Was ist in den „Kaspersky Threat Data Feeds – Malicious Hashes“ enthalten?

Hashes schädlicher Dateien – MD5 pro Datensatz, optional mit SHA1 und SHA256.
Bedrohungskontext – Kaspersky-Bedrohungsname, Dateityp, Dateigröße, gängige Dateinamen.
Zeitlicher Verlauf und Verbreitung – Erstes Auftreten, letztes Auftreten und ein fünfstufiger Beliebtheitsindex.
Angriffskartierung – MITRE ATT&CK-Taktik- und Technikpaare pro Objekt.
Verbreitungsdaten – Die zehn häufigsten Hosting-IP-Adressen und Download-URLs.
Wichtig – Keine Konsole, kein Agent und keine eigenständige Blockierung.

Was sind die Hauptvorteile von „Kaspersky Threat Data Feeds Malicious Hashes“?

„Kaspersky Threat Data Feeds Malicious Hashes“ ist ein Abonnement für Bedrohungsinformationen und kein Schutzprodukt: Es liefert einen kontinuierlich aktualisierten Satz von Hashes schädlicher Dateien mit Kontextinformationen, die von Ihrem eigenen SIEM, Ihrer Firewall oder Ihrem Gateway verarbeitet werden. Kaspersky vermarktet denselben Katalog auch als „Kaspersky Threat Intelligence Data Feeds“, und der Feed selbst wird als „Malicious Hash Data Feed“ bezeichnet, sodass sich beide Bezeichnungen auf diesen Datensatz beziehen.

Schnellere Alarmauswertung – Analysten sehen den Namen der Bedrohung statt eines unbekannten Hash-Werts.
Weniger Fehlalarme – Indikatoren werden anhand einer umfangreichen Datenbank mit legitimen Dateien gefiltert.
Aktualisierungen nahezu in Echtzeit – Neue Datensätze gehen ein, ohne dass auf die Veröffentlichung durch OSINT gewartet werden muss.
Weiterverwendung bestehender Tools – Keine neue Plattform erforderlich, der Feed lässt sich in Ihre bestehende Infrastruktur integrieren.
Kostenlose Abgleich-Engine – Kaspersky CyberTrace Community Edition gleicht Feeds kostenlos ab.
Retrospektive Suche – Alte Datei-Hashes können anhand neuerer Feed-Einträge erneut überprüft werden.

Für welche Unternehmensgröße eignet sich „Kaspersky Threat Data Feeds Malicious Hashes“?

Dieser Feed bietet nur dann einen Mehrwert, wenn in Ihrer Infrastruktur bereits Dateihashes aus Protokollen oder dem Netzwerkverkehr erfasst und abgeglichen werden können. Ohne ein SIEM, eine Next-Generation-Firewall oder ein E-Mail- und Web-Gateway, das Indikatorenlisten verarbeitet, gibt es keine Möglichkeit, die Daten einzuspielen.

Erfüllt der Kaspersky Threat Data Feeds Malicious Hashes die Anforderungen der Schweizer Cybersicherheitsgesetzgebung?

In der Schweiz gilt die Meldepflicht gemäß dem revidierten Informationssicherheitsgesetz für Betreiber kritischer Infrastrukturen, nicht für jedes Unternehmen, sodass die meisten KMU nicht direkt betroffen sind. Betroffene Betreiber müssen einen schwerwiegenden Cyberangriff innerhalb von 24 Stunden nach dessen Entdeckung dem Bundesamt für Cybersicherheit (BACS) melden. Innerhalb dieses Zeitfensters hilft der Feed auf eine ganz konkrete Weise: Ein aus Ihren Protokollen entnommener Datei-Hash kann einem Kaspersky-Bedrohungsnamen, einem Erstentdeckungsdatum und MITRE-ATT&CK-Taktiken zugeordnet werden – genau die Informationen, die eine Erstmeldung benötigt, anstatt den Vermerk „unbekannte Binärdatei“. Was der Feed nicht leistet, ist, die Datei zu erkennen, das Protokoll überhaupt erst zu erstellen, ein Vorfallprotokoll zu führen oder irgendetwas an das BACS zu übermitteln; dies erfolgt über Ihren Endpunktschutz, Ihr Protokollmanagement und Ihre eigenen Prozesse. Er deckt zudem keine mobilen oder ICS-Objekte ab, sodass für einen Betreiber mit solchen Umgebungen weiterhin eine Lücke besteht. Dieser Text stellt keine Rechtsberatung dar; ob Ihre Organisation der Meldepflicht unterliegt, sollte mit einem qualifizierten Berater geklärt werden.

Erfüllen die „Kaspersky Threat Data Feeds Malicious Hashes“ die Anforderungen der europäischen Cybersicherheitsgesetzgebung?

