Kaspersky Threat Data Feeds Malicious URL

Was ist in den Kaspersky Threat Data Feeds „Malicious URL“ enthalten?

Masken für bösartige URLs – URL-Masken, die bösartige Websites und Webseiten abdecken.
Verwertbare Kontextinformationen – Namen der Bedrohungen, Zeitstempel, Geolokalisierung, aufgelöste IP-Adressen, Beliebtheit.
JSON-Bereitstellung – Enterprise-Feeds liefern JSON-Daten, die über TAXII mit einem Token abgerufen werden.
Tool zur Formatkonvertierung – Konvertiert JSON in STIX, OpenIoC, Snort, CSV und Klartext.
Sofort einsatzbereite Integrationen – QRadar, ArcSight, Splunk, Sentinel, MISP, Suricata und weitere.
Wichtig – Es sind weder Agent noch Konsole noch Abgleich-Engine enthalten.

Wir helfen Ihnen bei der Entscheidung. Test: Antivirenprogramm: Die besten Antivirenprogramme für Windows 2025
– Vergleicht Schutzprodukte für Windows-Endgeräte, die dieser Feed ergänzt, aber nicht ersetzt.

Was sind die wichtigsten Vorteile des Kaspersky Threat Data Feeds „Malicious URL“?

„Kaspersky Threat Data Feeds Malicious URL“ ist ein Abonnement für einen Indikator-Feed aus dem „Kaspersky Threat Data Feeds“-Portfolio, das in der Kaspersky-Dokumentation auch unter dem Namen „Kaspersky Threat Intelligence Data Feeds“ aufgeführt ist. Es gibt weder eine Konsole noch einen Agenten: Sie richten Ihr SIEM, Ihre Firewall, Ihr Web-Gateway oder Ihre Threat-Intelligence-Plattform auf den Feed aus, und Ihre eigenen Tools führen den Abgleich durch.

Frühere Erkennung – Kaspersky gibt an, dass die Indikatoren des Feeds früher erscheinen als bei vergleichbaren OSINT-Quellen.
Geringere SIEM-Auslastung – CyberTrace gleicht Ereignisse lokal ab, anstatt dies innerhalb Ihres SIEM zu tun.
Automatische Blockierung – Dynamisch aktualisierte Sperrlisten werden direkt an Firewalls der nächsten Generation weitergeleitet.
Schnellere Alarmauswertung – Anhand des Kontexts können Analysten Alarme einstufen, ohne separate Nachschlageprozesse zu öffnen.
Herstellerunabhängige Daten – Reiner Text-Feed, keine Kaspersky-Software auf Ihren Systemen.
Portfolioerweiterung – Das Portfolio umfasst über 25 Feeds mit identischer Bereitstellungsweise.

Für welche Unternehmensgröße eignet sich „Kaspersky Threat Data Feeds Malicious URL“?

Entscheidend ist nicht die Mitarbeiterzahl, sondern ob Sie bereits ein System betreiben, das Indikatoren verarbeiten kann. Ohne ein SIEM, eine Threat-Intelligence-Plattform, eine Firewall der nächsten Generation oder ein Secure Web Gateway kann der Feed keine Abgleiche vornehmen und bietet keinen Mehrwert.

Erfüllt „Kaspersky Threat Data Feeds Malicious URL“ die Anforderungen der Schweizer Cybersicherheitsgesetzgebung?

Die durch das revidierte Informationssicherheitsgesetz eingeführte Meldepflicht gilt für Betreiber kritischer Infrastrukturen, darunter Energie- und Trinkwasserversorger, Verkehrsunternehmen, gelistete Spitäler, Cloud- und Rechenzentrumsanbieter sowie kantonale und kommunale Verwaltungen, wobei in der Cybersicherheitsverordnung Ausnahmen für kleinere Organisationen festgelegt sind. Seit dem 1. April 2025 müssen diese Organisationen einen Cyberangriff innerhalb von 24 Stunden nach seiner Entdeckung dem Bundesamt für Cybersicherheit (BACS) melden und den Bericht innerhalb weiterer 14 Tage vervollständigen. Der Feed unterstützt diese Frist in einer begrenzten Weise: Der Abgleich von Proxy-, Firewall- und Mail-Gateway-Protokollen mit bekannten bösartigen URLs verkürzt die Zeit zwischen der ersten verdächtigen Verbindung und dem Zeitpunkt, zu dem festgestellt werden kann, welche Seite aufgerufen wurde – genau die Information, die für eine erste Meldung innerhalb von 24 Stunden benötigt wird. Den Rest der Meldepflicht deckt er nicht ab, da er auf dem Endgerät selbst nichts erkennt, keine Vorfallprotokolle erstellt, über kein Fallmanagement verfügt und den Bericht nicht generieren kann. Sie benötigen weiterhin ein SIEM oder einen Vorfallprozess, um einen Feed-Treffer in einen dokumentierten Befund umzuwandeln, sowie ein Schutzprodukt auf dem betroffenen System, um festzustellen, was tatsächlich ausgeführt wurde. Dieser Text stellt keine Rechtsberatung dar; ob Ihre Organisation unter die Meldepflicht fällt, sollten Sie mit Ihrem eigenen Rechtsbeistand klären.

