Kaspersky Threat Data Feeds Malicious Hashes

Was ist in den „Kaspersky Threat Data Feeds – Malicious Hashes“ enthalten?

Hashes schädlicher Dateien – MD5 pro Datensatz, optional mit SHA1 und SHA256.
Bedrohungskontext – Kaspersky-Bedrohungsname, Dateityp, Dateigröße, gängige Dateinamen.
Zeitlicher Verlauf und Verbreitung – Erstes Auftreten, letztes Auftreten und ein fünfstufiger Beliebtheitsindex.
Angriffskartierung – MITRE ATT&CK-Taktik- und Technikpaare pro Objekt.
Verbreitungsdaten – Die zehn häufigsten Hosting-IP-Adressen und Download-URLs.
Wichtig – Keine Konsole, kein Agent und keine eigenständige Blockierung.

Was sind die Hauptvorteile von „Kaspersky Threat Data Feeds Malicious Hashes“?

„Kaspersky Threat Data Feeds Malicious Hashes“ ist ein Abonnement für Bedrohungsinformationen und kein Schutzprodukt: Es liefert einen kontinuierlich aktualisierten Satz von Hashes schädlicher Dateien mit Kontextinformationen, die von Ihrem eigenen SIEM, Ihrer Firewall oder Ihrem Gateway verarbeitet werden. Kaspersky vermarktet denselben Katalog auch als „Kaspersky Threat Intelligence Data Feeds“, und der Feed selbst wird als „Malicious Hash Data Feed“ bezeichnet, sodass sich beide Bezeichnungen auf diesen Datensatz beziehen.

Schnellere Alarmauswertung – Analysten sehen den Namen der Bedrohung statt eines unbekannten Hash-Werts.
Weniger Fehlalarme – Indikatoren werden anhand einer umfangreichen Datenbank mit legitimen Dateien gefiltert.
Aktualisierungen nahezu in Echtzeit – Neue Datensätze gehen ein, ohne dass auf die Veröffentlichung durch OSINT gewartet werden muss.
Weiterverwendung bestehender Tools – Keine neue Plattform erforderlich, der Feed lässt sich in Ihre bestehende Infrastruktur integrieren.
Kostenlose Abgleich-Engine – Kaspersky CyberTrace Community Edition gleicht Feeds kostenlos ab.
Retrospektive Suche – Alte Datei-Hashes können anhand neuerer Feed-Einträge erneut überprüft werden.

Für welche Unternehmensgröße eignet sich „Kaspersky Threat Data Feeds Malicious Hashes“?

Dieser Feed bietet nur dann einen Mehrwert, wenn in Ihrer Infrastruktur bereits Dateihashes aus Protokollen oder dem Netzwerkverkehr erfasst und abgeglichen werden können. Ohne ein SIEM, eine Next-Generation-Firewall oder ein E-Mail- und Web-Gateway, das Indikatorenlisten verarbeitet, gibt es keine Möglichkeit, die Daten einzuspielen.

Erfüllt der Kaspersky Threat Data Feeds Malicious Hashes die Anforderungen der Schweizer Cybersicherheitsgesetzgebung?

In der Schweiz gilt die Meldepflicht gemäß dem revidierten Informationssicherheitsgesetz für Betreiber kritischer Infrastrukturen, nicht für jedes Unternehmen, sodass die meisten KMU nicht direkt betroffen sind. Betroffene Betreiber müssen einen schwerwiegenden Cyberangriff innerhalb von 24 Stunden nach dessen Entdeckung dem Bundesamt für Cybersicherheit (BACS) melden. Innerhalb dieses Zeitfensters hilft der Feed auf eine ganz konkrete Weise: Ein aus Ihren Protokollen entnommener Datei-Hash kann einem Kaspersky-Bedrohungsnamen, einem Erstentdeckungsdatum und MITRE-ATT&CK-Taktiken zugeordnet werden – genau die Informationen, die eine Erstmeldung benötigt, anstatt den Vermerk „unbekannte Binärdatei“. Was der Feed nicht leistet, ist, die Datei zu erkennen, das Protokoll überhaupt erst zu erstellen, ein Vorfallprotokoll zu führen oder irgendetwas an das BACS zu übermitteln; dies erfolgt über Ihren Endpunktschutz, Ihr Protokollmanagement und Ihre eigenen Prozesse. Er deckt zudem keine mobilen oder ICS-Objekte ab, sodass für einen Betreiber mit solchen Umgebungen weiterhin eine Lücke besteht. Dieser Text stellt keine Rechtsberatung dar; ob Ihre Organisation der Meldepflicht unterliegt, sollte mit einem qualifizierten Berater geklärt werden.

