Kaspersky Threat Intelligence Bundle

Was ist im Kaspersky Threat Intelligence Bundle enthalten?

Bedrohungsdaten-Feeds – Maschinell lesbare IoC-Streams für SIEM, Firewalls und Proxys.
Bedrohungsabfrage – Web- und API-Abfragen für Hashes, URLs und Domains.
Threat-Intelligence-Berichte – APT-, Crimeware- und ICS-Berichte, die auf MITRE ATT&CK abgebildet sind.
Bedrohungsanalyse – Forschungs-Sandbox, Attributions-Engine und Ähnlichkeitssuche für Samples.
Digital-Footprint-Intelligence – Dark-Web-Überwachung auf durchgesickerte Anmeldedaten und exponierte Dienste.
Wichtig – Kein Endpunkt-Agent, keine Schutzkomponente, keine Verwaltungskonsole.

Was sind die wichtigsten Vorteile des Kaspersky Threat Intelligence Bundle?

Das Kaspersky Threat Intelligence Bundle ist ein Abonnement für die Threat-Intelligence-Dienste von Kaspersky, die über das webbasierte Kaspersky Threat Intelligence Portal und eine RESTful-API bereitgestellt werden und nicht über auf Ihren Geräten installierte Software. Ausgewählte Komponenten, darunter CyberTrace, die Forschungs-Sandbox und die Attributions-Engine, können stattdessen in Ihrer eigenen Infrastruktur bereitgestellt werden.

Schnellere Alarm-Triage – Dank des Feed-Kontexts können Analysten irrelevante Meldungen ohne Eskalation aussortieren.
Bestehende Tools werden ergänzt – Die Feeds lassen sich in ArcSight, QRadar, Sentinel und Splunk integrieren.
Zuordnung innerhalb von Minuten – Verknüpft eine Probe mit bekannten APT-Akteuren und -Kampagnen.
Erkennung von Datenlecks – Findet gestohlene Anmeldedaten von Mitarbeitern, bevor Angreifer sie nutzen können.
Sperrung von Phishing-Domains – Kaspersky verwaltet den Antrag auf Entfernung von Anfang bis Ende.
Privater Zugang zu Forschungsergebnissen – Über 200 nicht-öffentliche Berichte pro Jahr sowie rückwirkender Zugriff.

Das beste Antivirenprogramm? Warum Windows Defender allein nicht ausreicht
Erläutert, warum der integrierte Schutz Lücken hinterlässt, die durch zusätzliche Sicherheitsebenen geschlossen werden müssen.

Für welche Unternehmensgröße eignet sich das Kaspersky Threat Intelligence Bundle?

Entscheidend ist nicht die Mitarbeiterzahl, sondern ob jemand in der Organisation die Informationen liest und entsprechend handelt. Feeds und Berichte verursachen eher Arbeit, als dass sie welche abnehmen: Ohne ein SIEM zum Empfang der Indikatoren und einen Analysten zu deren Bewertung erzeugt das Abonnement Warnmeldungen, die niemand bearbeitet.

Erfüllt das Kaspersky Threat Intelligence Bundle die Anforderungen der Schweizer Cybersicherheitsgesetzgebung?

Die Meldepflicht gemäss dem revidierten Informationssicherheitsgesetz gilt für Betreiber kritischer Infrastrukturen in der Schweiz, nicht für jedes Unternehmen. Betroffene Organisationen müssen einen schwerwiegenden Cyberangriff innerhalb von 24 Stunden nach dessen Entdeckung dem Bundesamt für Cybersicherheit (BACS) melden. Dieses Abonnement hilft bei der Erstellung dieses Berichts: Mit «Threat Lookup», der Forschungs-Sandbox und der Attributions-Engine kann ein Analyst eine Probe klassifizieren, die Malware-Familie benennen und das beobachtete Verhalten dem MITRE ATT&CK-Modell zuordnen, während die Uhr tickt. Was es jedoch nicht leistet, ist die Erkennung des Vorfalls an sich, da es über keinen Agenten verfügt und keine Telemetriedaten von Ihren Systemen empfängt; außerdem speichert es weder Protokolle, noch reicht es die Meldung ein, noch stellt es fest, ob Sie unter die Meldepflicht fallen. Die Erkennung, die Speicherung von Protokollen und der Meldeprozess selbst müssen über Ihren Endpunktschutz, Ihr SIEM und Ihre eigenen dokumentierten Verfahren erfolgen. Dies sind allgemeine Produktinformationen und keine Rechtsberatung; ob Ihre Organisation der Meldepflicht unterliegt, sollte mit einem qualifizierten Berater geklärt werden.

