Kaspersky Threat Data Feeds Mobile Threat

Was ist in den „Kaspersky Threat Data Feeds Mobile Threat“ enthalten?

Hashes mobiler Schadprogramme – Datei-Hashes mit Kontextinformationen zu Bedrohungen für Android und iPhone.
URLs mobiler Botnetze – URLs und Masken, die C&C-Server mobiler Botnetze abdecken.
Aussagekräftige Kontextfelder – Namen der Bedrohungen, Zeitstempel, Geolokalisierung und Verbreitung pro Datensatz.
Standard-Feed-Formate – Bereitstellung als JSON-, OpenIoC-, CSV- und STIX-Dateien.
Vorgefertigte SIEM-Konnektoren – Splunk, QRadar, ArcSight, Azure Sentinel, MISP und mehr.
Wichtig – Keine Konsole, kein Agent, keine Blockierung; Ihre Tools passen.

Was sind die wichtigsten Vorteile von „Kaspersky Threat Data Feeds Mobile Threat“?

„Kaspersky Threat Data Feeds Mobile Threat“ sind Bedrohungsdaten, keine Schutzsoftware: Sie liefern Hashes mobiler Malware und C&C-Indikatoren für mobile Botnetze an die Sicherheitstools, die Sie bereits einsetzen. Es gibt kein eigenes Verwaltungsmodell, da laut Kaspersky der Abgleich mit Bedrohungen durch die Tools des Kunden erfolgt.

Frühere Erkennung mobiler Bedrohungen – Einträge können erscheinen, noch bevor dieselben Indikatoren in OSINT verfügbar sind.
Weniger verfehlte Warnmeldungen – Dank des Kontexts können Analysten Prioritäten setzen, anstatt jeden Treffer zu überprüfen.
Herstellerneutrale Integration – Funktioniert mit Ihrem bestehenden SIEM, Ihrer Firewall oder Ihrem Gateway.
Geringe Anzahl an Fehlalarmen – Gefiltert anhand von Whitelist-Datenbanken und von Analysten validiert.
Gateway-Blockierlisten – Mobile C&C-URLs werden an Firewalls und Web-Gateways weitergeleitet.
Dokumentierte Feed-IDs – Kaspersky veröffentlicht die Feed-IDs 67 und 139 offen.

Für welche Unternehmensgröße eignet sich „Kaspersky Threat Data Feeds Mobile Threat“?

Es handelt sich um einen Threat-Intelligence-Feed für Unternehmen. Er liefert für sich genommen keinen Mehrwert: Jemand muss die Daten erfassen, mit Telemetriedaten abgleichen und auf die Treffer reagieren. Unternehmen ohne SIEM, Threat-Intelligence-Plattform oder eine Firewall, die externe Indikatorlisten akzeptiert, können ihn überhaupt nicht nutzen.

Erfüllt «Kaspersky Threat Data Feeds Mobile Threat» die Anforderungen der Schweizer Cybersicherheitsgesetzgebung?

In der Schweiz verpflichtet das revidierte Informationssicherheitsgesetz Betreiber kritischer Infrastrukturen, Cyberangriffe innerhalb von 24 Stunden nach ihrer Entdeckung dem Bundesamt für Cybersicherheit (BACS) zu melden, sodass die Meldepflicht sich nach dem Sektor und nicht nach der Mitarbeiterzahl richtet. Der Feed unterstützt diese Pflicht in einem begrenzten Umfang: Wenn ein mobiler Hash oder eine C&C-URL eines mobilen Botnetzes aus Ihren Protokollen mit einem Eintrag übereinstimmt, erhalten Sie den Namen der Bedrohung und den Zeitstempel der ersten Erkennung, was den Klassifizierungsschritt des Berichts verkürzt. Der Feed erkennt den Vorfall nicht für Sie, da er keine Scan-Engine, keinen Agenten und keine eigene Telemetrieerfassung enthält. Er erstellt auch keine Fallakte, keine Zeitleiste und keine Berichtsvorlage, sodass die 24-Stunden-Frist weiterhin von Ihrer Protokollierung, Ihren Warnmeldungen und einer benannten Person abhängt, die im Bereitschaftsdienst ist. Nichts in dem Produkt gewährleistet, dass ein Bericht fristgerecht eingereicht wird, und kein Softwareprodukt sorgt dafür, dass ein Unternehmen die gesetzlichen Anforderungen erfüllt. Diese Beschreibung ist eine Produktübersicht und stellt keine Rechtsberatung dar; ob Ihre Organisation der Meldepflicht unterliegt, sollte mit einem qualifizierten Rechtsbeistand geklärt werden.

Erfüllt „Kaspersky Threat Data Feeds Mobile Threat“ die Anforderungen der europäischen Cybersicherheitsgesetzgebung?

