![\"\"](\"https:\/\/www.sysbus.eu\/wp-content\/uploads\/2026\/07\/Dashboard-1024x464.png\")
Die ZeroFox-Dark-Web-Monitoring-Funktion findet Daten, die bereits gestohlen wurden und zum Verkauf stehen. Dazu geh\u00f6ren E-Mail-Adressen, Passw\u00f6rter, vertrauliche Dokumente und Quellcode. Eine Besonderheit des ZeroFox-Angebots ist, dass das Unternehmen \u00fcber im Dark Web gut vernetzte Mitarbeiter verf\u00fcgt, die dazu in der Lage sind, sich in einschl\u00e4gige Foren einladen zu lassen und aktiv die Unterhaltungen von Hackergruppen zu beobachten. Auf diese Art und Weise finden sie heraus, ob eine Branche oder eine Firma gerade als m\u00f6gliches Ziel f\u00fcr Angriffe diskutiert werden. Au\u00dferdem erhalten sie so auch Zugriff auf Daten, die nicht \u00f6ffentlich zur Verf\u00fcgung stehen. Bei diesen Mitarbeitern handelt es sich im Wesentlichen um ehemalige Angeh\u00f6rige des US-Milit\u00e4rs, der CIA und des FBI.<\/p>\n\n\n\n
Ebenfalls zum Angebot des Unternehmens geh\u00f6rt der Schutz so genannter High Value Targets, also besonders wichtiger Mitarbeiter, beispielsweise F\u00fchrungskr\u00e4fte oder Prominente wie Sport-Profis. In diesem Zusammenhang findet ZeroFox private Adressen, Telefonnummern oder Standorte dieser Personen, die ungewollt im Netz stehen und realisiert so einen gewissen Schutz vor Doxing. Zus\u00e4tzlich filtert das System direkte Bedrohungen gegen Personen auf Social-Media-Plattformen heraus.<\/p>\n\n\n\n
Das Besondere an ZeroFox ist, dass dieses Unternehmen nicht nur die potentiellen Bedrohungen und kompromittierten Daten erkennt, beziehungsweise findet, sondern auch daf\u00fcr sorgt, dass diese Informationen aus dem Netz verschwinden. Zu diesem Zweck arbeitet ZeroFox direkt mit den Sicherheitsteams von Meta, Google, LinkedIn und vergleichbaren Unternehmen zusammen und h\u00e4lt dar\u00fcber hinaus auch einen engen Kontakt zu Domain-Registraren. ZeroFox verfolgt also den Anspruch, den ganzen Prozess von der Erkennung der Bedrohungen bis zum Takedown abzubilden.<\/p>\n\n\n\n
Die Arbeit mit der ZeroFox-Umgebung<\/strong><\/a><\/p>\n\n\n\n Bevor die ZeroFox-L\u00f6sung mit der Arbeit beginnen kann, muss sie zun\u00e4chst einmal wissen, wonach sie \u00fcberhaupt suchen soll. Deswegen m\u00fcssen die zust\u00e4ndigen Mitarbeiter zu Beginn im ZeroFox-Web-Interface einen Tenant mit den dazugeh\u00f6rigen Assets generieren. Dazu geh\u00f6ren neben grundlegenden Daten wie dem Unternehmensnamen und einer Kontaktadresse mehrere unterschiedliche Informationen: Zun\u00e4chst einmal die vorhandenen Social-Media-Konten bei Facebook (sowohl das Konto selbst als auch die Facebook-Page), LinkedIn (Konto und Organisation), Instagram (Creator und Business), X, Youtube, Bluesky, Slack, Trip Advisor, Glassdoor, Snapchat und TikTok. Es gibt zwei unterschiedliche Optionen zum Einbinden von Social Media-Konten, mit und ohne Authentifizierung. Ohne Authentifizierung beobachtet ZeroFox das Konto lediglich von au\u00dfen, genau wie ein externer Beobachter. Mit Authentifizierung kann ZeroFox das betroffene Konto unter anderem vor \u00dcbernahmeversuchen sch\u00fctzen, von Hackern durchgef\u00fchrte Posts l\u00f6schen und Phishing-Links entfernen.