Autor: Salman Dolatpanah Gortlar
Stand: Oktober 2026
Das Darknet wird oft als ein einzelner, abgeschotteter Ort beschrieben. Tatsächlich ist es 2026 eher ein fragmentiertes Ökosystem aus Foren, Marktplätzen, geschlossenen Communities, anonymisierenden Diensten und verschlüsselten Kommunikationskanälen. Für Unternehmen ist diese Entwicklung relevant, weil gestohlene Zugangsdaten, interne Dokumente, Initial Access und Erpressungsdaten nicht nur in klassischen .onion-Marktplätzen auftauchen, sondern sich über verschiedene Plattformen verteilen.
Europols IOCTA 2026 beschreibt das Darknet weiterhin als wichtigen Enabler für Cyberkriminalität, betont aber zugleich die zunehmende Fragmentierung. Parallel nutzen Täter stärker verschlüsselte Dienste, Proxies und teilweise auch öffentlich erreichbare Plattformen. Damit verschiebt sich die zentrale Frage für Verteidiger: Es reicht nicht mehr, nur „das Darknet“ zu beobachten. Entscheidend ist, die gesamte kriminelle Infrastruktur rund um Identitäten, Zugangsdaten und digitale Dienste zu verstehen.
Was bedeutet „Darknet“ eigentlich?
Das Darknet ist ein Teil des Internets, der nicht über normale Suchmaschinen indexiert wird und für den spezielle Software oder Konfigurationen notwendig sind. Das bekannteste Beispiel ist das Tor-Netzwerk. Tor verschleiert den Netzwerkpfad und ermöglicht sogenannte Onion Services, die nicht wie gewöhnliche Webseiten über klassische DNS-Namen erreichbar sind.
Dabei ist wichtig zu unterscheiden: Anonymisierungstechnologien sind nicht automatisch kriminell. Tor wird beispielsweise auch von Journalisten, Forschern, Whistleblowern oder Menschen in Ländern mit starker Zensur verwendet. Problematisch wird es dort, wo diese Infrastruktur gezielt für illegale Märkte, gestohlene Daten, Malware-Dienste oder Erpressung eingesetzt wird.
Warum ist das Darknet 2026 fragmentierter?
Große zentrale Marktplätze sind für Kriminelle bequem, aber sie sind auch attraktive Ziele für Ermittlungsbehörden. Internationale Aktionen haben in den vergangenen Jahren wiederholt Infrastruktur beschlagnahmt, Betreiber identifiziert und Plattformen geschlossen. Im März 2026 meldete Europol beispielsweise eine internationale Operation unter deutscher Führung, bei der eine sehr große Infrastruktur krimineller Webseiten zerschlagen wurde.
Die Folge solcher Maßnahmen ist nicht das Ende des Cybercrime-Marktes, sondern häufig seine Dezentralisierung. Täter verteilen ihre Aktivitäten auf kleinere Foren, Invite-only-Gruppen, private Chats, temporäre Shops und alternative Plattformen. Dadurch wird die Szene unübersichtlicher und zugleich widerstandsfähiger gegen einzelne Takedowns.
Tor bleibt wichtig – aber nicht mehr allein
Britische und europäische Lagebilder zeigen, dass Tor weiterhin eine zentrale Rolle spielt. Gleichzeitig sind manche kriminellen Aktivitäten auf leichter zugängliche Plattformen abgewandert. Ende-zu-Ende-verschlüsselte Kommunikation, private Gruppen und schnell wechselnde Accounts reduzieren die Einstiegshürde für Täter und Käufer.
Aus Verteidigersicht bedeutet das: Ein Datenleck muss nicht zwingend auf einer klassischen Darknet-Seite auftauchen, bevor es missbraucht wird. Gestohlene Zugänge können über mehrere Zwischenhändler gehen und innerhalb kurzer Zeit für Betrug, Ransomware oder Account Takeover verwendet werden.
Welche Güter werden in kriminellen Ökosystemen gehandelt?
Typische Angebote umfassen unter anderem:
- gestohlene Benutzerkonten und Passwort-Kombinationen,
- Session-Cookies und Browser-Daten,
- VPN- oder RDP-Zugänge zu Unternehmensnetzen,
- gestohlene Unternehmensdaten,
- Malware-as-a-Service und Phishing-Kits,
- Initial Access zu bereits kompromittierten Netzwerken,
- betrügerische Identitäten, Dokumente und Zahlungsdaten.
