Darknet-Marktplätze: Funktionsweise & Bedrohungen

Eine Übersicht über alle Aspekte des Darknets findest du in unserem Darknet-Leitfaden.

Darknet-Marktplätze sind digitale Handelsplattformen, die im Tor-Netzwerk oder ähnlichen anonymisierenden Netzen betrieben werden und auf denen illegale Waren sowie kriminelle Dienstleistungen angeboten werden. Im Kontext der Cybersicherheit sind sie vor allem deshalb relevant, weil dort gestohlene Unternehmensdaten, Zugangsdaten, Schadsoftware und Hacking-Dienstleistungen gehandelt werden - und weil dieser Markt direkte Auswirkungen auf die Bedrohungslage von Organisationen hat.

Das Tor-Netzwerk und der Zugang

Das Darknet ist kein separates physisches Netzwerk, sondern ein Teil des Internets, der über spezielle Software zugänglich ist. Die verbreitetste Infrastruktur ist das Tor-Netzwerk (The Onion Router), das Verbindungen über eine Kette von zufällig gewählten Knotenpunkten (Relays) leitet: Client → Guard-Relay → Middle-Relay → Exit-Relay → Zielserver.

Die Verschlüsselung erfolgt mehrschichtig wie eine Zwiebel: Der Client verschlüsselt die Nachricht dreifach, und jedes Relay entfernt genau eine Schicht. Kein einzelner Relay kennt sowohl Herkunft als auch Ziel der Verbindung. Onion-Adressen enden auf .onion (z. B. xmh57jrknez9r3lb.onion), sind nicht über normale DNS-Infrastruktur auflösbar und nicht von Suchmaschinen indexiert.

Zugang erfolgt über den Tor Browser. Für Marktplätze gilt: wer nicht die genaue .onion-Adresse kennt, findet den Marktplatz nicht.

Geschäftsmodell der Darknet-Marktplätze

Kryptowährungen als Zahlungsmittel

Darknet-Marktplätze akzeptieren ausschließlich Kryptowährungen, weil klassische Zahlungsmittel rückverfolgbar sind. Bitcoin war lange der Standard, gilt mittlerweile aber als weniger privat, da alle Transaktionen in der öffentlichen Blockchain nachvollziehbar sind. Forensische Unternehmen wie Chainalysis spezialisieren sich darauf, Bitcoin-Transaktionen zu verfolgen und Wallet-Inhaber zu identifizieren.

Monero hat Bitcoin als bevorzugte Währung auf vielen Darknet-Marktplätzen abgelöst. Monero verwendet Ring-Signaturen und Stealth-Adressen, die Sender, Empfänger und Betrag vor der Öffentlichkeit verbergen.

Escrow-Systeme

Darknet-Marktplätze nutzen Escrow-Mechanismen für das Vertrauen zwischen anonym agierenden Parteien: Der Käufer zahlt in Kryptowährung an den Marktplatz (Escrow), der Verkäufer liefert die Ware, der Käufer bestätigt den Erhalt und der Betrag wird freigegeben. Bei Streit entscheidet der Marktplatz als Schlichter.

Eine bekannte Schwachstelle ist der Exit Scam: Marktplatz-Betreiber schließen mit allen Escrow-Geldern plötzlich. AlphaBay ist ein bekanntes Beispiel aus 2017. Modernere Marktplätze nutzen deshalb 2-von-3-Multisignatur-Escrow (Käufer, Verkäufer, Marktplatz), um dieses Risiko zu verringern.

Reputationssystem

Ähnlich wie auf legalen E-Commerce-Plattformen bewerten Käufer Verkäufer nach Transaktionen. Ein hoher Reputationswert ist das wichtigste Kapital eines Darknet-Händlers - es ist schwer aufgebaut und geht bei einem Exit Scam oder einer Verhaftung verloren.