Kein Produkt allein gewährleistet die NIS-2-Konformität, da sich die Richtlinie auf das organisatorische Risikomanagement bezieht und nicht auf eine bloße Auflistung von Tools. NIS 2 verlangt Maßnahmenkategorien wie Risikoanalyse und Sicherheitsrichtlinien, Vorfallbearbeitung, Geschäftskontinuität, Sicherheit der Lieferkette, Sicherheit bei Beschaffung und Entwicklung, Kryptografie und Zugriffskontrolle, grundlegende Cyberhygiene sowie Mitarbeiterschulungen. Dieser Feed trägt zu einer dieser Kategorien bei – der Vorfallbearbeitung –, indem er den Schritt zwischen einem verdächtigen Datei-Hash und einer benannten, datierten und klassifizierten Bedrohung verkürzt. Er leistet keinen Beitrag zur Kontinuitätsplanung, Kryptografie, Zugriffskontrolle, Schulung oder Richtliniendokumentation und liefert an sich keine Prüfnachweise, da es sich um einen Datensatz und nicht um ein Berichtssystem handelt. Die Sicherheit der Lieferkette wird hier nur teilweise abgedeckt, da Indikatoren zur Software-Lieferkette im separaten „Open Source Software Threats Data Feed“ enthalten sind.

Was sollten Sie über offizielle Bewertungen von Kaspersky wissen?

Es sind zwei offizielle Maßnahmen in Kraft. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat am 15. März 2022 eine Warnung vor der Antivirensoftware von Kaspersky herausgegeben; diese bleibt weiterhin gültig und unterliegt nun gemäß der am 6. Dezember 2025 in Kraft getretenen Novelle § 13 des BSI-Gesetzes. In den Vereinigten Staaten hat das Bureau of Industry and Security ab dem 20. Juli 2024 den Neuverkauf von Kaspersky-Produkten und ab dem 29. September 2024 die Bereitstellung von Updates untersagt und Kaspersky-Unternehmen in die Entity List aufgenommen. Kaspersky erklärt, dass diese Entscheidungen auf dem Herkunftsland des Unternehmens beruhen und nicht auf veröffentlichten technischen Befunden zu seinen Produkten, und hat öffentlich darauf gedrängt, die deutsche Warnung zurückzuziehen. Die Schweiz hat keine vergleichbaren Maßnahmen ergriffen: Die BACS hat weder eine Warnung noch ein Verbot erlassen, und die Produkte werden in der Schweiz, der Europäischen Union und im Vereinigten Königreich wie gewohnt verkauft und aktualisiert. In der Praxis spielt dies vor allem dann eine Rolle, wenn Sie im Rahmen deutscher oder anderer europäischer öffentlicher Ausschreibungen verkaufen, wenn Sie Niederlassungen in den Vereinigten Staaten haben oder wenn im Lieferantenfragebogen eines Großkunden nach Anbietern russischer Herkunft gefragt wird. Für ein privates Schweizer Unternehmen ohne Berührungspunkte mit dem öffentlichen Sektor gelten keine Einschränkungen.

Norton vs. Kaspersky – Welches Antivirenprogramm bietet 2025 den besten Schutz?
Ein direkter Vergleich der beiden Anbieter hinsichtlich Erkennung und Funktionen.

Sind die „Threat Data Feeds Malicious Hashes“ von Kaspersky bei Sicherheitsfragebögen großer Kunden hilfreich?

Teilweise, und das auch nur für eine begrenzte Anzahl von Punkten. Es beantwortet Fragen dazu, ob Sie kommerzielle Bedrohungsinformationen abonnieren, ob Indikatoren für Kompromittierungen mit Ihren Protokolldaten abgeglichen werden, in welchen Formaten diese Informationen genutzt werden und wie schnell neue Indikatoren Ihre Kontrollmechanismen erreichen. Es gibt keine Antworten zu Endgeräteschutz, Patch-Management, Verschlüsselung, Multi-Faktor-Authentifizierung, Sicherung und Wiederherstellung, Aufbewahrungsfristen für Protokolle, Zugriffskontrolle oder Sensibilisierungsschulungen, und es wird kein Zertifikat oder keine Bescheinigung ausgestellt, die Sie beifügen können. Es liefert auch keinen Nachweis über die Abdeckung mobiler Geräte oder industrieller Systeme. Wenn ein Fragebogen Lücken aufdeckt, die über den Hash-Abgleich hinausgehen, ist es in der Regel kostengünstiger, das Angebot innerhalb derselben Produktfamilie zu erweitern – beispielsweise durch Hinzufügen von Feeds zu IP-Reputation, URLs oder Schwachstellen – oder auf ein umfassenderes Kaspersky Threat Intelligence-Abonnement umzusteigen, anstatt verschiedene Feed-Anbieter zu mischen und anschließend unterschiedliche Kontextformate abgleichen zu müssen.

Was ist der Unterschied zwischen dem „Malicious Hash Data Feed“ und dem „Mobile Malicious Hash Data Feed“?