Erfüllt der Kaspersky Threat Data Feed „Malicious URL“ die Anforderungen der europäischen Cybersicherheitsgesetzgebung?

Kein Produkt allein gewährleistet die Einhaltung der NIS-2-Richtlinie, da sich die Richtlinie auf das Risikomanagement von Organisationen und nicht auf ein einzelnes Tool bezieht. NIS 2 schreibt verschiedene Maßnahmenkategorien vor, darunter Risikoanalyse, Vorfallbearbeitung, Geschäftskontinuität, Sicherheit der Lieferkette, Sicherheit bei der Beschaffung und Wartung von Netzwerk- und Informationssystemen, Cyberhygiene und Schulungen sowie Zugriffskontrolle. Dieser Feed deckt nur einen engen Teilbereich des Vorfallmanagements ab, nämlich den Schritt der Erkennung und Anreicherung, indem er Indikatoren bereitstellt, die ein SIEM oder ein Gateway mit dem Live-Datenverkehr abgleichen kann. Er leistet keinen Beitrag zur Geschäftskontinuität, zur Zugriffskontrolle, zu Schulungen oder zur Governance und stellt an sich keine Maßnahme zur Lieferkettensicherheit dar. Käufer, die ihre NIS-2-Bereitschaft bewerten, sollten den Feed als Input für einen bereits vorhandenen Erkennungsprozess betrachten und nicht als Maßnahme, die eine Anforderung erfüllt.

Was sollten Sie über offizielle Bewertungen von Kaspersky wissen?

Zwei offizielle Maßnahmen sind relevant und beide sind nach wie vor in Kraft. Im März 2022 gab das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine öffentliche Warnung vor der Nutzung von Kaspersky-Antivirensoftware heraus, mit der Begründung, dass Antivirensoftware weitreichende Eingriffsrechte besitzt und daher Vertrauen in den Hersteller erfordert; Die Warnung ist nun gemäß § 13 BSIG geregelt, und das BSI bestätigte Anfang 2026, dass es daran festhält. Im Juni 2024 erließ das US-Handelsministerium eine endgültige Entscheidung, die Kaspersky die Lieferung von Antiviren-Software und Cybersicherheitsprodukten in den Vereinigten Staaten untersagt, wobei der Weiterverkauf und die Integration durch US-Personen ab dem 29. September 2024 verboten sind. Ein Detail ist für dieses Produkt von unmittelbarer Bedeutung: Die US-Entscheidung schließt Produkte und Dienste von Kaspersky Threat Intelligence ausdrücklich vom Verbot aus, und Kaspersky erklärte damals, dass die Entscheidung seine Fähigkeit, Threat-Intelligence-Angebote in den Vereinigten Staaten zu verkaufen, nicht beeinträchtige. Kaspersky vertritt den Standpunkt, dass diese Massnahmen eher die geopolitische Lage widerspiegeln als eine technische Bewertung seiner Produkte. Die Schweiz hat keinen vergleichbaren Schritt unternommen: BACS gibt keine Empfehlungen zu einzelnen Produkten ab und hat erklärt, dass ihr kein Missbrauch von Kaspersky-Software gemeldet wurde. In der Praxis betrifft dies Einkäufer im öffentlichen Beschaffungswesen, Einkäufer mit Konzernunternehmen in den USA sowie Einkäufer, deren Großkunden Lieferanten russischer Herkunft vertraglich ausschließen. Bei der Beurteilung ist eine technische Unterscheidung zu beachten: Die BSI-Warnung betrifft Software, die auf Ihren Systemen installiert ist, während es sich bei diesem Produkt um einen textbasierten Indikator-Feed handelt, dessen Abgleich durch Ihre eigenen Tools erfolgt; daher trifft das der Warnung zugrunde liegende Bereitstellungsmodell nicht in gleicher Weise zu.

Norton vs. Kaspersky – Welches Antivirenprogramm bietet 2025 den besten Schutz?
Hier wird Kaspersky mit einem alternativen Anbieter verglichen, falls die Herkunftsfrage ein Faktor bei Ihrer Entscheidung ist.

Hilft der „Kaspersky Threat Data Feeds Malicious URL“-Feed bei Sicherheitsfragebögen großer Kunden?