Kein Produkt sorgt für die Einhaltung der NIS-2-Richtlinie, da sich die Richtlinie auf das organisatorische Risikomanagement bezieht und nicht auf den Kauf eines bestimmten Tools. NIS 2 verlangt Maßnahmen in Bereichen wie Risikoanalyse und Sicherheitsrichtlinien, Vorfallbearbeitung, Geschäftskontinuität, Lieferkettensicherheit, Cyberhygiene, Zugriffskontrolle und die Verwendung von Multi-Faktor-Authentifizierung. Dieser Feed trägt zur Vorfallbearbeitung und zum Austausch von Bedrohungsinformationen bei: Indikatoren für mobile Bedrohungen gehen kontinuierlich ein und können mit Ereignissen korreliert werden, die Ihre Überwachungssysteme bereits erfassen. Er leistet keinen Beitrag zur Zugriffskontrolle, zur Multi-Faktor-Authentifizierung, zur Verschlüsselung, zur Datensicherung, zum Umgang mit Schwachstellen oder zur Mitarbeiterschulung und enthält keine eigenen Nachweise, die ein Prüfer einsehen könnte. Käufer, die eine Abdeckung dieser Kategorien benötigen, müssen diese separat beschaffen.

Was sollten Sie über offizielle Bewertungen von Kaspersky wissen?

Zwei offizielle Maßnahmen sind relevant und beide sind nach wie vor in Kraft. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) veröffentlichte am 15. März 2022 eine Warnung vor der Nutzung von Kaspersky-Antivirensoftware gemäß dem deutschen BSI-Gesetz; diese wurde nicht zurückgezogen und in das geänderte Gesetz übernommen, das am 6. Dezember 2025 in Kraft trat. Am 20. Juni 2024 erließ das US-Handelsministerium eine endgültige Entscheidung, die Kaspersky-Antiviren- und Cybersicherheitsprodukte für US-Personen verbietet, wobei neue Verträge ab dem 20. Juli 2024 untersagt sind und Signatur- sowie Codebasis-Updates ab dem 29. September 2024 nicht mehr zulässig sind. In der Entscheidung wird ausdrücklich festgestellt, dass sie nicht für Produkte und Dienste von Kaspersky im Bereich „Threat Intelligence“ gilt, zu deren Kategorie dieser Feed gehört. Kaspersky vertritt den Standpunkt, dass die deutsche Warnung nicht auf einer objektiven technischen Analyse beruhte und dass die US-Entscheidung eher das geopolitische Klima widerspiegelte als eine Bewertung seiner Produkte. In der Praxis ist dies vor allem für Verträge im öffentlichen Sektor und für Anbieter von Bedeutung, deren Kunden Klauseln zur Herkunft des Anbieters vorschreiben; da es sich bei dem Feed um Textdaten handelt, die von Ihren eigenen Tools abgeglichen werden, und nicht um Software mit Systemrechten, behandeln einige Organisationen ihn anders als einen installierten Agenten – entscheidend ist jedoch der vertragliche Wortlaut Ihres Kunden und nicht der technische Unterschied.

Norton vs. Kaspersky – Welches Antivirenprogramm bietet 2025 den besten Schutz?
Ein direkter Vergleich der Erkennungsergebnisse und des Produktumfangs beider Anbieter für Käufer, die bei der Anbieterauswahl abwägen.

Hilft der „Kaspersky Threat Data Feed Mobile Threat“ bei Sicherheitsfragebögen großer Kunden?

Teilweise, und zwar nur in einem Abschnitt eines typischen Fragebogens. Es beantwortet Fragen zur Beschaffung externer Bedrohungsinformationen, dazu, ob mobilgerätespezifische Indikatoren für Android und iPhone abgedeckt sind, zu den Formaten, die Sie einlesen können, und dazu, welche Erkennungsplattformen die Daten erreichen. Die Fragen mit dem größten Gewicht werden damit nicht beantwortet: ob Endpunkt- und Mobilschutz eingesetzt wird, ob Geräte in einer Plattform zur Verwaltung mobiler Geräte registriert sind, wie das Patch-Management gehandhabt wird, ob Festplatten verschlüsselt sind, ob eine Multi-Faktor-Authentifizierung durchgesetzt wird, wie lange Protokolle aufbewahrt werden oder wie Vorfälle triagiert und eskaliert werden. Diese Lücken lassen sich nicht durch das Hinzufügen weiterer Feeds schließen. Der kostengünstigere Weg besteht in der Regel darin, zunächst innerhalb derselben Produktfamilie zu erweitern, da umfassendere Kaspersky-Feed-Pakete Desktop-Hashes, bösartige und Phishing-URLs sowie IP-Reputation enthalten und Kaspersky CyberTrace die Abgleichsebene bereitstellt, die dem Feed selbst fehlt, bevor ein zweiter Anbieter in denselben Workflow eingebunden wird. Endpoint-, Mobilgeräte-Management und Identitätskontrollen müssen in jedem Fall separat erworben werden.