Erfüllen die „Kaspersky Threat Data Feeds Malicious Hashes“ die Anforderungen der europäischen Cybersicherheitsgesetzgebung?

Kein Produkt allein gewährleistet die NIS-2-Konformität, da sich die Richtlinie auf das organisatorische Risikomanagement bezieht und nicht auf eine bloße Auflistung von Tools. NIS 2 verlangt Maßnahmenkategorien wie Risikoanalyse und Sicherheitsrichtlinien, Vorfallbearbeitung, Geschäftskontinuität, Sicherheit der Lieferkette, Sicherheit bei Beschaffung und Entwicklung, Kryptografie und Zugriffskontrolle, grundlegende Cyberhygiene sowie Mitarbeiterschulungen. Dieser Feed trägt zu einer dieser Kategorien bei – der Vorfallbearbeitung –, indem er den Schritt zwischen einem verdächtigen Datei-Hash und einer benannten, datierten und klassifizierten Bedrohung verkürzt. Er leistet keinen Beitrag zur Kontinuitätsplanung, Kryptografie, Zugriffskontrolle, Schulung oder Richtliniendokumentation und liefert an sich keine Prüfnachweise, da es sich um einen Datensatz und nicht um ein Berichtssystem handelt. Die Sicherheit der Lieferkette wird hier nur teilweise abgedeckt, da Indikatoren zur Software-Lieferkette im separaten „Open Source Software Threats Data Feed“ enthalten sind.

Was sollten Sie über offizielle Bewertungen von Kaspersky wissen?

Es sind zwei offizielle Maßnahmen in Kraft. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat am 15. März 2022 eine Warnung vor der Antivirensoftware von Kaspersky herausgegeben; diese bleibt weiterhin gültig und unterliegt nun gemäß der am 6. Dezember 2025 in Kraft getretenen Novelle § 13 des BSI-Gesetzes. In den Vereinigten Staaten hat das Bureau of Industry and Security ab dem 20. Juli 2024 den Neuverkauf von Kaspersky-Produkten und ab dem 29. September 2024 die Bereitstellung von Updates untersagt und Kaspersky-Unternehmen in die Entity List aufgenommen. Kaspersky erklärt, dass diese Entscheidungen auf dem Herkunftsland des Unternehmens beruhen und nicht auf veröffentlichten technischen Befunden zu seinen Produkten, und hat öffentlich darauf gedrängt, die deutsche Warnung zurückzuziehen. Die Schweiz hat keine vergleichbaren Maßnahmen ergriffen: Die BACS hat weder eine Warnung noch ein Verbot erlassen, und die Produkte werden in der Schweiz, der Europäischen Union und im Vereinigten Königreich wie gewohnt verkauft und aktualisiert. In der Praxis spielt dies vor allem dann eine Rolle, wenn Sie im Rahmen deutscher oder anderer europäischer öffentlicher Ausschreibungen verkaufen, wenn Sie Niederlassungen in den Vereinigten Staaten haben oder wenn im Lieferantenfragebogen eines Großkunden nach Anbietern russischer Herkunft gefragt wird. Für ein privates Schweizer Unternehmen ohne Berührungspunkte mit dem öffentlichen Sektor gelten keine Einschränkungen.

Norton vs. Kaspersky – Welches Antivirenprogramm bietet 2025 den besten Schutz?
Ein direkter Vergleich der beiden Anbieter hinsichtlich Erkennung und Funktionen.

