Was ist Global Hack Map?
Global Hack Map sammelt öffentlich gemeldete Datenlecks, Behauptungen auf Ransomware-Leakseiten, ausgenutzte Schwachstellen, bösartige Pakete und Verbindungsausfälle aus 14 Quellen (CISAs Katalog Known Exploited Vulnerabilities, NVD, CVE.org, CIRCL, FIRST EPSS, die GitHub Advisory Database, OSV, RansomLook, SEC EDGAR, IODA und weitere) und setzt sie auf einen Mapbox-Globus. Jeder Vorfall trägt einen Status: Confirmed, Reported, Claimed, Precautionary oder Disputed.
Eine Seite "Am I affected?" prüft eingefügte Manifeste und Lockfiles gegen OSV, ein Index unter `/cve` listet kritische CVEs der letzten 72 Stunden, und `/fix/<CVE>` liefert Runbooks als Klartext, die einen Prompt für Claude Code, Codex oder Cursor vorausfüllen. Ein schreibgeschützter MCP-Server und `llms.txt` stellen dieselben Daten für Agenten bereit. Valyu liefert Nachrichtenextraktion, Antworten und DeepResearch-Briefings; ohne Valyu-Schlüssel läuft die Karte weiter mit den öffentlichen Feeds.
Lohnt sich Global Hack Map?
Global Hack Map ist die sorgfältigste der Valyu-Demo-Apps und zugleich die neueste: Das Repository wurde am 2. November 2026 angelegt und hatte bei unserer Prüfung 9 Sterne und 12 Commits. Es bündelt Feeds, denen Sicherheitsteams bereits vertrauen, darunter CISA KEV, NVD, die GitHub Advisory Database und OSV; sein Beitrag liegt in Darstellung und Triage, nicht in neuen Daten.
Das Design nimmt Unsicherheit ernst. Jeder Vorfall wird als Confirmed, Reported, Claimed (auf einer Leakseite behauptet, unbestätigt), Precautionary oder Disputed gekennzeichnet, und das README sagt klar, dass ein fehlendes Ergebnis nie beweist, dass du sicher bist. Vorfälle werden in der Stadt platziert, die in der Berichterstattung genannt wird, am Hauptsitz der Organisation oder im Land, und nie genauer, als die Quellen es erlauben. Das sagt etwas darüber, wo das Opfer sitzt, nicht darüber, wer angegriffen hat: Eine Markierung ist keine Attribution.
Die Technik ist reifer, als das Alter vermuten lässt. In Produktion werden Anfragen über Upstash Redis begrenzt, und geschützte APIs liefern 503, wenn der Limiter nicht erreichbar ist, statt ungeschützt weiterzulaufen; die Stack-Prüfung des MCP-Servers erlaubt 10 Aufrufe pro Minute und 60 pro Stunde je IP. Geplante Durchläufe werden mit `CRON_SECRET` authentifiziert. Es gibt 11 Testdateien. Ohne NVD-API-Schlüssel ist der Feed neuer CVEs auf 5 Anfragen pro 30 Sekunden begrenzt und weicht auf CVE.org und CIRCL aus.
Der Haken: Eine Zusammenfassung ist nur so gut wie ihre langsamste Quelle. Der Snapshot wird nach 10 Minuten neu validiert, die öffentlichen Feeds nach 15, doch das README warnt, dass Verzögerungen bei den Quellen und Ersatzdaten die Ansicht älter oder unvollständig machen können. Betroffene Versionsbereiche und "exploited"-Markierungen sollten vor dem Patchen oder Berichten mit dem CISA-Eintrag oder der Herstellerwarnung abgeglichen werden, und die Ein-Klick-Fix-Links füllen nur einen Prompt für einen Coding-Agenten vor; dessen Änderungen müssen weiterhin geprüft werden.
Unser Fazit: Es verdient einen Tab neben dem CISA-Katalog, um schnell zu sehen, was diese Woche ausgenutzt wird, mit der Originalwarnung einen Klick entfernt und als maßgebliche Quelle behandelt.
Wo es sich lohnt
Der IT-Leiter einer 50-Personen-Firma ohne Sicherheitsteam
Jeden Montag herausfinden, ob etwas, das wir nutzen, aktiv ausgenutzt wird
Auf der Seite Am I affected? die eingesetzten Produkte wählen, die Patch-now-Karten lesen und dann jeden Punkt mit der verlinkten CISA- oder Herstellerwarnung bestätigen, bevor Arbeit eingeplant wird. Die öffentliche Instanz zu lesen kostet nichts.
Ein Platform Engineer, der mehrere Node- und Python-Dienste pflegt
Ein Lockfile auf bekannte Schwachstellen und bösartige Pakete prüfen
package-lock.json oder requirements.txt in die Stack-Prüfung einfügen oder das check_stack-Werkzeug des MCP-Servers aus einem Coding-Agenten aufrufen, begrenzt auf 10 Aufrufe pro Minute. Die Ergebnisse stammen aus der OSV-Datenbank.
