Kaspersky Threat Data Feeds Bundle

Was ist im „Kaspersky Threat Data Feeds“-Paket enthalten?

URL-Feeds – URLs zu Schadsoftware, Phishing, Ransomware und Botnetz-C&C-Servern in jedem Paket.
IP-Reputations-Feed – Verdächtige IP-Adressen, ab dem URL- und IP-Paket aufwärts.
Feed mit bösartigen Hashes – Datei-Hashes für Windows, Linux, macOS, Android und iOS.
Verwertbare Kontextinformationen – Namen der Bedrohungen, Zeitstempel, Geolokalisierung und Verbreitung für jeden Datensatz.
Vier Bereitstellungsformate – JSON, CSV, OpenIoC und STIX über HTTPS oder TAXII.
Wichtig – Kein Agent, keine Konsole, keine Blockierung; die Entscheidung über die Reaktion liegt ganz bei Ihnen.

Das beste Antivirenprogramm? Warum Windows Defender allein nicht ausreicht.
Warum Indikator-Feeds und Bedrohungsinformationen den Endgeräteschutz ergänzen, anstatt ihn zu ersetzen.

Was sind die Hauptvorteile des „Kaspersky Threat Data Feeds Bundle“?

Das „Kaspersky Threat Data Feeds Bundle“ ist ein Abonnement für maschinenlesbare Indikator-Feeds, die von Ihrem eigenen SIEM, Ihrer Firewall oder Ihrer Threat-Intelligence-Plattform verarbeitet werden; es verfügt über keine eigene Konsole und keinen eigenen Agenten. Kaspersky liefert ausschließlich textbasierte Daten, und die Zuordnung erfolgt durch Ihre eigenen Tools, sodass die Feeds die Erkennungsreichweite der von Ihnen bereits eingesetzten Systeme erweitern.

Alarmtriage – Kontextinformationen zu jedem Indikator beschleunigen Entscheidungen an vorderster Front.
Perimeter-Blockierung – URL- und IP-Listen aus den Feeds werden direkt in Firewalls eingespeist.
Kostenlose Abgleich-Engine – Kaspersky CyberTrace korreliert Ereignisse und entlastet das SIEM.
Herstellerunabhängigkeit – CyberTrace verarbeitet auch OSINT-Daten und andere kommerzielle Feeds.
Mandantenfähige Nutzung – Eine CyberTrace-Instanz kann mehrere Kundenumgebungen voneinander trennen.
Retrospektive Suche – Durch historische Korrelation werden vergangene Ereignisse anhand aktueller Feeds erneut überprüft.

Für welche Unternehmensgröße eignet sich das „Kaspersky Threat Data Feeds Bundle“?

Dies hängt mehr von den eingesetzten Tools als von der Mitarbeiterzahl ab. Eine Organisation ohne SIEM, ohne eine Firewall, die externe Indikatorlisten akzeptiert, und ohne jemanden, der Warnmeldungen auswertet, hat unabhängig von ihrer Größe keinen Nutzen aus einem Feed-Abonnement. Der realistische Käufer betreibt bereits eine Security-Operations-Funktion oder ist ein Dienstleister, der eine solche für andere betreibt.

Erfüllt das Kaspersky Threat Data Feeds Bundle die Anforderungen der Schweizer Cybersicherheitsgesetzgebung?

