das Material, das ein Analyst benötigt, um zu beschreiben, was wann beobachtet wurde. Der Dienst erkennt den Vorfall nicht für Sie, erstellt keine Zeitleiste des Vorfalls, liefert keine forensischen Beweise und kein Meldeformular und speichert keine Fallhistorie; daher wird die Meldung selbst weiterhin aus Ihrem SIEM, Ihren Endpunkt-Tools oder von einem Anbieter für Incident Response zusammengestellt. Er übernimmt auch keine organisatorischen Aufgaben wie die Benennung verantwortlicher Personen oder die Aufrechterhaltung eines Eskalationsprozesses. Dieser Text stellt keine Rechtsberatung dar; ob Ihre Organisation der Meldepflicht unterliegt, sollten Sie mit Ihren eigenen Rechtsberatern klären.

Erfüllt „Kaspersky Threat Data Feeds“ die Anforderungen der europäischen Cybersicherheitsgesetzgebung?

Kein Softwareprodukt sorgt dafür, dass eine Organisation die Anforderungen der NIS-2-Richtlinie erfüllt, da sich die Richtlinie auf Managementverantwortung und Prozesse und nicht auf Tools bezieht. NIS 2 verlangt von wesentlichen und wichtigen Stellen die Einrichtung von Risikoanalysen und Sicherheitsrichtlinien, Vorfallbearbeitung, Geschäftskontinuität und Krisenmanagement, Lieferkettensicherheit, Umgang mit Schwachstellen und deren Offenlegung, Verfahren zur Bewertung der Wirksamkeit von Maßnahmen, Cyberhygiene und Schulungen, Kryptografie, Zugriffskontrolle, Asset-Management und Multi-Faktor-Authentifizierung. Kaspersky Threat Data Feeds trägt zu drei dieser Kategorien bei: zum Vorfallmanagement durch den Abgleich von Indikatoren und die Priorisierung von Warnmeldungen; zum Umgang mit Sicherheitslücken durch den „Vulnerability Data Feed“; und zur Sicherheit der Lieferkette durch den „Open Source Software Threats Data Feed“, der innerhalb einer Build-Pipeline verwendet wird. Es leistet keinen Beitrag zur Zugriffskontrolle, zur Multi-Faktor-Authentifizierung, zur Kryptografie, zur Geschäftskontinuität, zur Datensicherung, zur Mitarbeiterschulung, zur Bestandsaufnahme von Systemressourcen oder zur Dokumentation von Richtlinien, und es schützt weder Endgeräte noch Server oder E-Mail-Postfächer. Betrachten Sie es als einen Beitrag zu einem Erkennungsprozess, der bereits vorhanden sein muss.

Was sollten Sie über offizielle Bewertungen von Kaspersky wissen?

Zwei offizielle Maßnahmen sind relevant und beide sind nach wie vor in Kraft. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt seit dem 15. März 2022 vor der Nutzung von Kaspersky-Antivirensoftware und empfiehlt, diese durch alternative Produkte zu ersetzen; Nach Inkrafttreten des deutschen NIS-2-Umsetzungsgesetzes am 6. Dezember 2025 erfolgt die Warnung nun gemäß § 13 BSIG. Das BSI stellt fest, dass die Warnung das Antiviren-Software-Portfolio betrifft und dass es keine Stellungnahme zu anderen Produkten des Sortiments abgegeben hat. In den Vereinigten Staaten erließ das Handelsministerium (BIS) am 20. Juni 2024 eine endgültige Entscheidung, die es Kaspersky untersagt, Antiviren- und Cybersicherheitsprodukte oder -dienstleistungen an US-Personen bereitzustellen, wobei diese Entscheidung ab dem 29. September 2024 in vollem Umfang in Kraft tritt; Diese Entscheidung gilt ausdrücklich nicht für Produkte und Dienste von Kaspersky Threat Intelligence, Kaspersky Security Training sowie für Beratungs- und Betreuungsdienste, die rein informativen oder schulungsbezogenen Charakter haben. Kaspersky vertritt den Standpunkt, dass die Warnung des BSI nicht gerechtfertigt sei und nicht auf einer technischen Analyse seiner Software beruhe, und verweist auf seine „Global Transparency Initiative“, in deren Rahmen seit November 2018 bedrohungsbezogene Daten europäischer Nutzer in zwei Rechenzentren in Zürich verarbeitet werden und in seinen Transparenzzentren Überprüfungen des Quellcodes angeboten werden. In der Praxis ist dies vor allem für Einkäufer im öffentlichen Sektor, Anbieter im Verteidigungsbereich und im Bereich kritischer Infrastrukturen sowie für alle Unternehmen von Bedeutung, deren Kunden Herkunftslandvorschriften für Sicherheitsanbieter auferlegen; ein privates Schweizer Unternehmen ohne solche vertraglichen Anforderungen ist anders betroffen als eine kantonale Verwaltung. Ein technisches Detail ist in dieser Entscheidung zu beachten: Bei den Feeds handelt es sich um Textdateien, die Sie herunterladen, und Kaspersky gibt an, dass der Abgleich mit Ihren eigenen Tools erfolgen muss, sodass keine Software des Anbieters auf Ihren Systemen läuft und über dieses Produkt keine Telemetriedaten an Kaspersky zurückgesendet werden.