<\/p>\n\n\n\n Au\u00dferdem haben die Verantwortlichen bei der Tenant-Generation auch die Option, Bilder hochzuladen. Das k\u00f6nnen Logos, Bilder von Personen, Bilder von Kreditkarten und \u00e4hnliches sein. Da das System die Dateien anhand von Hashes erkennt, ergibt es Sinn, alle vorhandenen offiziellen Versionen der Bilder hochzuladen, auch dann, wenn sie sich optisch nicht unterscheiden, beispielswese wegen einer geringf\u00fcgig unterschiedlichen Aufl\u00f6sung.<\/p>\n\n\n\n Von besonderer Bedeutung sind die \u201eMatch Terms\u201c, da das System im Betrieb nach dem Vorkommen dieser Begriffe sucht. \u201eNames and Aliases\u201c umfasst alle Unternehmensbezeichnungen in allen m\u00f6glichen Schreibweisen, wie etwa \u201eBank\u201c, \u201eBank Group\u201c, \u201eGlobal Bank\u201c oder auch \u201eFinanzinstitut\u201a Bank\u201c. Hier m\u00fcssen die zust\u00e4ndigen Mitarbeiter genau kl\u00e4ren, wonach gesucht werden soll. Wenn es sich um Personen handelt, m\u00fcssen auch die unterschiedlichen Schreibweisen des Namens im Netz Ber\u00fccksichtigung finden: \u201eMonika Musterfrau\u201c, \u201eMonikaMusterfrau\u201c, \u201eMonika.Musterfrau\u201c, \u201eMonika-Musterfrau\u201c, \u201eMonika_Musterfrau\u201c, \u201eMusterfrau, Monika\u201c und so weiter.<\/p>\n\n\n\n Die Definition eines VIP-Kontos<\/strong><\/p>\n\n\n\n Die \u201eProfile Terms\u201c kommen bei Konten zum Einsatz, die zuvor mit den Eintr\u00e4gen in \u201eNames and Aliases\u201c gefunden wurden. Verf\u00fcgen solche Konten \u00fcber Biografien und Profildetails, so werden diese mit den hier aufgef\u00fchrten Begriffen durchsucht. Das k\u00f6nnen beispielsweise Niederlassungen oder auch die Sektoren sein, in denen das jeweilige Unternehmen t\u00e4tig ist. Die \u201eCombined Terms\u201c bieten im Gegensatz dazu eine \u201eund\u201c-Verkn\u00fcpfung bei der Suche an. Auf diese Weise grenzen die zust\u00e4ndigen Mitarbeiter allgemeine Begriffe ein und verwenden zum Beispiel statt \u201eApple\u201c \u201eApple + Quellcode\u201c, um Treffer auszuschlie\u00dfen, die sich nur mit Obst befassen und keinen Bezug zu Quellcode haben. Die \u201eIndependent Terms\u201c arbeiten als \u201eoder\u201c-Logik, es ruft also jeder gefundene Begriff einen Alarm hervor. Das bringt Vorteile, wenn es um Benutzernamen, Telefonnummern, Hashtags und Keywords geht, die einen Asset leicht identifizieren k\u00f6nnen. Hier muss man allerdings darauf achten, sehr spezifisch zu bleiben, um zu viele Meldungen zu vermeiden.<\/p>\n\n\n\n Die \u201eExclusion Terms\u201c schlie\u00dfen einen Begriff schlie\u00dflich von der Suche aus. Alle Suchbegriffe sind nicht case-sensitive und werden im Unicode-Format verarbeitet.