Die Verpflichtung gilt für Betreiber kritischer Infrastrukturen, nicht für jedes Unternehmen: Seit dem 1. April 2025 verpflichtet das revidierte Informationssicherheitsgesetz (ISG) diese, einen Cyberangriff innerhalb von 24 Stunden nach dessen Entdeckung dem Bundesamt für Cybersicherheit (BACS) zu melden, wobei weitere 14 Tage zur Vervollständigung des Berichts zur Verfügung stehen. Die Feeds helfen bei der Erkennung und beim Inhalt dieses Berichts, denn der Abgleich Ihrer Protokolle mit aktuellen Indikatoren verkürzt die Zeitspanne zwischen einem Botnetz-Callback und dessen Entdeckung, und der jedem Datensatz beigefügte Kontext liefert den Namen der Bedrohung, Zeitstempel und zugehörige Indikatoren, die für den Bericht erforderlich sind. Was das Bundle jedoch nicht leistet, ist die eigenständige Erkennung von Bedrohungen: Da es keinen Agenten, keine Telemetrie und keine eigenen Warnmeldungen enthält, liefert es innerhalb von 24 Stunden keine Ergebnisse, wenn Sie keine Protokollsammlung haben und niemand im Dienst ist. Es deckt auch keine organisatorischen Aufgaben ab, sodass die Einstufung von Vorfällen, die Entscheidung über eine Meldung und der Folgebericht weiterhin in der Verantwortung Ihres Teams liegen. Dieser Text stellt keine Rechtsberatung dar; ob Ihre Organisation der Meldepflicht unterliegt, sollte mit einem Fachmann geklärt werden.

Erfüllt das „Kaspersky Threat Data Feeds Bundle“ die Anforderungen der europäischen Cybersicherheitsgesetzgebung?

Kein Produkt macht ein Unternehmen NIS-2-konform, da sich die Richtlinie auf organisatorische Maßnahmen und die Verantwortlichkeit des Managements bezieht und nicht auf eine Liste von Tools. NIS 2 verlangt von wesentlichen und wichtigen Einrichtungen, dass sie Risikoanalysen und Sicherheitsrichtlinien, Vorfallbearbeitung, Geschäftskontinuität und Krisenmanagement, Lieferkettensicherheit, Umgang mit Schwachstellen und deren Offenlegung, Cyberhygiene und Schulungen, Kryptografie sowie Zugriffskontrolle aufrechterhalten und wesentliche Vorfälle stufenweise melden. Dieses Abonnement leistet einen Beitrag zu zwei dieser Kategorien: zum Vorfallmanagement, indem es Ihren Erkennungstools aktuelle Indikatoren und Triage-Kontext liefert, sowie zum Umgang mit Schwachstellen – allerdings nur im „Total Security“-Paket, das den „Vulnerability Data Feed“ enthält. Es leistet keinen Beitrag zur Geschäftskontinuität, zu Sicherung und Wiederherstellung, zur Lieferkettensicherheit, zur Verschlüsselung, zur Zugriffskontrolle oder zur Mitarbeiterschulung. Es erstellt zudem keine eigenen Berichte, sodass alle Nachweise, die ein Auditor anfordert, aus dem SIEM oder der Plattform stammen müssen, die die Feeds nutzt – nicht aus dem Abonnement.

Datenverlust ist teuer: Wie Backups Ihnen helfen, Ausfälle zu vermeiden
Behandelt die Maßnahmen zur Geschäftskontinuität und Wiederherstellung, die von Indikator-Feeds überhaupt nicht abgedeckt werden.

Was sollten Sie über offizielle Bewertungen von Kaspersky wissen?

