Kaspersky Threat Data Feeds Whitelisting

Was umfasst die Whitelist-Funktion der Kaspersky Threat Data Feeds?

Whitelisting-Datenfeed – Systematische, kontinuierlich aktualisierte Informationen zu legitimer Software.
Maschinell lesbare Formate – Bereitstellung als JSON-, CSV-, OpenIoC- oder STIX-Dateien.
Bereitstellung über HTTPS und TAXII – Regelmäßiger Abruf durch Ihre eigenen Systeme.
SIEM- und TIP-Unterstützung – QRadar, ArcSight, Splunk, MISP und weitere Plattformen werden unterstützt.
Geprüfte Quelldaten – Aggregiert aus dem Kaspersky Security Network und von Forschungsteams.
Wichtig – Keine Konsole, kein Agent und keine Blockierungsfunktion enthalten.

Was sind die wichtigsten Vorteile von „Kaspersky Threat Data Feeds Whitelisting“?

„Kaspersky Threat Data Feeds Whitelisting“ ist ein Abonnement für einen Feed aus der Kaspersky Threat Intelligence-Familie und liefert Daten über als legitim bekannte Software anstelle der Software selbst. Es gibt keine Verwaltungskonsole: Der Feed wird von Ihrem eigenen SIEM, Ihrer Threat-Intelligence-Plattform oder Kaspersky CyberTrace heruntergeladen, und die Abgleichung erfolgt dort.

Weniger Fehlalarme – Als sicher eingestufte Objekte werden gefiltert, bevor Analysten sie sehen.
Schnellere Alarmauswertung – Analysten müssen Dateien, die sich bereits als nicht schädlich erwiesen haben, nicht erneut analysieren.
Geringere Belastung des SIEM – Es gelangen weniger Ereignisse in die Korrelations- und Speicherebene.
Ausschließlich textbasierte Bereitstellung – In Ihrer Infrastruktur wird kein ausführbarer Code ausgeführt.
Herstellerneutrale Integration – Verwendbar, ohne dass ein Endpoint-Produkt von Kaspersky installiert sein muss.
Unterstützt die Anwendungskontrolle – Die Feeds ermöglichen Whitelist-Entscheidungen in Lösungen und Diensten von Drittanbietern.

Für welche Unternehmensgröße eignet sich „Kaspersky Threat Data Feeds Whitelisting“?

Dies ist ein Produkt für den Sicherheitsbetrieb, kein Produkt für kleine Unternehmen. Es lohnt sich nur, wenn in Ihrer Organisation bereits ein System im Einsatz ist, das Indikatorendaten erfasst und mit Ereignissen abgleicht. Ein Unternehmen ohne SIEM- oder Threat-Intelligence-Plattform hat keine Möglichkeit, diese Daten einzuspeisen.

Erfüllt „Kaspersky Threat Data Feeds Whitelisting“ die Anforderungen der Schweizer Cybersicherheitsgesetzgebung?

Kein einzelnes Sicherheitsprodukt erfüllt die Anforderungen des revidierten Informationssicherheitsgesetzes (ISG) für sich allein. Seit dem 1. April 2025 müssen Betreiber kritischer Infrastrukturen in der Schweiz qualifizierte Cyberangriffe innerhalb von 24 Stunden nach ihrer Entdeckung an das Bundesamt für Cybersicherheit (BACS) melden, wobei sie weitere 14 Tage Zeit haben, um einen ersten Bericht zu vervollständigen, der zwangsläufig unvollständig war. Die 24-Stunden-Frist ist in erster Linie ein Triage-Problem und erst in zweiter Linie ein Meldeproblem, und genau hier leistet der Feed einen Beitrag: Durch das Entfernen von Dateien, deren Legitimität bereits nachgewiesen ist, aus der Alarmwarteschlange verkürzt sich die Zeit, die Analysten benötigen, um zu entscheiden, ob es sich bei einem Ereignis um einen meldepflichtigen Vorfall handelt. Was der Feed nicht leistet, ist das Erkennen des Angriffs, das Erstellen des Berichts, das Erfassen, wer was zu welchem Zeitpunkt entdeckt hat, oder das Aufbewahren von Beweismaterial für die anschließende Einreichung – all dies erfolgt über Ihre Überwachungsplattform, Ihren Endgeräteschutz und Ihren dokumentierten Vorfallprozess. Dieser Text stellt allgemeine Produktinformationen dar und ist keine Rechtsberatung; ob Ihre Organisation der Meldepflicht unterliegt, sollte mit einem qualifizierten Rechtsberater geklärt werden.

Erfüllt das „Whitelisting“ der Kaspersky Threat Data Feeds die Anforderungen der europäischen Cybersicherheitsgesetzgebung?