<\/p>\n\n\n\n Unter \u201eAdvanced Settings\u201c lassen sich zudem Google-Suchen einbinden. Ein Term wie \u201eintext:\u2018adidas\u2018 + apk\u201c w\u00fcrde beispielsweise App-Eintr\u00e4ge einer adidas-app finden. Bei diesen l\u00e4sst sich dann \u2013 etwa \u00fcber Unterschiede in der Dateigr\u00f6\u00dfe \u2013 feststellen, ob es sich um Piraterie-Apps handelt. Eine Reverse Image Search, die bestimmte Bilder im Internet finden kann, schlie\u00dft den Leistungsumfang der Profildefinition ab. Letztere l\u00e4sst sich beispielsweise nutzen, um den Mi\u00dfbrauch von Logos aufzudecken. Steht auf einer Webseite \u201esposored by\u201c, gefolgt von einem Coca-Cola-Logo, so w\u00fcrde bei eine reinen Textsuche nicht auffallen, dass der Inhaber dieser Webseite, der in Wirklichkeit nichts mit Coca-Cola zu tun hat, versucht, sich \u00fcber Fehlinformationen ein besseres Image oder h\u00f6here Glaubw\u00fcrdigkeit zu verschaffen. Die Reverse-Image-Suche deckt solche F\u00e4lle durch das Auffinden des Logos im falschen Kontext auf.<\/p>\n\n\n\n ZeroFox im laufenden Betrieb<\/strong><\/a><\/p>\n\n\n\n Sobald das Profil erstellt wurde, kann es daran gehen, die darin definierte Umgebung zu \u00fcberwachen. Einen allgemeinen \u00dcberblick hierzu liefert der Reiter \u201eDashboard\u201c. Hier zeigt das System die eskalierten Alarmmeldungen an, die dabei zugrundeliegende Triage f\u00fchrt ZeroFox durch. Alle Alarme in der Liste lassen sich anklicken, daraufhin pr\u00e4sentiert das System eine Seite mit weiteren Informationen. Diese enth\u00e4lt Details zum Vorgang und den betroffenen Komponenten sowie Empfehlungen zur Probleml\u00f6sung. An gleicher Stelle k\u00f6nnen die Verantwortlichen auch eine weitergehende Untersuchung in Auftrag geben, die dann von Mitarbeitern von ZeroFox durchgef\u00fchrt wird.<\/p>\n\n\n\n Der Reiter \u201eAssets\u201c erm\u00f6glicht es im Gegensatz dazu, einzelne Assets wie Mitarbeiter, Dom\u00e4nen, Orte, Produkte, Hostnamen und so weiter, anzulegen. Auch hier erfolgt die Definition in den meisten F\u00e4llen wieder mit Bildern, Suchbegriffen und Social-Media-Konten, bei bestimmten Komponenten \u2013 wie etwa Hosts \u2013 k\u00f6nnen das aber auch andere Informationen, wie etwa IP-Adressen, sein.<\/p>\n\n\n\n Die Dom\u00e4nenkonfiguration<\/strong><\/a><\/p>\n\n\n\n Zum \u00dcberwachen von Dom\u00e4nen reicht es, die jeweilige Top Level Domain anzugeben. Alle Subdomains werden dann automatisch in die \u00dcberwachung eingebunden. Regex wird bei der Domaindefinition unterst\u00fctzt, ein Tool namens \u201eEstimate Matches\u201c zeigt im Betrieb, wie viele Suchanfragen voraussichtlich aus der aktuell vorliegenden Regex-Abfrage erzeugt w\u00fcrden.<\/p>\n\n\n\n Abgesehen davon besteht die M\u00f6glichkeit, Domain-Substrings und Favicons anzugeben, in letzterem Fall w\u00fcrde das System darauf hinweisen, wenn ein in die Suche integriertes Favicon auf einer fremden Seite zum Einsatz kommen w\u00fcrde. Ebenfalls interessant: die \u201eWeb Beacons\u201c. Diese stellen einen auf der Webseite des Kunden eingebundenen Pixel dar, der einen Hartbeat an die ZeroFox-Server in der AWS-Cloud \u00fcbertr\u00e4gt. Clont jemand die Webseite, so erscheint der Hartbeat ein zweites Mal und es wird sofort klar, dass die Seite kopiert wurde. Wird das Beacon gel\u00f6scht, gibt das System zudem eine entsprechende Meldung aus.