Zwei behördliche Entscheidungen betreffen den Anbieter, und beide sind nach wie vor in Kraft. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt seit dem 15. März 2022 vor der Nutzung von Kaspersky-Virenschutzsoftware; diese Warnung ist nach der Novelle vom 6. Dezember 2025 nun in § 13 des BSI-Gesetzes verankert; Das BSI erklärt, dass es keine Bewertung anderer Kaspersky-Produkte vorgenommen hat und dass deren Nutzung in Deutschland nicht verboten ist. In den Vereinigten Staaten erließ das Handelsministerium im Juni 2024 eine endgültige Entscheidung, mit der Kaspersky-Produkte für Cybersicherheit und Virenschutz mit Wirkung zum 20. Juli 2024 verboten wurden, wobei die Signatur-Updates am 29. September 2024 endeten; und diese Entscheidung schließt Kaspersky-Drohungsinformationen, Sicherheitsschulungen und Beratungsdienste, die rein informativer oder pädagogischer Natur sind, ausdrücklich aus – eine Kategorie, zu der dieses Abonnement gehört. Die Schweiz hat weder eine Warnung noch ein Verbot erlassen: Die BACS hat erklärt, dass ihr in der Schweiz kein Missbrauch von Kaspersky-Software gemeldet wurde und dass sie nur dann warnt, wenn ihr bestätigte technische Hinweise vorliegen. Kaspersky weist die BSI-Warnung als politisch und nicht als technisch begründet zurück, verweist auf seine Datenverarbeitung in Zürich im Rahmen seiner „Global Transparency Initiative“ und hat Anfang 2026 gemäß § 13 des BSI-Gesetzes formell die Aufhebung der Warnung gefordert, wobei sich das Unternehmen rechtliche Schritte vorbehält. Veröffentlichte vergleichende Labortests beziehen sich auf die Endpoint-Produkte von Kaspersky und nicht auf diese Datenfeeds, sodass sie für dieses Produkt in keiner Weise von Bedeutung sind. In der Praxis sind die Bewertungen vor allem dann von Bedeutung, wenn Sie im öffentlichen Sektor verkaufen, Verträge mit deutschen Bundesbehörden haben oder Fragebögen zur Lieferkette ausfüllen, in denen nach dem Herkunftsland des Anbieters gefragt wird, da dort der Name des Anbieters unabhängig vom technischen Inhalt des Feeds über das Ergebnis entscheiden kann; für ein Privatunternehmen ohne solche Risiken gelten in der Schweiz keine rechtlichen Einschränkungen.

Norton vs. Kaspersky: Welches Antivirenprogramm bietet den besten Schutz?
Vergleicht die beiden Anbieter anhand unabhängiger Laborergebnisse zur Erkennung bei ihren Endpunktprodukten.

Hilft das „Kaspersky Threat Data Feeds Bundle“ bei Sicherheitsfragebögen großer Kunden?

Ja, allerdings nur für eine begrenzte Anzahl von Punkten. Es gibt eine direkte Antwort darauf, ob Sie kommerzielle Bedrohungsinformationen nutzen und aus welcher Quelle diese stammen, ob Indikatoren mit Ihren Protokolldaten abgeglichen werden und wie aktuell diese Indikatorendaten sind. Es gibt eine teilweise Antwort darauf, ob Sie CyberTrace einsetzen und welche Feeds tatsächlich Erkennungen generieren, da die Feed-Nutzungsstatistiken und die Feed-Schnittmengenmatrix die Trefferquote pro Quelle anzeigen. Es gibt jedoch keine Auskunft über den Umfang des Endgeräteschutzes, den Patch-Stand, die Laptop-Verschlüsselung, die Multi-Faktor-Authentifizierung, die Zugriffskontrolle, Tests zur Datensicherung und Wiederherstellung, Sensibilisierungsschulungen oder einen dokumentierten Prozess zur Reaktion auf Vorfälle, da es sich bei den Feeds um Daten und nicht um Kontrollmaßnahmen handelt und ein Prüfer sie entsprechend bewerten wird. Um diese Lücken zu schließen, ist ein Wechsel innerhalb der Produktfamilie eines Endpunktanbieters in der Regel kostengünstiger und führt zu weniger Widersprüchen im Fragebogen als die Hinzunahme eines zweiten Sicherheitsanbieters, da sich die meisten Fragebogenpunkte auf Endpunkt- und Identitätskontrollen beziehen und nicht auf Informationsquellen.

Was ist der Unterschied zwischen dem URL-Paket und dem Total-Security-Paket?

Der entscheidende Unterschied liegt darin, welche Indikatorarten Sie erhalten: Alle fünf Pakete enthalten die vier URL-Feeds, und mit jeder Höherstufung kommt eine neue Kategorie hinzu, anstatt weiterer gleichartiger Daten. „URL und IP“ fügt IP-Reputation hinzu, „URL und IP und Hashes“ fügt Datei-Hashes hinzu, „Expert Security“ fügt APT-, Crimeware- und mobile Indikatoren hinzu und „Total Security“ fügt passives DNS, Suricata-Regeln, Open-Source-Software-Bedrohungen, IoT-URLs und Schwachstellendaten hinzu. In der Praxis bestimmt Ihre Infrastruktur das Niveau: Eine Firewall oder ein Proxy kann nur URL- und IP-Daten nutzen, während Hash- und YARA-Feeds eine SIEM- oder Threat-Intelligence-Plattform im Hintergrund erfordern. Nur „Total Security“ enthält den Schwachstellen-Daten-Feed – dies ist der einzige paketspezifische Faktor, der die Art und Weise verändert, wie Sie Fragen zum Umgang mit Schwachstellen beantworten können.