Angebotspalette

Gestohlene Zugangsdaten

Der Handel mit kompromittierten Anmeldedaten ist eines der lukrativsten Segmente. Historische Preisranges verdeutlichen den Markt:

Kategorie	Typische Preisrange (historisch)
Bank-Zugangsdaten	5-100 USD je nach Kontostand
Kreditkartendaten	1-30 USD (hohe Volumen verfügbar)
E-Mail-Konten	0,10-10 USD
Unternehmens-VPN-Zugänge	100-10.000 USD je nach Zielgröße
RDP-Zugänge	10-500 USD
Cloud-Konten (AWS, Azure, GCP)	variabel
Social-Media-Konten	1-30 USD

Diese Daten stammen aus Datenpannen, Phishing-Kampagnen, Infostealer-Malware und Credential-Stuffing-Angriffen.

Malware-as-a-Service

Darknet-Marktplätze haben die Einstiegshürde für Cyberkriminalität erheblich gesenkt. Technisch wenig versierte Täter können Malware als Dienstleistung kaufen:

Ransomware-as-a-Service (RaaS): Entwickler stellen Ransomware-Software bereit, Affiliates führen Angriffe durch und teilen Lösegelder. Bekannteste Beispiele sind REvil, DarkSide und LockBit.

Infostealer: Programme wie RedLine oder Raccoon Stealer werden für monatliche Gebühren gemietet. Sie extrahieren Passwörter, Cookies und Kreditkartendaten aus infizierten Systemen.

DDoS-as-a-Service: Botnetze für Distributed-Denial-of-Service-Angriffe werden stundenweise gemietet.

Initial Access Broker: Spezialisierte Akteure brechen in Unternehmensnetzwerke ein und verkaufen den gewonnenen Zugang an andere Kriminelle weiter.

Sonstige Datenkategorien

Neben direkten Zugangsdaten werden gehandelt: Unternehmensdokumente nach Ransomware-Angriffen, medizinische Datensätze, Pässe und Ausweiskopien für Identitätsdiebstahl sowie Datenbankauszüge aus gehackten Diensten.

Bekannte Darknet-Marktplätze

Silk Road (2011-2013)

Silk Road war der erste große Darknet-Marktplatz und bekannt vor allem durch den Drogenhandel. Betreiber Ross Ulbricht operierte unter dem Pseudonym "Dread Pirate Roberts". Das FBI schloss Silk Road im Oktober 2013, Ulbricht wurde verhaftet und zu lebenslanger Haft verurteilt. Silk Road 2.0 wurde nur wenige Monate nach der Neugründung ebenfalls abgeschaltet.

AlphaBay (2014-2017)

AlphaBay war zum Zeitpunkt seiner Schließung der größte aktive Darknet-Marktplatz. Er hatte über 200.000 Nutzer und 40.000 Anbieter. Im Juli 2017 wurde er von einer internationalen Kooperation aus FBI, DEA und Europol (Operation Bayonet) geschlossen. Hauptbetreiber Alexandre Cazes wurde in Thailand verhaftet und starb kurz darauf in Untersuchungshaft.

Hydra Market (2015-2022)

Hydra war der größte russischsprachige Darknet-Marktplatz und bis zu seiner Abschaltung 2022 das dominante Marktplatz in Osteuropa und Russland. Das Bundeskriminalamt (BKA) beschlagnahmte im April 2022 Server und Kryptowährungen im Wert von mehreren Millionen Euro. Hydras Jahresumsatz wurde auf über 1,35 Milliarden USD geschätzt.

Dream Market und Nachfolger

Nach dem Fall von AlphaBay zog ein Großteil der Nutzer auf Dream Market um. Dream Market schloss sich 2019 selbst - möglicherweise nach Erpressungsversuchen oder infolge behördlichen Drucks. Der Markt der Darknet-Marktplätze ist fragmentiert und dezentral: Auf jeden geschlossenen Marktplatz folgen schnell neue.