<\/p>\n\n\n\n Was die bereits erw\u00e4hnte Dark-Web-Suche angeht, so untersucht ZeroFox etwa 500 unterschiedliche Marktpl\u00e4tze und mehrere tausend Quellen. Der letzte Bereich der Dom\u00e4nenkonfiguration nennt sich \u201eData Sources\u201c, hier lassen sich alle an die jeweilige Dom\u00e4ne angeschlossenen Quellen anzeigen und ein- beziehungsweise ausschalten. Soll das System alle Quellen anzeigen, die es kennt, so finden sich diese unter Settings \/ Data Connectors und k\u00f6nnen hier ebenfalls aktiviert und deaktiviert werden.<\/p>\n\n\n\n Attack Surfaces<\/strong><\/a><\/p>\n\n\n\n Unter \u201eAttack Surfaces\u201d findet sich eine \u00dcbersicht \u00fcber die aktuellen Angriffsfl\u00e4chen auf die aus dem Internet erreichbaren Assets einer Organisation. Sie enth\u00e4lt Informationen wie \u201eHostname\u201c, \u201eIP-Adresse\u201c, \u201eRoot Domains\u201c, \u201eCertificates\u201c, \u201eServices\u201c und \u201eVulnerabilities\u201c. Letztere werden mit Hilfe von unterschiedlichen Scores bewertet (CISA KEV und EPSS). Klickt ein Benutzer auf einen Eintrag in der Liste, er erh\u00e4lt er Detailinformationen zum Vorgang und Empfehlungen zum L\u00f6sen des Problems.<\/p>\n\n\n\n Die Policies<\/strong><\/p>\n\n\n\n Zum Bearbeiten der Findings liefert ZeroFox eine gro\u00dfe Zahl an Policies mit, es besteht aber auch die Option, eigene Policies zu definieren. Die genannten Regeln befassen sich damit, wie das System vorgehen soll, wenn in Bereichen wie \u201eExecutive\/VIP\u201c, \u201eLocation\u201c, \u201eMobile App\u201c, \u201eBrand\u201c oder \u201eE-Mail\u201c Unregelm\u00e4\u00dfigkeiten auftauchen. Die Policies selbst bestehen aus Regelgruppen, die unterschiedliche Regeln enthalten. Bei letzteren handelt es sich um Aktionen, die die Benutzer entweder manuell oder automatisch ausf\u00fchren k\u00f6nnen und die beispielsweise besagen, was passiert, wenn der Zugriff zu einer Facebook-Page verloren geht, oder wenn Nachrichten in einem Konto auftauchen, die vermuten lassen, dass dieses Konto gehackt wurde. Automatische Aktionen sind in diesem Zusammenhang \u201eLock Account\u201c, \u201eHide Content\u201c, \u201eDelete Content\u201c, Request Takedown\u201c, \u201eBlock Content\u201c, \u201eE-Mail Alert\u201c, \u201ePush Notifications\u201c oder \u201eAlert Assinee\u201c, also das Zuweisen des Alarms zu einem bestimmten ZeroFox-User.