Norton vs. Kaspersky – Welches Antivirenprogramm bietet 2025 den besten Schutz?
Ein direkter Vergleich der beiden Anbieter hinsichtlich Erkennungsqualität, Funktionen und praktischer Anwendung.

Sind die Kaspersky Threat Data Feeds hilfreich bei Sicherheitsfragebögen großer Kunden?

Teilweise, und zwar nur im Bereich der Erkennung. Sie erhalten damit eine dokumentierte Antwort auf Fragen wie: Abonnieren Sie kommerzielle Bedrohungsinformationen? Werden Indikatoren für Kompromittierungen mit Ihren Protokolldaten abgeglichen? Überwachen Sie Open-Source-Komponenten, die in der Entwicklung verwendet werden? Und erhalten Sie strukturierte Informationen zu Schwachstellen? Anhand der Nutzungsstatistiken der Feeds in CyberTrace können Sie zudem aufzeigen, welche Quellen tatsächlich Erkennungen hervorgebracht haben – was überzeugender ist, als lediglich einen Anbieter zu nennen. Keine der folgenden Fragen wird damit beantwortet, obwohl Fragebögen nach all diesen Punkten fragen: Endpunkt- und Serverschutz, EDR oder Managed Detection, Patch-Management, Festplattenverschlüsselung, Multi-Faktor-Authentifizierung, Kontrolle privilegierter Zugriffe, Tests von Backups und Wiederherstellungen, Aufbewahrungsfristen für Protokolle, Sensibilisierungsschulungen, ein Vertrag für die Reaktion auf Vorfälle sowie eine Zertifizierung nach ISO 27001 oder ähnlichen Normen. Beachten Sie, dass viele Fragebögen für Unternehmen und den öffentlichen Sektor mittlerweile eine Frage zur Herkunft des Anbieters oder zur Warnung vor einer Behörde enthalten, die dieses Produkt nicht entfernt; siehe den obigen Abschnitt. Der kostengünstigste Weg, um die technischen Lücken zu schließen, besteht in der Regel darin, bei einer Produktfamilie zu bleiben, anstatt verschiedene Anbieter zu mischen. Kombinieren Sie die Feeds daher mit einer Kaspersky Next-Stufe für Endpunkt- und EDR-Abdeckung sowie mit CyberTrace oder einem SIEM für die Abgleichsebene, anstatt ein zweites Intelligence-Abonnement zu erwerben.

Was ist der Unterschied zwischen dem URL-Bundle und dem Total Security Feeds-Bundle?

Der einzige entscheidende Unterschied besteht darin, dass das URL-Bundle Sie nur über gefährliche Webadressen informiert, während das „Total Security Feeds Bundle“ Informationen auf Dateiebene und auf Angreiferebene hinzufügt. Kaspersky veröffentlicht fünf Bundles: URL, URL & IP, URL & IP & Hashes, Expert Security und Total Security. Im „Expert Security“-Bundle werden Indikatoren für APT, Crimeware und mobile Bedrohungen bereitgestellt, und das „Total Security“-Bundle ergänzt dies um passives DNS, Suricata-Regeln, IoT-URLs, Schwachstellendaten und Open-Source-Bedrohungsdaten. Wenn Ihr Anwendungsfall eine Deny-Liste für Firewalls oder Proxys ist, reicht das URL-Bundle aus; wenn Ihr Anwendungsfall SOC-Untersuchungen und -Zuordnungen sind, fehlen Ihnen bei den niedrigeren Bundles Hashes und YARA-Regeln. Die folgende Tabelle vergleicht drei der fünf Bundles.