Der entscheidende Unterschied liegt im Umfang der Objekte, und die Feeds überschneiden sich nicht: Der Kauf von „Malicious Hash Data Feed“ allein lässt mobile und industrielle Systeme ungeschützt. Der „Malicious Hash Data Feed“ zielt auf verbreitete und neu auftretende Malware in Desktop- und Serverdateien ab, der „Mobile Malicious Hash Data Feed“ deckt Objekte ab, die Android- und iPhone-Geräte infizieren, und der „ICS Hash Data Feed“ deckt Dateien ab, die gegen industrielle Steuerungssysteme und die darin integrierten IT-Systeme eingesetzt werden. Alle drei weisen dieselbe Datensatzstruktur auf, sodass keine separate Parsing-Arbeit erforderlich ist, wenn Sie später einen weiteren Feed hinzufügen. Kaspersky veröffentlicht zudem Demoversionen dieser Feeds, die eine geringere Erkennungsrate als die kommerziellen Versionen aufweisen und eher zur Evaluierung als für den produktiven Einsatz gedacht sind.

Welche Einschränkungen sollten Sie vor dem Kauf beachten?

Die wichtigste Einschränkung besteht darin, dass es sich hierbei um Daten und nicht um eine Abwehrlösung handelt: Das Produkt erkennt nichts, blockiert nichts und verfügt über keine Konsole; daher ist es ohne ein SIEM, eine Next-Generation-Firewall oder ein Gateway, das bereits Indikatorlisten verarbeitet, wertlos. Die regionale Verfügbarkeit ist in einem Markt eingeschränkt, nämlich in den Vereinigten Staaten, wo das Verbot des Bureau of Industry and Security neue Verkäufe und Updates betrifft; der Verkauf und Updates in der Schweiz, der Europäischen Union und im Vereinigten Königreich sind davon nicht betroffen. Wenn Sie Feeds mit Kaspersky CyberTrace statt innerhalb Ihres SIEM abgleichen, ist die kostenlose Community Edition auf 250 Ereignisse pro Sekunde und eine Million Datensätze über alle Informationsquellen hinweg begrenzt – dies ist der Punkt, an dem Folgekäufe meist notwendig werden. Ein direkter Abgleich innerhalb eines SIEM umgeht diese Lizenzbeschränkung, beeinträchtigt jedoch in der Regel die Leistung des SIEM. Schließlich identifizieren Hashes nur Dateien, die bereits erkannt und klassifiziert wurden; daher bietet dieser Feed keinen zusätzlichen Schutz gegen eine wirklich einzigartige Binärdatei, die speziell für ein Ziel erstellt wurde.

Das beste Antivirenprogramm? Warum Windows Defender allein nicht ausreicht
– Erläutert, warum ein integrierter Scanner Lücken hinterlässt, die durch zusätzliche Sicherheitsebenen geschlossen werden müssen.

Häufig gestellte Fragen zu den Kaspersky-Bedrohungsdaten-Feeds „Malicious Hashes“

Benötige ich Kaspersky Endpoint Protection, um diesen Feed zu nutzen?

Nein. Der Feed ist ein eigenständiges Abonnement für Bedrohungsinformationen und erfordert kein Kaspersky-Endpoint-Produkt. Er kann von jedem SIEM, jeder Firewall oder jedem Gateway genutzt werden, das bzw. die Sie bereits einsetzen, unabhängig vom Hersteller.

In welchen Formaten wird der Feed bereitgestellt?

Der „Malicious Hash Data Feed“ mit zusätzlichem Kontext wird im JSON-Format bereitgestellt. Im gesamten Katalog der Kaspersky Threat Data Feeds werden die Formate JSON, CSV, OpenIoC und STIX unterstützt, die über HTTPS, TAXII oder einen vereinbarten alternativen Mechanismus bereitgestellt werden.

Welche Sicherheitstools können den Feed sofort nutzen?

Kaspersky veröffentlicht vorgefertigte Integrationen für IBM QRadar, Splunk Enterprise Security, ArcSight ESM, RSA NetWitness, Azure Sentinel, Anomali ThreatStream, ThreatConnect, EclecticIQ, ThreatQ, MISP, Cisco Firepower, Suricata, McAfee Web Gateway und Maltego sowie eine REST-API für alle Lösungen, die nicht in dieser Liste aufgeführt sind.

Woher stammen die Daten?

Die Datensätze werden aus Telemetriedaten des Kaspersky Security Network aggregiert, die von über 400 Millionen freiwilligen Teilnehmern, Webcrawlern, Botnetz-Forschung, Spam-Fallen, Honeypots und Sinkholes, passivem DNS von Hosting-Anbietern und Internetdienstanbietern (ISPs), OSINT sowie Partnerschaften mit Anbietern stammen. Jeder Indikator durchläuft vor der Veröffentlichung eine automatisierte Überprüfung und Sandbox-Analyse.