<\/p>\n\n\n\n Die Regeldefinition l\u00e4uft immer im Kontext des jeweiligen Anwendungsbereichs ab, bei \u201eCompromised Credentials\u201c sind die Anwender zum Beispiel dazu in der Lage, anzugeben, ab welcher Passwortl\u00e4nge und ab welcher Passwort-Komplexit\u00e4t das System Alarme generiert. Die entsprechenden Angaben lassen sich dabei im Web-Interface vornehmen. Sollen individuelle Erkennungslogiken oder automatisierte Reaktionen abgebildet werden, die das Web-Interface nicht darstellen kann, so kommt eine Skriptsprache namens \u201eFoxScript\u201c zum Einsatz, die an JavaScript angelehnt wurde. Diese l\u00e4sst sich auch zur Datenanreicherung und -filterung verwenden.<\/p>\n\n\n\n Der Umgang mit Alerts<\/strong><\/a><\/p>\n\n\n\n Die Alerts werden im System in Listenform angezeigt. Die Liste umfasst jeweils eine Beschreibung, den Zeitpunkt des Alarms, die Risikoeinstufung, die Asset Group, in der der Alarm ausgel\u00f6st wurde, die Account Source, die betroffene Regel, den Status (Open, Escalated, etc.), die Datenquelle (Facebook, Pastebin, Apple App Store und so weiter), die Content-URL, den Alarmtyp (Impersonating Account, Location, Self Post oder \u00e4hnliches) und die Alert ID. Die Eintr\u00e4ge lassen sich nach Spalten filtern und die Benutzer k\u00f6nnen ihnen bei Bedarf Tags hinzuf\u00fcgen.<\/p>\n\n\n\n Klickt ein User auf einen Alert, so erh\u00e4lt er Detailinformationen dazu, warum dieser generiert wurde und kann ihm Dateien und Notizen hinzuf\u00fcgen. Au\u00dferdem l\u00e4sst sich das Alert-Log einsehen, das Aufschluss dar\u00fcber gibt, wann der Alert auftrat, wann Tags angepasst wurden, wann der Alarm analysiert, eskaliert und an einen Mitarbeiter gemailt wurde und so weiter. Es existiert also ein umfassender Audit-Trail. Tipps zum Beheben des zugrundeliegenden Problems geh\u00f6ren ebenfalls zum Leistungsumfang des Eintrags.<\/p>\n\n\n\n Das Reporting<\/strong><\/a><\/p>\n\n\n\n ZeroFox stellt \u00fcber das Web-Interface eine gro\u00dfe Zahl vordefinierter Reports bereit. Diese Berichte liefern Details zu Alarmen, eine \u00dcbersicht \u00fcber die Asset-Konfiguration, eine Liste kompromittierter Zugriffsdaten, eine \u00dcbersicht \u00fcber die wichtigsten Ereignisse, einen Report zu den gesch\u00fctzten Marken und \u00e4hnliches. Es besteht auch die M\u00f6glichkeit, eigene Reports zu erstellen. Die Reports decken frei definierbare Zeitr\u00e4ume ab und liefern bei Bedarf Details zu \u201eAsset Type\u201c, \u201eStatus\u201c und vergleichbaren Informationen.<\/p>\n\n\n\n Die Suchfunktion<\/strong><\/a><\/p>\n\n\n\n Im Bereich \u201eIntelligence\u201c dient zu Durchf\u00fchren umfangreicher Suchen. Eine Suche wie \u201eis:data_breach_credentials and email_domain:twinsoft.de and password:*\u201d zeigt beispielsweise unter anderem E-Mail-Adressen bei Twinsoft, bei denen das Passwortfeld nicht leer ist und den dazugeh\u00f6rigen Breach. Da es sich um eine sehr m\u00e4chtige Suchsyntax handelt, besteht auch die M\u00f6glichkeit, die Anfragen direkt von ZeroFox erstellen zu lassen.<\/p>\n\n\n\n Abgesehen davon lassen sich im Intelligence-Bereich auch Informationen zu den aktuell wichtigsten Ereignissen und zu im Dark Web angebotenen Exploits abrufen. Bei Bedarf besteht auch die M\u00f6glichkeit, Suchen zu speichern und sp\u00e4ter wiederzuverwenden.