Welche Einschränkungen sollten Sie vor dem Kauf beachten?

Die Feeds bestehen ausschließlich aus Text: Kaspersky liefert Indikatoren, und Ihre eigenen Tools führen den Abgleich durch. Es wird also nichts erkannt oder blockiert, es sei denn, Sie betreiben bereits ein SIEM, eine Firewall, einen Proxy oder eine Threat-Intelligence-Plattform, die diese Daten verarbeiten kann. Keine Funktion ist auf bestimmte Länder beschränkt, der Herkunftsort des Anbieters ist es jedoch faktisch, da mehrere Regierungen Kaspersky-Produkte bei der Beschaffung im öffentlichen Sektor einschränken, was dies eher zu einer beschaffungstechnischen als zu einer technischen Frage macht. Die Lizenz deckt die Nutzung für Ihre eigene Infrastruktur und Ihre eigenen Mitarbeiter ab; die Weitergabe der Indikatorendaten, deren Weiterverkauf oder die Einbindung in einen Dienst, den Sie Ihren eigenen Kunden anbieten, ist daher nicht enthalten. Der häufigste Folgekauf ist die nächsthöhere Bundle-Stufe, in der Regel dann, wenn eine reine Firewall-Bereitstellung um ein SIEM erweitert wird und plötzlich Hash-Daten benötigt; an zweiter Stelle steht die Arbeitszeit der Analysten, da Indikator-Feeds das Alarmvolumen zunächst erhöhen, bevor sie es reduzieren.

Häufig gestellte Fragen zum Kaspersky Threat Data Feeds-Paket

Welche SIEM-Systeme werden unterstützt?

Konnektoren für HP ArcSight, IBM QRadar und Splunk sind im Abonnement enthalten. Wenn Sie Kaspersky CyberTrace als Matching-Layer verwenden, bietet es zusätzlich eine sofort einsatzbereite Integration mit LogRhythm, RSA NetWitness und McAfee ESM sowie eine direkte Integration mit Firewalls, Gateways und anderen Protokollquellen.

Müssen Sie Kaspersky CyberTrace verwenden?

Nein. Die Feeds können direkt in ein SIEM, eine Firewall oder eine Bedrohungsinformationsplattform im JSON-, CSV-, OpenIoC- oder STIX-Format über HTTPS oder TAXII eingelesen werden. CyberTrace, früher bekannt als Kaspersky Threat Feed Service, ist kostenlos und führt das Matching außerhalb des SIEM durch. Dies lohnt sich vor allem dann, wenn das Indikatorenvolumen Ihre SIEM-Lizenz oder deren Ereignisrate an ihre Grenzen bringt.

Kann ein Managed-Service-Provider die Feeds für seine Kunden nutzen?

CyberTrace unterstützt Mandantenfähigkeit, sodass eine Instanz mehrere Kundenumgebungen getrennt verwalten und pro Mandant unterschiedliche Feeds nutzen kann. Die Feed-Lizenz selbst erlaubt jedoch nur die Nutzung für die eigene Infrastruktur und die eigenen Mitarbeiter; die Weitergabe oder der Weiterverkauf der Daten an Dritte ist ausgeschlossen, sodass eine Service-Provider-Vereinbarung separat mit Kaspersky getroffen werden muss.

Können Sie die Datenstruktur vor der endgültigen Entscheidung prüfen?

Kaspersky stellt Dokumentation und Feed-Beispiele sowie einen dedizierten technischen Kundenbetreuer für die Integration zur Verfügung. Die Beispiele zunächst durch Ihren Parser laufen zu lassen, ist der praktischste Weg, um zu überprüfen, ob die von Ihnen gewünschten Datensatzfelder und der Kontext in Ihrer Umgebung nutzbar sind.