Besonders kritisch ist die Professionalisierung. Ein Angreifer muss heute nicht zwangsläufig alle Phasen eines Angriffs selbst durchführen. Ein Infostealer sammelt Daten, ein Broker verkauft den Zugang, ein anderer Akteur übernimmt die laterale Bewegung und eine Ransomware-Gruppe monetarisiert den Vorfall. Cybercrime funktioniert damit zunehmend wie eine arbeitsteilige Dienstleistungsökonomie.
Warum Kryptowährungen weiterhin eine Rolle spielen
Kryptowährungen sind nicht anonym per Definition, werden aber wegen ihrer globalen Übertragbarkeit weiterhin in kriminellen Märkten eingesetzt. Gleichzeitig haben Blockchain-Analysen, strengere Compliance-Vorgaben und internationale Kooperationen die Nachverfolgung bestimmter Zahlungsströme deutlich verbessert. Täter reagieren darauf mit Wechselservices, mehreren Wallets, Privacy-Techniken oder alternativen Zahlungswegen.
Für Ermittler entsteht dadurch ein Katz-und-Maus-Spiel: Je professioneller die Analyse wird, desto stärker verändert sich die Infrastruktur der Gegenseite.
Was hat das Darknet mit einem normalen mittelständischen Unternehmen zu tun?
Mehr als viele Unternehmen annehmen. Der relevante Punkt ist nicht, ob ein Mitarbeiter jemals Tor verwendet. Entscheidend ist, ob Unternehmensidentitäten oder Systeme als Ware in einer kriminellen Lieferkette landen.
Ein gestohlenes Passwort kann beispielsweise aus einem privaten Browserprofil stammen, obwohl derselbe Benutzer das Passwort auch beruflich verwendet. Ein gestohlener Session-Cookie kann einen Account gefährden, obwohl Multi-Faktor-Authentifizierung aktiviert ist. Ein VPN-Zugang kann nach einem Infostealer-Befall verkauft werden, bevor das Unternehmen den Vorfall überhaupt bemerkt.
Warum Dark-Web-Monitoring allein nicht ausreicht
Monitoring kann wertvoll sein, aber es ist kein Ersatz für grundlegende Sicherheitsmaßnahmen. Eine Warnung, dass eine E-Mail-Adresse oder ein Passwort in einem Leak auftaucht, kommt häufig erst nach dem Diebstahl.
Unternehmen benötigen deshalb mehrere Schutzschichten:
- phishing-resistente MFA oder Passkeys, wo möglich,
- Endpoint Detection & Response auf Clients und Servern,
- kurze Lebensdauer und Kontrolle privilegierter Sessions,
- kein Passwort-Reuse zwischen privaten und geschäftlichen Diensten,
- Conditional Access und risikobasierte Anmeldekontrollen,
- Monitoring ungewöhnlicher Logins und Token-Nutzung,
- saubere Patch- und Vulnerability-Prozesse,
- regelmäßige Prüfung privilegierter Konten.
Law Enforcement bleibt ein wichtiger Störfaktor
Die große Zahl international koordinierter Operationen zeigt, dass Anonymität im Darknet nicht mit Unsichtbarkeit gleichzusetzen ist. Infrastruktur kann beschlagnahmt, Server können analysiert und Zahlungsströme korreliert werden. Auch Betreiber, die über Jahre vermeintlich anonym agieren, hinterlassen operative Spuren.
Für Unternehmen ist das eine positive Entwicklung, dennoch darf man sich nicht darauf verlassen, dass Behörden jeden Dienst rechtzeitig zerschlagen. Cyber-Resilienz beginnt im eigenen Netzwerk.
Fazit: Das Risiko verlagert sich von „Darknet-Seiten“ zu Identitäten und Zugängen
2026 ist das Darknet weniger ein einzelner geheimer Marktplatz als ein verteiltes kriminelles Ökosystem. Plattformen werden geschlossen, neue entstehen, Aktivitäten wandern in verschlüsselte Kanäle und öffentliche Dienste ab. Was konstant bleibt, ist die Nachfrage nach verwertbaren Identitäten, Zugangsdaten und kompromittierten Systemen.
Für Unternehmen sollte die Konsequenz daher nicht lauten „Wir müssen das Darknet durchsuchen“, sondern: Wir müssen verhindern, dass unsere Identitäten, Tokens und Systeme dort überhaupt zu handelbarer Ware werden.
Quellen und weiterführende Informationen
Europol / EU-Kommission: IOCTA 2026 – Latest trends in the cybercrime landscape