<\/p>\n\n\n\n Das Melden von Vorf\u00e4llen<\/strong><\/a><\/p>\n\n\n\n M\u00f6chten die Anwender Inhalte oder Bedrohungen an ZeroFox melden, damit sich das Unternehmen darum k\u00fcmmert, dass diese aus dem Netz genommen werden (falls dies nicht automatisch \u00fcber eine Regel geschieht), so ist das im Web-Interface an verschiedenen Stellen m\u00f6glich, beispielsweise \u00fcber das Dashboard, \u00fcber das \u201eDisruption\u201c-Men\u00fc, \u00fcber \u201eAlerts \/ Submit Takedown\u201c oder \u00fcber \u201eAlerts \/ Submit Threat\u201c. Wie schnell die gemeldeten Inhalte dann wirklich verschwinden, h\u00e4ngt vom jeweiligen Content-Provider ab. Manchmal passiert das in 15 Minuten, manchmal dauert es mehrere Tage.<\/p>\n\n\n\n Oft kann es sein, dass mehrere Antr\u00e4ge gestellt werden m\u00fcssen, damit ein Takedown funktioniert. ZeroFox z\u00e4hlt aber immer nur erfolgreiche Takedowns, sind also acht Antr\u00e4ge n\u00f6tig und erst der achte f\u00fchrt zum Erfolg, so z\u00e4hlt das als ein Takedown, nicht als acht. Es gibt laut ZeroFox derzeit \u00fcber 100.000 erfolgreiche Takedowns im Monat.<\/p>\n\n\n\n Das \u201eGlobal Disruption Network\u201c (GDN) kommt zudem zum Einsatz um Dom\u00e4nen mit Partnern wie Google, Microsoft und diversen IPS zu teilen. Diese unterbinden dann den Zugriff auf gef\u00e4lschte Websites, was es sehr schnell erm\u00f6glicht, die betroffenen Dom\u00e4nen unerreichbar zu machen.<\/p>\n\n\n\n On-Demand-Intelligence<\/strong><\/a><\/p>\n\n\n\n \u00dcbernimmt das ZeroFox-Team \u2013 beispielsweise nachdem Melden eines Vorfalls im Dark Web \u2013 die Untersuchung, so fallen daf\u00fcr so genannte ODI-Credits (On-Demand-Intelligence) an. Sie finden unter anderem Verwendung, um die genannten Dark-Web-Untersuchungen durchzuf\u00fchren, Bedrohungen f\u00fcr F\u00fchrungskr\u00e4fte zu analysieren, geopolitische Analysen zu realisieren und komplexe Takedowns durchzuf\u00fchren. All diese Vorg\u00e4nge laufen manuell ab, deswegen entstehen daf\u00fcr zus\u00e4tzliche Kosten. Derzeit kostet ein ODI-Credit etwa 1200 Euro. Das Erstellen der Reports dauert \u00fcblicherweise zehn bis 14 Tage und die Analysen k\u00f6nnen auch von Auftraggebern initiiert werden, die keine Kunden des \u201enormalen\u201c ZeroFox-Systems sind.<\/p>\n\n\n\n![\"\"](\"https:\/\/www.sysbus.eu\/wp-content\/uploads\/2026\/07\/Terms-1024x465.png\")
![\"\"](\"https:\/\/www.sysbus.eu\/wp-content\/uploads\/2026\/07\/Exec-1024x480.png\")
![\"\"](\"https:\/\/www.sysbus.eu\/wp-content\/uploads\/2026\/07\/Attack_Surface-1024x472.png\")
![\"\"](\"https:\/\/www.sysbus.eu\/wp-content\/uploads\/2026\/07\/Policy-1024x478.png\")
![\"\"](\"https:\/\/www.sysbus.eu\/wp-content\/uploads\/2026\/07\/Alerts-1024x468.png\")
![\"\"](\"https:\/\/www.sysbus.eu\/wp-content\/uploads\/2026\/07\/Reports-1024x450.png\")
![\"\"](\"https:\/\/www.sysbus.eu\/wp-content\/uploads\/2026\/07\/Intelligence-1024x410.png\")
![\"\"](\"https:\/\/www.sysbus.eu\/wp-content\/uploads\/2026\/07\/Sources-1024x506.png\")