Strafverfolgung und ihre Grenzen

Strafverfolgungsbehörden weltweit haben erhebliche Ressourcen in die Bekämpfung von Darknet-Marktplätzen investiert. Erfolgreiche Methoden umfassen:

Undercover-Operationen: Ermittler agieren als Käufer oder Verkäufer auf Marktplätzen.

Infrastruktur-Analyse: Fehler bei der Konfiguration oder dem Betrieb können .onion-Dienste mit realen IP-Adressen verknüpfen.

Krypto-Forensik: Transaktionsmuster auf der Bitcoin-Blockchain ermöglichen die Rückverfolgung zu Kryptobörsen mit Identifikationspflicht (KYC).

Informanten: Verhaftete Täter kooperieren gegen Strafminderung.

Die strukturellen Herausforderungen bleiben jedoch erheblich: Das dezentrale Modell bedeutet, dass nach jeder Abschaltung schnell Ersatz entsteht. Jurisdiktionsprobleme erschweren internationale Zusammenarbeit. Die technische Anonymisierung durch Tor und Monero bleibt für Ermittler ein erhebliches Hindernis.

Auswirkungen auf Unternehmen

Gestohlene Daten als Ware

Jedes Unternehmen, das Opfer eines Datenlecks oder Ransomware-Angriffs wird, muss davon ausgehen, dass die erbeuteten Daten auf Darknet-Marktplätzen auftauchen. Das betrifft Kundendaten, Mitarbeiterdaten, interne Dokumente und technische Informationen wie Quellcode oder Netzwerkkonfigurationen.

Threat Intelligence aus dem Darknet

Sicherheitsteams können Darknet-Monitoring als Teil ihrer Threat-Intelligence-Strategie einsetzen. Dabei werden Darknet-Marktplätze und -Foren auf Erwähnungen des eigenen Unternehmens, Domains oder Datensätzen überwacht. Relevante Signale sind Angebote von Zugangsdaten mit Unternehmensdomain, Diskussionen über geplante Angriffe auf bestimmte Ziele, Initial-Access-Broker-Angebote für spezifische Unternehmen, Veröffentlichung interner Dokumente durch Ransomware-Gruppen sowie Diskussionen über bekannte Schwachstellen in genutzter Software. Dienste wie Recorded Future, Intel471 oder Kela bieten kommerziell aufbereitetes Darknet-Monitoring.

Ransomware-Doppelerpressung

Viele moderne Ransomware-Gruppen betreiben sogenannte Leak-Seiten im Tor-Netzwerk, auf denen sie gestohlene Daten veröffentlichen, wenn Opfer das Lösegeld nicht zahlen. Diese "Double Extortion"-Taktik erhöht den Druck erheblich: Unternehmen müssen nicht nur die Entschlüsselung ihrer Daten, sondern auch die Nichtveröffentlichung bezahlen.

Prävention und Reaktion

Organisationen sollten bei der Bewertung ihrer Sicherheitsrisiken berücksichtigen, dass Darknet-Marktplätze existieren und aktiv genutzt werden. Konkrete Maßnahmen:

Regelmäßiges Monitoring auf kompromittierte Zugangsdaten (Have I Been Pwned für Domains, kommerzielle Breach-Intelligence-Dienste).

Multi-Faktor-Authentifizierung für alle kritischen Systeme, um den Wert einzelner gestohlener Zugangsdaten zu senken.

Incident-Response-Planung für den Fall, dass eigene Daten im Darknet auftauchen - einschließlich rechtlicher Benachrichtigungspflichten nach DSGVO.

Regelmäßige Penetrationstests, um Angriffswege zu identifizieren, bevor Initial-Access-Broker sie finden.

Darknet-Marktplätze sind ein dauerhafter Bestandteil der Bedrohungslandschaft. Ihre Existenz senkt die Einstiegshürde für Cyberkriminalität und schafft wirtschaftliche Anreize für weitere Angriffe. Für Sicherheitsteams sind sie gleichzeitig eine Quelle wertvoller Threat Intelligence - wenn der Zugang systematisch und rechtssicher gestaltet ist.