Kein Produkt gewährleistet die Einhaltung der NIS-2-Richtlinie, und jeder Anbieter, der etwas anderes behauptet, vertritt damit eher eine Marketingposition als den Wortlaut der Richtlinie. Die NIS-2-Richtlinie verpflichtet wesentliche und wichtige Einrichtungen zur Umsetzung von Risikomanagementmaßnahmen, die die Bearbeitung von Vorfällen, die Sicherheit von Netzwerken und Informationssystemen, die Sicherheit der Lieferkette, die Geschäftskontinuität sowie die Meldung schwerwiegender Vorfälle umfassen. Dieser Feed betrifft nur einen kleinen Teil davon: Er verbessert das Signal-Rausch-Verhältnis bei der Sicherheitsüberwachung, sodass Ereignisse, die eine Eskalation erfordern, leichter von Routineaktivitäten unterschieden werden können. Er leistet keinen Beitrag zu Workflows für das Vorfallmanagement, zur Zugriffskontrolle, zur Verschlüsselung, zur Kontinuitätsplanung, zur Mitarbeiterschulung oder zur Risikobewertung von Lieferanten und erzeugt selbst keinen Prüfpfad. Betrachten Sie ihn als einen Beitrag, der Ihre bereits vorhandenen Erkennungsfähigkeiten verbessert, und nicht als eine Maßnahme, die Sie für sich allein präsentieren können.

Was sollten Sie über offizielle Bewertungen von Kaspersky wissen?

In der Schweiz gibt das Bundesamt für Cybersicherheit (BACS) keine Empfehlungen für oder gegen einzelne Produkte ab und hat keine Warnung bezüglich Kaspersky veröffentlicht; es hat erklärt, dass es die Öffentlichkeit informieren würde, sollte es bestätigte Hinweise auf Missbrauch erhalten. In Deutschland warnt das Bundesamt für Sicherheit in der Informationstechnik (BSI) seit dem 15. März 2022 vor der Nutzung von Kaspersky-Virenschutzsoftware. Diese Warnung gilt auch im Jahr 2026 noch, sie bezieht sich jedoch speziell auf Antivirensoftware und nicht auf das gesamte Produktportfolio von Kaspersky; Kaspersky hat diese Warnung öffentlich angefochten und dabei auf die Datenspeicherung in der Schweiz, seine Transparenzzentren sowie das Fehlen bestätigter Vorfälle hingewiesen und angekündigt, Anfang 2026 rechtliche Schritte einzuleiten, sollte die Warnung nicht zurückgezogen werden. In den Vereinigten Staaten erließ das Handelsministerium am 20. Juni 2024 eine endgültige Entscheidung, die Kaspersky die Lieferung von Antiviren-Software und Cybersicherheitsprodukten an US-Personen untersagt, wobei der Weiterverkauf, die Integration und die Lizenzierung ab dem 29. September 2024 verboten sind. Ein Detail dieser Entscheidung ist in diesem Zusammenhang von unmittelbarer Bedeutung: Sie gilt ausdrücklich nicht für Produkte und Dienste von Kaspersky Threat Intelligence, die rein informativen Charakter haben – und genau zu dieser Kategorie gehört dieser Feed. In der Praxis betrifft dies drei Käufergruppen: Organisationen mit US-Niederlassungen oder vertraglichen Verpflichtungen gegenüber US-Personen, deutsche Behörden und Organisationen, die sich an die BSI-Leitlinien halten, sowie alle Anbieter, deren Großkunden bei der Beschaffung das Herkunftsland der Anbieter prüfen. Unabhängige Erkennungstests der Antiviren-Labore beziehen sich auf die Endpoint-Engines von Kaspersky und sagen nichts über einen Textdaten-Feed aus; daher sind sie für dieses Produkt in keiner Weise ein aussagekräftiger Anhaltspunkt. Die Entscheidung liegt bei Ihnen und muss unter Berücksichtigung Ihrer eigenen vertraglichen und branchenspezifischen Anforderungen getroffen werden.

Norton vs. Kaspersky – Welches Antivirenprogramm bietet 2025 den besten Schutz?
Ein direkter Vergleich der beiden Anbieter hinsichtlich Erkennungsleistung und Funktionen.

Hilft die Whitelist-Funktion für Bedrohungsdaten-Feeds von Kaspersky bei Sicherheitsfragebögen großer Kunden?

Teilweise, und zwar nur in einem Abschnitt eines typischen Fragebogens. Es liefert Ihnen eine konkrete Antwort auf Fragen, ob Sie externe Quellen für Bedrohungsinformationen nutzen, ob Ihre Überwachung Reputationsdaten aus einer Quelle außerhalb Ihrer eigenen Umgebung verwendet und ob Sie aktive Maßnahmen ergreifen, um die Alarmflut bei der Triage zu reduzieren. Auf alles andere gibt es keine Antwort. Fragen zur Abdeckung des Endgeräteschutzes, zum Patch-Status, zur Verschlüsselung mobiler Geräte, zu Tests der Datensicherung und -wiederherstellung, zur Multi-Faktor-Authentifizierung, zu Zugriffsprüfungen, zu Aufbewahrungsfristen für Protokolle, zu Reaktionszeiten bei Vorfällen und zu Sensibilisierungsschulungen für Mitarbeiter bleiben unberührt – ebenso wie alle Fragen, bei denen Sie Nachweise oder Berichte vorlegen sollen, da dieses Produkt keine solchen erstellt. Es gibt zudem einen Fragetyp, bei dem sich der Feed nachteilig auswirken kann: In einigen Fragebögen werden Sie aufgefordert, das Herkunftsland Ihrer Sicherheitsanbieter anzugeben, und ein Anbieter mit Hauptsitz in Russland erfordert eine Erklärung, unabhängig davon, wie das Produkt bereitgestellt wird. Wenn es sich bei den Lücken tatsächlich um solche handelt, die Sie schließen müssen, kostet ein umfassenderes Kaspersky Threat Intelligence-Abonnement, das Feeds mit Indikatoren für bösartige Software und Berichte umfasst, in der Regel weniger und verursacht weniger Integrationsprobleme als die Zusammenstellung einer gleichwertigen Abdeckung aus mehreren Anbietern.