Sind die „Threat Data Feeds Malicious Hashes“ von Kaspersky bei Sicherheitsfragebögen großer Kunden hilfreich?

Teilweise, und das auch nur für eine begrenzte Anzahl von Punkten. Es beantwortet Fragen dazu, ob Sie kommerzielle Bedrohungsinformationen abonnieren, ob Indikatoren für Kompromittierungen mit Ihren Protokolldaten abgeglichen werden, in welchen Formaten diese Informationen genutzt werden und wie schnell neue Indikatoren Ihre Kontrollmechanismen erreichen. Es gibt keine Antworten zu Endgeräteschutz, Patch-Management, Verschlüsselung, Multi-Faktor-Authentifizierung, Sicherung und Wiederherstellung, Aufbewahrungsfristen für Protokolle, Zugriffskontrolle oder Sensibilisierungsschulungen, und es wird kein Zertifikat oder keine Bescheinigung ausgestellt, die Sie beifügen können. Es liefert auch keinen Nachweis über die Abdeckung mobiler Geräte oder industrieller Systeme. Wenn ein Fragebogen Lücken aufdeckt, die über den Hash-Abgleich hinausgehen, ist es in der Regel kostengünstiger, das Angebot innerhalb derselben Produktfamilie zu erweitern – beispielsweise durch Hinzufügen von Feeds zu IP-Reputation, URLs oder Schwachstellen – oder auf ein umfassenderes Kaspersky Threat Intelligence-Abonnement umzusteigen, anstatt verschiedene Feed-Anbieter zu mischen und anschließend unterschiedliche Kontextformate abgleichen zu müssen.

Was ist der Unterschied zwischen dem „Malicious Hash Data Feed“ und dem „Mobile Malicious Hash Data Feed“?

Der entscheidende Unterschied liegt im Umfang der Objekte, und die Feeds überschneiden sich nicht: Der Kauf von „Malicious Hash Data Feed“ allein lässt mobile und industrielle Systeme ungeschützt. Der „Malicious Hash Data Feed“ zielt auf verbreitete und neu auftretende Malware in Desktop- und Serverdateien ab, der „Mobile Malicious Hash Data Feed“ deckt Objekte ab, die Android- und iPhone-Geräte infizieren, und der „ICS Hash Data Feed“ deckt Dateien ab, die gegen industrielle Steuerungssysteme und die darin integrierten IT-Systeme eingesetzt werden. Alle drei weisen dieselbe Datensatzstruktur auf, sodass keine separate Parsing-Arbeit erforderlich ist, wenn Sie später einen weiteren Feed hinzufügen. Kaspersky veröffentlicht zudem Demoversionen dieser Feeds, die eine geringere Erkennungsrate als die kommerziellen Versionen aufweisen und eher zur Evaluierung als für den produktiven Einsatz gedacht sind.

Welche Einschränkungen sollten Sie vor dem Kauf beachten?

Die wichtigste Einschränkung besteht darin, dass es sich hierbei um Daten und nicht um eine Abwehrlösung handelt: Das Produkt erkennt nichts, blockiert nichts und verfügt über keine Konsole; daher ist es ohne ein SIEM, eine Next-Generation-Firewall oder ein Gateway, das bereits Indikatorlisten verarbeitet, wertlos. Die regionale Verfügbarkeit ist in einem Markt eingeschränkt, nämlich in den Vereinigten Staaten, wo das Verbot des Bureau of Industry and Security neue Verkäufe und Updates betrifft; der Verkauf und Updates in der Schweiz, der Europäischen Union und im Vereinigten Königreich sind davon nicht betroffen. Wenn Sie Feeds mit Kaspersky CyberTrace statt innerhalb Ihres SIEM abgleichen, ist die kostenlose Community Edition auf 250 Ereignisse pro Sekunde und eine Million Datensätze über alle Informationsquellen hinweg begrenzt – dies ist der Punkt, an dem Folgekäufe meist notwendig werden. Ein direkter Abgleich innerhalb eines SIEM umgeht diese Lizenzbeschränkung, beeinträchtigt jedoch in der Regel die Leistung des SIEM. Schließlich identifizieren Hashes nur Dateien, die bereits erkannt und klassifiziert wurden; daher bietet dieser Feed keinen zusätzlichen Schutz gegen eine wirklich einzigartige Binärdatei, die speziell für ein Ziel erstellt wurde.