Welche Einschränkungen sollten Sie vor dem Kauf beachten?

Der häufigste Grund für einen Folgekauf ist die Abgleichsebene: Bei den Feeds handelt es sich um rohe Indikator-Dateien, und es muss etwas vorhanden sein, das diese mit Ihren Protokollen abgleicht. Kaspersky CyberTrace gibt es hierfür in einer kostenlosen Community-Version, doch die kostenpflichtige Edition bietet zusätzlich den Forschungsgraphen, die Indikator-Datenbank und die Mandantenfähigkeit, die Dienstleister in der Regel letztendlich benötigen. Was die regionale Verfügbarkeit betrifft, so schließt das vom US-Handelsministerium erlassene Verbot Kaspersky Threat Intelligence-Produkte aus seinem Geltungsbereich aus; Kaspersky hat jedoch seinen US-Betrieb ab Juli 2024 eingestellt, sodass US-amerikanische Tochtergesellschaften eines internationalen Konzerns die Lieferfähigkeit überprüfen sollten, bevor sie sich für die Feeds standardisieren; Die Warnung des deutschen BSI bezieht sich auf das Antiviren-Portfolio und stellt in der Schweiz sowie im Großteil der Europäischen Union eher eine beschaffungstechnische als eine technische Frage dar. Die Abdeckung der Feeds ist je nach Paket unterschiedlich, und die Indikatoren, die Ermittler am häufigsten benötigen – APT- und Crimeware-Hashes mit YARA-Regeln –, sind nur in den beiden höchsten Paketen enthalten. Schließlich variieren die Aktualisierungsintervalle je nach Feed und erfolgen nicht einheitlich in Echtzeit: URL-Feeds werden etwa alle 10 bis 20 Minuten aktualisiert, Botnetz-C&C- und Schwachstellendaten stündlich und Open-Source-Bedrohungsdaten alle paar Stunden.

Das beste Antivirenprogramm? Warum Windows Defender allein nicht ausreicht
Erläutert, warum eine einzelne Schutzebene Lücken hinterlässt und welchen Mehrwert ein mehrschichtiges Konzept in der Praxis bietet.

Häufig gestellte Fragen zu den Kaspersky Threat Data Feeds

Ersetzen die Kaspersky Threat Data Feeds ein Antivirenprogramm oder EDR?

Nein. Die Feeds enthalten keine Schutz-Engine, installieren nichts auf einem Arbeitsplatzrechner oder Server und blockieren selbst nichts. Sie liefern Indikatoren für bereits von Ihnen eingesetzte Sicherheitskontrollen, sodass ein Endpoint- oder EDR-Produkt weiterhin separat erworben werden muss.

Wir helfen Ihnen bei der Entscheidung. Test: Antivirenprogramm: Die besten Antivirenprogramme für Windows 2025
Ein Vergleich aktueller Windows-Antivirenprodukte, der Ihnen bei der Auswahl der Schutzebene hilft, auf der die Feeds aufsetzen.

Benötige ich Kaspersky CyberTrace, um die Feeds zu nutzen?

Nicht unbedingt. Jedes Tool, das JSON, CSV, STIX oder OpenIoC verarbeiten kann, ist geeignet, darunter QRadar, ArcSight, Splunk, Azure Sentinel, MISP, ThreatConnect, EclecticIQ und Suricata. CyberTrace ist Kasperskys eigene Matching-Engine und vor allem deshalb eine Überlegung wert, weil sie die Korrelation außerhalb des SIEM durchführt, wodurch der Verbrauch von Ereignis-Lizenzen und die Indizierungslast gering gehalten werden.

Werden bei der Nutzung der Feeds Daten an Kaspersky gesendet?

Kaspersky gibt an, ausschließlich textbasierte Feeds bereitzustellen, und dass der Abgleich von Bedrohungen durch die eigenen Tools des Kunden erfolgt. Der Datenfluss erfolgt als einseitiger Download über HTTPS, sodass Ihre Protokolldaten und Erkennungsergebnisse innerhalb Ihrer Infrastruktur verbleiben.