Teilweise, und das auch nur bei einer kleinen Anzahl von Punkten. Es liefert Ihnen eine dokumentierte Antwort auf Fragen zur Nutzung externer Bedrohungsinformationen, zu den Indikatorquellen, die Ihre Überwachung speisen, und zur automatisierten Blockierung bekannter bösartiger Ziele am Perimeter, da Sie einen kommerziellen Feed, dessen Aktualisierungsrhythmus und die damit gesteuerten Kontrollmechanismen benennen können. Es gibt keine Antworten zu Endgeräteschutz, Patch-Status, Verschlüsselung, Datensicherung, Zugriffskontrolle, Aufbewahrungsfristen für Protokolle, Vorfallreaktionsverfahren oder Lieferanten-Governance, und es erstellt keinen Bericht, den Sie als Nachweis beifügen können, da es Indikatoren statt konkreter Befunde liefert. Es gibt eine zweite, weniger offensichtliche Lücke: In einigen Fragebögen wird nach dem Herkunftsland der Sicherheitsanbieter gefragt, und ein Anbieter russischer Herkunft löst unabhängig von der Produktart eine Folgefrage aus; planen Sie daher diese Antwort ein, anstatt sich davon überraschen zu lassen. Um die technischen Lücken zu schließen, ist das Hinzufügen weiterer Feeds aus demselben „Kaspersky Threat Data Feeds“-Portfolio in der Regel kostengünstiger als die Einbindung eines zweiten Informationsanbieters, da Bereitstellung, Format und Integration identisch bleiben; die Lücken in den Bereichen Berichterstattung und Endgeräte erfordern jedoch ein Schutzprodukt und ein SIEM, nicht weitere Feeds.

Was ist der Unterschied zwischen dem „Malicious URL Data Feed“ und dem „Malicious URL Exact Data Feed“?

Der entscheidende Unterschied liegt im Format der Indikatoren und damit in den Anforderungen an Ihre Tools. Dieses Produkt, der maskenbasierte Feed, liefert URL-Masken und ist für den Abgleich über Kaspersky CyberTrace oder über die Analyse des Netzwerkverkehrs in einer Next-Generation-Firewall oder einem Gateway ausgelegt. Die „Exact“-Variante liefert exakte URLs, Hosts und Domains und ist genau für den Fall vorgesehen, in dem Masken und die CyberTrace-Abgleich-Engine nicht verwendet werden können, wie beispielsweise beim direkten Import in ein SIEM oder eine Threat-Intelligence-Plattform eines Drittanbieters. Wenn Ihre Plattform nur wörtliche Indikatoren verarbeiten kann, wird der Masken-Feed unzureichende Leistung erbringen und der „Exact“-Feed ist die richtige Wahl.

Welche Einschränkungen sollten Sie vor dem Kauf beachten?

Dies ist kein Schutzprodukt und kann von sich aus nichts blockieren: Es handelt sich um eine Liste von Indikatoren, und jede Erkennung oder Blockierung erfolgt in Geräten, die Sie bereits besitzen und betreiben. Das Maskenformat ist die häufigste Ursache für Enttäuschungen, da Plattformen, die nur wörtliche URLs akzeptieren, Masken nicht korrekt abgleichen können und stattdessen die Variante „Exact“ benötigen. Was die regionale Verfügbarkeit betrifft, so ist der Feed selbst nicht regional eingeschränkt, wie es bei Anbietern manchmal der Fall ist, die Funktionen auf die Vereinigten Staaten und das Vereinigte Königreich beschränken, aber die rechtlichen Rahmenbedingungen unterscheiden sich je nach Markt: Das US-Verbot für Kaspersky-Cybersicherheitssoftware erstreckt sich nicht auf Threat-Intelligence-Produkte, während die Warnung des deutschen BSI vor Kaspersky-Antivirensoftware weiterhin in Kraft ist; daher sollten Käufer mit Konzernunternehmen in den USA oder Deutschland die internen Richtlinien vor dem Kauf und nicht erst danach überprüfen. Schließlich gibt es zwar Demo-Feeds, diese liefern jedoch niedrigere Erkennungsraten als die kommerzielle Version, sodass eine Demo-Evaluierung die tatsächliche Abdeckung unterschätzt.

Das beste Antivirenprogramm? Warum Windows Defender allein nicht ausreicht
Erläutert, warum der Abgleich von Perimeter-Indikatoren nach wie vor eine Schutzebene auf dem Endgerät selbst erfordert.

Häufig gestellte Fragen zu den Kaspersky-Bedrohungsdaten-Feeds für bösartige URLs

Ist Kaspersky CyberTrace erforderlich, um diesen Feed zu nutzen?

Nicht unbedingt, aber der maskenbasierte Feed ist darauf ausgelegt. CyberTrace führt das Parsen und Abgleichen außerhalb Ihres SIEM durch und leitet nur bestätigte Treffer mit Kontext weiter – dies ist die vorgesehene Art der Verwendung von Masken; eine Next-Generation-Firewall oder ein Gateway, das eine Netzwerkverkehrsanalyse durchführt, kann diese ebenfalls nutzen. Plattformen, die keine Masken verarbeiten können, benötigen stattdessen die „Exact“-Variante.

Gibt es eine Demoversion zur Evaluierung?

Kaspersky stellt für eine Reihe seiner Daten-Feeds Demo-Feeds zur Verfügung, und registrierte Nutzer des Threat Intelligence Portals erhalten mit einem speziellen Token Demo-Zugriff auf den TAXII-Server. Demo-Feeds weisen geringere Erkennungsraten auf als ihre kommerziellen Pendants; betrachten Sie sie daher eher als Integrationstest denn als Abdeckungstest.