Das beste Antivirenprogramm? Warum Windows Defender allein nicht ausreicht
– Erläutert, warum ein integrierter Scanner Lücken hinterlässt, die durch zusätzliche Sicherheitsebenen geschlossen werden müssen.

Häufig gestellte Fragen zu den Kaspersky-Bedrohungsdaten-Feeds „Malicious Hashes“

Benötige ich Kaspersky Endpoint Protection, um diesen Feed zu nutzen?

Nein. Der Feed ist ein eigenständiges Abonnement für Bedrohungsinformationen und erfordert kein Kaspersky-Endpoint-Produkt. Er kann von jedem SIEM, jeder Firewall oder jedem Gateway genutzt werden, das bzw. die Sie bereits einsetzen, unabhängig vom Hersteller.

In welchen Formaten wird der Feed bereitgestellt?

Der „Malicious Hash Data Feed“ mit zusätzlichem Kontext wird im JSON-Format bereitgestellt. Im gesamten Katalog der Kaspersky Threat Data Feeds werden die Formate JSON, CSV, OpenIoC und STIX unterstützt, die über HTTPS, TAXII oder einen vereinbarten alternativen Mechanismus bereitgestellt werden.

Welche Sicherheitstools können den Feed sofort nutzen?

Kaspersky veröffentlicht vorgefertigte Integrationen für IBM QRadar, Splunk Enterprise Security, ArcSight ESM, RSA NetWitness, Azure Sentinel, Anomali ThreatStream, ThreatConnect, EclecticIQ, ThreatQ, MISP, Cisco Firepower, Suricata, McAfee Web Gateway und Maltego sowie eine REST-API für alle Lösungen, die nicht in dieser Liste aufgeführt sind.

Woher stammen die Daten?

Die Datensätze werden aus Telemetriedaten des Kaspersky Security Network aggregiert, die von über 400 Millionen freiwilligen Teilnehmern, Webcrawlern, Botnetz-Forschung, Spam-Fallen, Honeypots und Sinkholes, passivem DNS von Hosting-Anbietern und Internetdienstanbietern (ISPs), OSINT sowie Partnerschaften mit Anbietern stammen. Jeder Indikator durchläuft vor der Veröffentlichung eine automatisierte Überprüfung und Sandbox-Analyse.

Rechtliche Informationen zu unseren Produkten

keys.express und keys.discount sind Webplattformen für Product Keys. Die in unseren Shops erhältlichen Product Keys für Windows sowie weitere Software sind günstig, sicher, legal und mit Aktivierungsgarantie.

Nachfolgend finden Sie die wichtigsten rechtlichen Informationen zu unseren Produkten.

Unbenutzte und nicht aktivierte Product Keys

Wir bieten ausschließlich unbenutzte und nicht aktivierte Product Keys an. Die Keys wurden noch nie zur Aktivierung eingelöst und stehen dem Erwerber vollständig zur erstmaligen Aktivierung des jeweiligen Produkts zur Verfügung. Ein bereits eingelöster Key wäre für eine neue Aktivierung nicht mehr verwendbar und wird von uns deshalb nicht angeboten.