Erfüllt das „Kaspersky Threat Intelligence Bundle“ die Anforderungen der europäischen Cybersicherheitsgesetzgebung?

Kein Produkt allein macht ein Unternehmen NIS-2-konform, da sich die Richtlinie auf die Verantwortlichkeit des Managements, Prozesse und Nachweise bezieht und nicht auf Softwarefunktionen. NIS 2 verlangt Maßnahmenkategorien wie Risikoanalyse, Vorfallbearbeitung, Geschäftskontinuität, Sicherheit der Lieferkette, Umgang mit Schwachstellen und deren Offenlegung sowie Verfahren zur Bewertung, ob die Maßnahmen tatsächlich funktionieren. Dieses Abonnement unterstützt das Vorfallmanagement durch die Bereitstellung von Kontextinformationen und Indikatoren für die Triage, fördert die Lieferkettensicherheit durch die Überwachung des Dark Web auf durchgesickerte Anmeldedaten und Markenmissbrauch und unterstützt den Umgang mit Schwachstellen durch die Meldepfade und die Schwachstellendaten in den Feeds. Es leistet keinen Beitrag zur Geschäftskontinuität, Kryptografie, Zugriffskontrolle, Multi-Faktor-Authentifizierung oder Mitarbeiterschulung und liefert keine Nachweise über den Zustand Ihrer eigenen Kontrollmaßnahmen. Diese Kategorien erfordern separate Produkte und dokumentierte interne Prozesse.

Was sollten Sie über offizielle Bewertungen von Kaspersky wissen?

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat im März 2022 gemäß § 7 des BSI-Gesetzes eine formelle Warnung vor der Nutzung von Kaspersky-Produkten herausgegeben und argumentiert, dass ein Hersteller mit Hauptsitz in Russland gezwungen sein könnte, gegen Nutzer vorzugehen. Diese Warnung ist nach wie vor in Kraft, und Kaspersky hat dagegen rechtliche Schritte eingeleitet. Am 20. Juni 2024 erließ das Bureau of Industry and Security des US-Handelsministeriums eine endgültige Entscheidung, die Kaspersky ab dem 20. Juli 2024 den Verkauf an US-Personen sowie ab dem 29. September 2024 die Bereitstellung von Updates oder den Betrieb des Kaspersky Security Network in den USA untersagt; Drei Konzerngesellschaften wurden in die „Entity List“ aufgenommen. Kaspersky weist die Begründung zurück, erklärt, die Entscheidung beruhe eher auf dem geopolitischen Klima als auf einer Bewertung seiner Produkte, bot eine unabhängige Überprüfung seines Codes und seiner Updates durch Dritte an und erklärte, die US-Entscheidung habe keinen Einfluss auf seine Fähigkeit, Bedrohungsinformationen und Schulungen in den Vereinigten Staaten zu verkaufen. In der Schweiz sieht die Lage anders aus: Die BACS hat keine Warnung und keine interne Richtlinie zu Kaspersky herausgegeben, hat erklärt, dass ihr kein Missbrauch gemeldet wurde, und festgestellt, dass sich ihre technische Bewertung durch das US-Verbot nicht geändert habe. Die unabhängige Anerkennung des Threat-Intelligence-Portfolios selbst bleibt von diesen Maßnahmen unberührt: Kaspersky wird im „Frost Radar for Cyber Threat Intelligence 2024“ als führendes Unternehmen genannt und ist in der „SPARK Matrix for Digital Threat Intelligence Management“ aufgeführt. In der Praxis ist dies vor allem für Ausschreibungen im öffentlichen Sektor, für Lieferanten von Organisationen mit US-Bezug sowie für Konzerngesellschaften von Bedeutung, deren deutsche Muttergesellschaft den BSI-Leitlinien folgt; für ein privat geführtes Schweizer Unternehmen ohne derartige vertragliche Verpflichtungen hat dies möglicherweise keinerlei Auswirkungen auf die Entscheidung.

Norton vs. Kaspersky – Welches Antivirenprogramm bietet 2025 den besten Schutz?
Vergleicht die Erkennungsleistung beider Anbieter anhand unabhängiger Testergebnisse.

Hilft das Kaspersky Threat Intelligence Bundle bei Sicherheitsfragebögen großer Kunden?

