OSINT (Open Source Intelligence): Bedeutung, Tools und Recherche

Was bedeutet OSINT?

OSINT steht für Open Source Intelligence. „Open Source“ meint hier offene, öffentliche Quellen. Mit offener Software hat der Begriff nichts zu tun. „Intelligence“ heißt so viel wie Aufklärung.

Der Begriff stammt aus dem Militär und von Nachrichtendiensten. Dort ist OSINT eine von mehreren Arten der Aufklärung, neben etwa HUMINT (Informationen von Menschen) und SIGINT (abgefangene Signale). Heute nutzen auch Unternehmen, Behörden, Journalisten und Sicherheitsforscher OSINT.

Wichtig: OSINT ist mehr als eine Suche im Internet. Erst die Prüfung, Verknüpfung und Bewertung der Funde macht daraus verwertbares Wissen.

Typische OSINT-Quellen

Webseiten und Suchmaschinen

Unternehmensseiten, Blogs und Stellenanzeigen verraten viel. Eine Stellenanzeige nennt oft die eingesetzte Software. Mit erweiterten Suchbefehlen, sogenannten Google Dorks, finden sich gezielt bestimmte Dateitypen oder Seiten.

Soziale Netzwerke

Berufliche und private Profile zeigen Namen, Rollen, Kontakte und manchmal Fotos aus dem Büro. Daraus lassen sich Organigramme und E-Mail-Muster ableiten.

Öffentliche Register

Handelsregister, Patentdatenbanken und Behördenveröffentlichungen liefern Angaben zu Firmen, Geschäftsführern und Beteiligungen.

Technische Quellen

DNS-Einträge, WHOIS-Daten und öffentliche Zertifikatsprotokolle (Certificate Transparency) zeigen Domains, Subdomains und Server. Spezielle Suchmaschinen listen Geräte und Dienste, die aus dem Internet erreichbar sind.

Nachrichten, Foren und Code

Presseberichte, Fachforen und öffentliche Code-Repositories enthalten oft Details. Manchmal landen dort aus Versehen sogar Passwörter oder Schlüssel.

Metadaten

PDF-, Word- oder Bilddateien speichern oft Autorennamen, Softwareversionen oder Ortsdaten. Wer sie veröffentlicht, gibt diese Daten mit preis.

Der OSINT-Zyklus

Gute OSINT-Arbeit folgt einem festen Ablauf. Er lehnt sich an den Zyklus der Nachrichtendienste an:

1. Planung: Fragestellung, Ziel und Grenzen der Recherche festlegen.
2. Sammlung: Informationen aus passenden Quellen erfassen.
3. Aufbereitung: Daten ordnen, Dubletten entfernen, Formate vereinheitlichen.
4. Analyse: Funde prüfen, mit anderen Quellen abgleichen und bewerten.
5. Weitergabe: Ergebnisse verständlich berichten und Maßnahmen ableiten.

Danach beginnt der Zyklus oft von vorn, mit neuen Fragen aus den Ergebnissen.

OSINT in der IT-Sicherheit

• Eigene Angriffsfläche prüfen: Welche Systeme sind aus dem Internet erreichbar? Gibt es vergessene Subdomains? Siehe Attack Surface Management.
• Geleakte Zugangsdaten finden: Tauchen Passwörter von Mitarbeitenden in Datenlecks auf? Siehe Dark Web Monitoring.
• Phishing-Risiko einschätzen: Wie leicht lassen sich Namen, Rollen und E-Mail-Adressen für Spear-Phishing sammeln?
• Bedrohungen verstehen: Was planen Angreifergruppen, welche Schwachstellen werden ausgenutzt? OSINT ist eine wichtige Quelle für Threat Intelligence.
• Penetrationstests: Am Anfang vieler Tests steht die Aufklärung. Die Tester sammeln zuerst öffentlich verfügbare Informationen über das Ziel.

Ein Beispiel: Ein Unternehmen lässt prüfen, was über es öffentlich bekannt ist. Die Recherche findet eine alte Testseite mit veralteter Software, eine Stellenanzeige mit der genauen Firewall-Version und in einem Datenleck die Zugangsdaten eines Vertriebsmitarbeiters. Alle drei Punkte lassen sich schnell beheben, bevor ein Angreifer sie nutzt.

Weitere Einsatzbereiche

• Journalismus: Redaktionen prüfen Fotos und Videos und rekonstruieren Ereignisse.
• Ermittlungen: Polizei und private Ermittler suchen Hinweise auf Personen und Netzwerke.
• Unternehmensprüfung: Vor einem Kauf oder einer Partnerschaft wird geprüft, mit wem man es zu tun hat.
• Marktanalyse: Unternehmen beobachten Wettbewerber, Trends und Kundenmeinungen.

Bekannte OSINT-Tools

• theHarvester: sammelt E-Mail-Adressen, Subdomains und Hostnamen aus öffentlichen Quellen.
• Shodan: eine Suchmaschine für Geräte und Dienste, die aus dem Internet erreichbar sind.
• Maltego: stellt Verbindungen zwischen Personen, Domains und Firmen als Grafik dar.
• SpiderFoot: automatisiert die Recherche über viele Quellen hinweg.
• OSINT Framework: eine Webseite, die viele Werkzeuge und Quellen nach Kategorien ordnet.

Werkzeuge erleichtern die Arbeit, ersetzen aber nicht das eigene Urteil. Jeder Fund muss geprüft werden. Das SecTepe-Produkt SnapScan wertet offene Quellen aus und findet so Subdomains und Netzbereiche eines Unternehmens.

OSINT-Recherche: rechtliche Grenzen

Öffentliche Informationen zu recherchieren ist grundsätzlich erlaubt. Es gibt aber klare Grenzen:

• Datenschutz: Auch öffentlich zugängliche personenbezogene Daten fallen unter die DSGVO. Sammeln Sie nur, was Sie für den Zweck brauchen, und löschen Sie es danach.
• Keine Zugangssperren umgehen: Wer Passwörter errät oder Schutzmechanismen aushebelt, betreibt kein OSINT mehr und kann sich strafbar machen.
• Keine Täuschung: Falsche Profile, um an geschlossene Gruppen zu kommen, sind rechtlich und ethisch heikel.
• Auftrag klären: Bei Recherchen für Dritte sollten Ziel und Umfang schriftlich festgelegt sein.

Herausforderungen

• Datenflut: Die Menge an Informationen ist riesig. Ohne klare Frage verliert man sich.
• Falsche Informationen: Nicht alles im Netz stimmt. Funde sollten durch eine zweite Quelle bestätigt werden.
• Veraltete Daten: Informationen ändern sich. Ein Fund von gestern kann heute falsch sein.
• Spuren hinterlassen: Auch Recherchen hinterlassen Spuren, etwa in Server-Protokollen. Passive Methoden fallen weniger auf.

Fazit

OSINT gewinnt Wissen aus öffentlich zugänglichen Quellen. Angreifer nutzen es, um Angriffe vorzubereiten. Unternehmen sollten es daher selbst einsetzen und regelmäßig prüfen, was über sie bekannt ist. Entscheidend sind eine klare Fragestellung, geprüfte Funde und die Einhaltung rechtlicher Grenzen.