Das beste Antivirenprogramm? Warum Windows Defender allein nicht ausreicht
Erläutert, wo der integrierte Schutz endet und welche Schichten ein Unternehmen noch selbst hinzufügen muss.

Was ist der Unterschied zwischen „Mobile Threat“ und „URL & Hash & Mobile Threat“?

Der entscheidende Unterschied liegt in der Desktop-Abdeckung: „Mobile Threat“ umfasst nur die beiden mobilen Feeds, während das größere Paket die Desktop-Hash- und URL-Feeds hinzufügt. In der Kaspersky-eigenen Dokumentation werden die beiden hier angebotenen Feeds als „Mobile Malicious Hash Data Feed“ (ID 67) und „Mobile Botnet Data Feed“ (ID 139) bezeichnet, und Käufer, die nach diesen Bezeichnungen suchen, finden denselben Inhalt. Kaspersky veröffentlicht insgesamt mehr als 25 sofort einsatzbereite Feeds, sodass die Einzelhandelspakete eher Teilmengen eines Katalogs als unterschiedliche Produktgenerationen sind. Entscheiden Sie sich nur dann für „Mobile Threat“, wenn Ihre Desktop-Indikatoren bereits aus einer anderen Quelle stammen; andernfalls hinterlässt der ausschließlich mobile Umfang eine sichtbare Lücke im selben SIEM.

Welche Einschränkungen sollten Sie vor dem Kauf beachten?

Der Feed bietet für sich genommen keinen Schutz. Kaspersky weist darauf hin, dass der Abgleich durch die Tools des Kunden erfolgen muss, da ausschließlich textbasierte Daten bereitgestellt werden. Ein Treffer liegt daher nur dann vor, wenn Ihr SIEM, Ihr Gateway oder Ihre Threat-Intelligence-Plattform bereits die zu vergleichenden Datei-Hashes und URLs generiert. Mobile Geräte werden nicht gescannt und nicht registriert, was bedeutet, dass ein Smartphone außerhalb des Unternehmensnetzwerks gar keine Ereignisse generiert, die abgeglichen werden könnten. Für die Feeds selbst wurden keine regional eingeschränkten Funktionen festgestellt, doch die oben beschriebene regulatorische Situation des Anbieters ist die entscheidende Frage hinsichtlich der Verfügbarkeit für Käufer aus dem öffentlichen Sektor und aus der Lieferkette in der Schweiz und der Europäischen Union. Die häufigsten Folgekäufe sind eine Abgleichsebene wie Kaspersky CyberTrace, zusätzliche Feeds für Desktop-Indikatoren sowie Analystenzeit, da rohe Indikatoren ohne jemanden, der sie auswertet, lediglich Zeilen in einer Datenbank hinzufügen.

Häufig gestellte Fragen zu den Kaspersky-Bedrohungsdaten-Feeds „Mobile Threat“

Benötigt man Kaspersky CyberTrace, um den Feed zu nutzen?

Nein. Der Feed kann direkt in ein SIEM, eine Next-Generation-Firewall, ein Web-Gateway oder eine Threat-Intelligence-Plattform geladen werden, und Kaspersky stellt Konnektoren für Splunk Enterprise Security, IBM QRadar, ArcSight ESM, RSA NetWitness, Azure Sentinel, MISP, ThreatConnect, EclecticIQ, ThreatQ, Anomali ThreatStream, Maltego, Cisco Firepower und Suricata sowie eine REST-API. CyberTrace ist ein separates Kaspersky-Produkt, das den Abgleich durchführt, bevor Ereignisse das SIEM erreichen, was die SIEM-Auslastung verringert, jedoch nicht erforderlich ist.

Woher stammen die Daten im Feed?

Kaspersky aggregiert sie aus dem Kaspersky Security Network, seinen eigenen Webcrawlern, einem rund um die Uhr (24/7/365) laufenden Botnetz-Überwachungsdienst, Spam-Fallen, seinen Forschungsteams und Partnern. Die Rohdaten werden anschließend anhand statistischer Kriterien, Sandboxes und heuristischer Engines sowie durch Validierung durch Analysten und Überprüfungen anhand von Whitelists gefiltert, bevor sie in den Feed gelangen.

Was passiert, wenn eines Ihrer Protokolle mit einem Eintrag übereinstimmt?

Es geschieht nichts automatisch. Das Abgleichstool löst die Warnmeldung aus und wendet die von Ihnen konfigurierte Regel an, während der Feed den dazugehörigen Kontext liefert, wie beispielsweise den Namen der Bedrohung, den Zeitstempel, den Standort und die Verbreitung des Objekts. Ob die Verbindung blockiert, das Gerät isoliert oder ein Ticket eröffnet wird, hängt vollständig von Ihren eigenen Tools und Prozessen ab.