Der Handel mit diesen Product Keys ist in der Europäischen Union sowie in der Schweiz nach aktueller Rechtsprechung zulässig, sofern die notwendigen Voraussetzungen erfüllt sind. Diese lauten wie folgt:

• Die Software muss ursprünglich mit Zustimmung des Rechteinhabers im Gebiet der EU oder einem anderen Vertragsstaat des EWR oder der Schweiz im Wege der Veräußerung in den Verkehr gebracht worden sein.
• Die Lizenz für die Software muss als Gegenleistung für die Zahlung eines Entgelts erteilt worden sein, das es dem Rechteinhaber ermöglicht, eine Vergütung zu erzielen, die dem wirtschaftlichen Wert der Kopie der Software entspricht.
• Der Rechteinhaber hat dem Ersterwerbenden das Recht eingeräumt, die Software dauerhaft (unbefristet) zu nutzen.
• Verbesserungen und Aktualisierungen, die das nachfolgend heruntergeladene Computerprogramm gegenüber dem ursprünglich heruntergeladenen aufweist, müssen von einem zwischen dem Rechteinhaber und dem Ersterwerber abgeschlossenen Wartungsvertrag gedeckt sein.
• Der ursprüngliche Lizenznehmer muss seine Kopien unbrauchbar gemacht haben.

Dieser Handel ist rechtlich zulässig, weil die zugrunde liegende Lizenz bereits mit Zustimmung des Rechteinhabers im EU-/EWR-Raum bzw. in der Schweiz gegen eine angemessene Vergütung in den Verkehr gebracht wurde. Damit ist der sogenannte Erschöpfungsgrundsatz eingetreten, der den Weiterverkauf einzelner Product Keys – insbesondere aus Volumenlizenzverträgen – erlaubt. Microsoft bzw. der jeweilige Softwareanbieter hat hierfür bereits eine angemessene Vergütung erhalten.

keys.express und keys.discount achten darauf, dass die vorgenannten Voraussetzungen erfüllt sind und ein legaler Gebrauch der Software sichergestellt ist. Die Voraussetzungen aus der europäischen Gesetzgebung werden auch in der Schweiz eingehalten.

Wichtiger Hinweis: Der Erwerb eines Product Keys durch Übermittlung einer Zahlen-/Buchstabenkombination in digitaler Form stellt für sich genommen noch keine Lizenz zur rechtmäßigen Nutzung des Programms dar. Die Lizenz bildet sich erst aus der jeweiligen Installation und der damit verbundenen Akzeptierung der Nutzungsbedingungen des Herstellers.

Weitergehende Informationen finden Sie hier:

• Rechtliche Beurteilung durch Schweizer Anwälte

Übersicht der wichtigsten rechtlichen Informationen

• Wir bieten unbenutzte, nicht aktivierte Product Keys für die Freischaltung der jeweiligen Computerprogramme an. Der Key allein ist noch keine Lizenz.
• Die Lizenz bildet sich erst aus der jeweiligen Installation und der infolge dessen erfolgenden Akzeptierung der Nutzungsbedingungen. Diese Nutzungsbedingungen regeln das Nutzungsrecht der Software zwischen Ihnen und dem jeweiligen Hersteller.
• Der Erschöpfungsgrundsatz ist in der Regel eingetreten bzw. die Lizenz „verbraucht", sobald diese zum ersten Mal rechtmäßig in Verkehr gebracht wurde. Es handelt sich um Software, die zur zeitlich unbegrenzten Nutzung in Form eines aktivierbaren Product Keys mit Downloadmöglichkeit in den Verkehr gebracht wurde. Hierfür hat Microsoft bzw. der jeweilige Softwareanbieter eine angemessene Vergütung erhalten.
• Sie erhalten Zugang zu preislich besonders attraktiven Product Keys aus Volumenlizenzverträgen, die rechtlich genauso zu behandeln sind wie Teile von Volumenlizenzen beim Ersterwerb.
• Die Software selbst ist stets dieselbe Originalsoftware, die auch über offizielle Downloadwege oder Herstellerquellen bezogen wird. Sie zahlen nicht für eine andere oder minderwertige Version, sondern für einen gültigen Aktivierungsschlüssel bzw. eine passende Lizenz.
• Alle Markennamen und Markenlogos sind registrierte Handelsmarken, deren Nutzung hier nur zur Produktbeschreibung erfolgt – das Eigentumsrecht liegt beim jeweiligen Markeninhaber.