Teilweise, und zwar in einem engeren Rahmen, als die meisten Käufer erwarten. Es beantwortet Fragen dazu, welche externen Threat-Intelligence-Quellen Sie abonnieren, ob Sie das Dark Web auf durchgesickerte Anmeldedaten von Mitarbeitern und Kunden überwachen, ob Sie Ihre eigenen, nach außen exponierten Dienste verfolgen, ob Malware-Proben in einer Sandbox analysiert werden, bevor eine Einstufung erfolgt, und ob das Verhalten von Angreifern anhand von MITRE ATT&CK klassifiziert wird. Es gibt keinerlei Antworten zu Endgeräteschutz, Patch-Stand, Festplattenverschlüsselung, Multi-Faktor-Authentifizierung, privilegiertem Zugriff, Backup- und Wiederherstellungstests, Aufbewahrungsfristen für Protokolle oder Schulungen zur Sicherheitssensibilisierung und liefert keine Prüfungsnachweise bezüglich Ihrer eigenen Umgebung. Es gibt zudem eine in Fragebögen zunehmend verbreitete Frage, die dieses Produkt eher aufwirft als beantwortet: Einige Kunden fragen ausdrücklich, ob Software oder Dienste russischer Herkunft im Einsatz sind, und ein Abonnement für Bedrohungsinformationen fällt in den Geltungsbereich dieser Frage. Um die Kontrolllücken innerhalb derselben Produktfamilie zu schließen, ist ein Endpoint- und XDR-Produkt aus dem Kaspersky-Portfolio in der Regel die kostengünstigere Lösung als die Einbindung eines zweiten Anbieters; wenn die Herkunft des Anbieters selbst eine Einschränkung in Ihren Fragebögen darstellt, lautet die ehrliche Einschätzung, dass der Wert dieses Abonnements eher intern für Ihr Sicherheitsteam von Bedeutung ist als etwas, das Sie nach außen präsentieren können.

Welche Einschränkungen sollten Sie vor dem Kauf kennen?

Die deutlichste regionale Einschränkung betrifft die Vereinigten Staaten, wo das Verbot des Handelsministeriums für Produkte und Dienstleistungen von Kaspersky gilt, obwohl Kaspersky angibt, dass seine Threat-Intelligence-Angebote davon nicht betroffen sind; Unternehmen mit Niederlassungen in den USA sollten dies vor dem Kauf klären, anstatt von der einen oder anderen Auslegung auszugehen. Kaspersky Threat Intelligence ist ein Portfolio aus einzeln lizenzierbaren Diensten, und die im Einzelhandel erhältlichen Paketangebote unterscheiden sich darin, welche davon enthalten sind. Überprüfen Sie daher die genaue Komponentenliste des von Ihnen gekauften Pakets, anstatt vom vollständigen Portfolio auszugehen. Analytische Berichte innerhalb von „Digital Footprint Intelligence“ sind ein Zusatzmodul und nicht Teil des Basisdienstes. Eine lokale und „air-gapped“ Bereitstellung ist für CyberTrace, die Forschungs-Sandbox und die Attributions-Engine verfügbar, nicht jedoch für die über das Portal bereitgestellten Dienste. Die Einschränkung, die am häufigsten zu einem Folgekauf führt, ist das Fehlen einer Schutzebene: Dieses Abonnement unterstützt zwar Entscheidungsfindungen, blockiert jedoch nichts; daher wird davon ausgegangen, dass Sie bereits Endgeräteschutz und ein SIEM einsetzen.

Häufig gestellte Fragen zum Kaspersky Threat Intelligence Bundle

Benötigt man ein SIEM, um die Bedrohungsdaten-Feeds zu nutzen?

Für die Feeds gilt dies im Grunde genommen ja, da es sich um maschinenlesbare Indikator-Streams handelt, die mit Ihren Protokollen abgeglichen werden sollen. CyberTrace befindet sich zwischen den Feeds und dem SIEM, analysiert eingehende Protokolle, gleicht sie mit Indikatoren ab und leitet nur Erkennungsereignisse weiter, was die Belastung des SIEM verringert. Die Portaldienste wie „Threat Lookup“ und die Berichte können manuell über einen Browser ohne jegliche Integration genutzt werden.

Können die Analysekomponenten ausgeführt werden, ohne dass Dateien an Kaspersky gesendet werden?

Ja, bei den dafür vorgesehenen Komponenten. Die Forschungs-Sandbox kann vor Ort bereitgestellt werden, sodass Proben nicht außerhalb der Organisation offengelegt werden, und die Attributions-Engine unterstützt die Bereitstellung in Air-Gapped-Umgebungen, was es Ihnen zudem ermöglicht, eigene Akteure und Proben hinzuzufügen sowie YARA-Regeln zu exportieren.

Kann ein Dienstleister dies für mehrere Kunden nutzen?

Sowohl CyberTrace als auch Digital Footprint Intelligence unterstützen Multitenancy, was für Managed Security Service Provider und für große Organisationen mit mehreren Niederlassungen gedacht ist. Jeder Mandant wird separat behandelt, sodass ein Abonnement mehrere Kundenumgebungen bedienen kann, ohne deren Daten zu vermischen.