Eine Sicherheitsanalystin, die ein wöchentliches Briefing für die Geschäftsführung schreibt
Bestätigte Lecks von Gerüchten trennen, bevor sie den Vorstand erreichen
Nach Status filtern, damit Claimed- und Disputed-Einträge als solche gekennzeichnet sind, und nur aus den Originalmeldungen und Warnungen zitieren, die die Karte verlinkt. Ein Valyu-DeepResearch-Briefing ist ein erster Entwurf und geht auf den Schlüssel des Deployments.
Bevor du dich festlegst
- Einrichtung
- Node 20+ und pnpm: `pnpm install`, `.env.example` nach `.env.local` kopieren, `pnpm dev`. Mit nur einem Mapbox-Token läuft die Karte auf den öffentlichen Feeds; der erste Produktions-Build führt die Datenpipeline einmal aus, etwa eine Minute.
- Integrationen
- Schreibgeschützter MCP-Server unter /api/mcp, llms.txt, Runbooks unter /fix/<CVE>, Deep Links zu Claude Code, Codex, Cursor, Claude und ChatGPT. valyu-js ^2.11.1 für Nachrichten, Antworten und DeepResearch.
- Daten und Datenschutz
- Eingefügte Manifeste werden gegen OSV geprüft; für die Produktauswahl muss nichts hochgeladen werden. Standardmäßig selbst gehostet; ein optionaler Valyu-Kontomodus rechnet die eigenen Credits angemeldeter Besucher ab. Code unter MIT; Schriften unter der SIL Open Font License.
- Kosten im großen Maßstab
- Hosting auf Vercel mit Cron-Jobs alle sechs Stunden und einem täglichen Briefing um 05:30 UTC, dazu Upstash Redis, ein Mapbox-Token und Valyu-Credits für Nachrichten- und Briefing-Ebene. Ein gehosteter Plan wird nicht angeboten.
- Grenzen
- Der Snapshot wird nach 10 Minuten neu validiert, die Feeds nach 15, also nicht in Echtzeit. NVD erlaubt ohne Schlüssel 5 Anfragen pro 30 Sekunden; CIRCL anonym 20 pro Minute, mit Schlüssel 40.
Was gut ist
- Fünfstufiges Statuslabel trennt bestätigte Lecks von Behauptungen auf Leakseiten
- Nutzt 14 öffentliche Quellen, darunter CISA KEV, NVD, OSV und EPSS
- Ratenlimits schlagen in Produktion sicher fehl (fail closed)
- Schreibgeschützter MCP-Server und Klartext-Runbooks für Agenten
Was nicht
- Am 2. November 2026 angelegt; keine Erfolgsbilanz, keine Releases
- Die gebündelte Ansicht kann hinterherhinken oder Quelldaten verpassen
- Fix-Links übergeben einem Coding-Agenten einen Prompt; das Ergebnis muss geprüft werden
- Produktivbetrieb braucht Upstash Redis und einen Scheduler
Am besten für
Sicherheitsingenieure und IT-Leiter, die schnell visuell sehen wollen, welche Schwachstellen diese Woche ausgenutzt werden und welche Lecks es gab, mit den Quellen einen Klick entfernt.
Alternativen zu Global Hack Map
Global Hack Map: häufige Fragen
- Lohnt sich Global Hack Map?
- Ungewöhnlich ehrlich darüber, was es weiß, und kaum einen Tag alt; ein gutes Morgen-Dashboard, keine Quelle zum Zitieren. Wir bewerten es mit 3.6 von 5.
- Was kostet Global Hack Map?
- Kostenlos unter der MIT-Lizenz. Self-Hosting braucht ein Mapbox-Token; die Nachrichtenebene und die Recherche-Briefings verbrauchen deine Valyu-Credits, und in Produktion ist Upstash Redis nötig.
- Welche Nachteile hat Global Hack Map?
- Am 2. November 2026 angelegt; keine Erfolgsbilanz, keine Releases; Die gebündelte Ansicht kann hinterherhinken oder Quelldaten verpassen; Fix-Links übergeben einem Coding-Agenten einen Prompt; das Ergebnis muss geprüft werden; Produktivbetrieb braucht Upstash Redis und einen Scheduler.
- Für wen eignet sich Global Hack Map?
- Sicherheitsingenieure und IT-Leiter, die schnell visuell sehen wollen, welche Schwachstellen diese Woche ausgenutzt werden und welche Lecks es gab, mit den Quellen einen Klick entfernt.
- Was kostet Global Hack Map für ein Team oder im Produktivbetrieb?
- Hosting auf Vercel mit Cron-Jobs alle sechs Stunden und einem täglichen Briefing um 05:30 UTC, dazu Upstash Redis, ein Mapbox-Token und Valyu-Credits für Nachrichten- und Briefing-Ebene. Ein gehosteter Plan wird nicht angeboten.
- Ist Global Hack Map sicher für Firmendaten?
- Eingefügte Manifeste werden gegen OSV geprüft; für die Produktauswahl muss nichts hochgeladen werden. Standardmäßig selbst gehostet; ein optionaler Valyu-Kontomodus rechnet die eigenen Credits angemeldeter Besucher ab. Code unter MIT; Schriften unter der SIL Open Font License.
- Was sind die besten Alternativen zu Global Hack Map?
- Die nächsten Alternativen, die wir getestet haben, sind cvENGINE und Global Threat Map.
Antworten geprüft am 3. Nov. 2026.