Was ist der Unterschied zwischen dem Whitelisting-Daten-Feed und den Feeds mit Malware-Indikatoren?

Der entscheidende Unterschied liegt in der Ausrichtung: Der Whitelisting-Daten-Feed teilt Ihren Systemen mit, was als sicher bekannt ist, während die Feeds mit Indikatoren für schädliche Software ihnen mitteilen, was als gefährlich bekannt ist. Das bedeutet, dass der Whitelisting-Feed selbst nichts erkennen kann – er kann lediglich Störsignale unterdrücken, die von anderen Quellen erzeugt werden. Käufer, die ihn in der Erwartung einer Erkennungsabdeckung erwerben, haben den falschen Feed gekauft. Beide werden in denselben maschinenlesbaren Formaten bereitgestellt und erfordern auf Ihrer Seite eine entsprechende Abgleich-Engine, sodass der Integrationsaufwand in beiden Fällen gleich ist.

Welche Einschränkungen sollten Sie vor dem Kauf beachten?

Der häufigste Folgekauf ist die Matching-Ebene selbst: Der Feed besteht aus Textdaten, und diese müssen mit Ihrem Ereignisstrom abgeglichen werden – in der Praxis bedeutet dies ein vorhandenes SIEM, eine Threat-Intelligence-Plattform oder Kaspersky CyberTrace als separate Komponente. Der zweite Punkt betrifft den Anwendungsbereich – dieser Feed reduziert zwar Störsignale, bietet jedoch keine Erkennung, sodass ein Security Operations Center, das ihn isoliert erwirbt, weiterhin die Feeds mit Indikatoren für bösartige Aktivitäten benötigt, um eine lückenlose Abdeckung zu gewährleisten. Was die regionale Verfügbarkeit betrifft, so schließt die endgültige Entscheidung der USA gegen Kaspersky rein informative Threat-Intelligence-Produkte ausdrücklich aus; ein US-Unternehmen in Ihrer Gruppe sollte jedoch vor der Bereitstellung dennoch seine eigene Position klären, und Organisationen, die den deutschen BSI-Leitlinien folgen, benötigen eine interne Begründung, auch wenn sich diese Warnung eher auf Antivirensoftware als auf Daten-Feeds bezieht. Schließlich wird in der aktuellen öffentlichen Feed-Übersicht von Kaspersky eine andere Teilmenge seiner über 25 Feeds beworben, und der Whitelisting-Feed wird nicht namentlich aufgeführt; klären Sie daher das genaue aktuelle Paket mit Ihrem Vertriebspartner ab, bevor Sie eine Integration darauf aufsetzen.

Das beste Antivirenprogramm? Warum Windows Defender allein nicht ausreicht
Erläutert, wo der integrierte Schutz Lücken aufweist und welche Schutzebenen ein Unternehmen noch selbst hinzufügen muss.

Häufig gestellte Fragen zu den Whitelisting-Feeds von Kaspersky Threat Data Feeds

Ersetzt dieser Feed Software zur Anwendungskontrolle oder zur Whitelist-Verwaltung?

Nein. Software zur Anwendungskontrolle setzt eine Richtlinie auf einem Endgerät durch und blockiert, was nicht erlaubt ist. Dieser Feed liefert Referenzdaten zu legitimer Software, auf die ein solches System oder ein Drittanbieterdienst bei der Entscheidungsfindung zurückgreifen kann. Die Durchsetzungskomponente müssen Sie weiterhin separat erwerben und betreiben.

Was passiert, wenn eine legitime Datei nicht im Feed enthalten ist?

Es wird nichts blockiert, da der Feed keine Blockierungen vornimmt. Eine nicht aufgeführte Datei erhält lediglich keine Bestätigung als „bekannt gut“, bleibt also in der Warteschlange und wird von Ihrem normalen Analyseprozess bearbeitet. Interne Anwendungen, benutzerdefinierte Skripte und frisch kompilierte Binärdateien fallen routinemäßig in diese Kategorie, was Sie berücksichtigen sollten, wenn Sie abschätzen, wie viel Triage-Aufwand der Feed tatsächlich einsparen wird.