OSINT: Die Architektur öffentlicher Informationsabflüsse

Unternehmen geben Millionen für Perimetersicherheit aus, während sie durch Kanäle, die keinerlei Exploitation erfordern, kontinuierlich Informationen preisgeben. Kein Vulnerability Scanner entdeckt einen falsch konfigurierten S3-Bucket, dessen Name aus einer Stellenausschreibung rekonstruiert wurde. Kein Intrusion Detection System schlägt Alarm, wenn jemand historische DNS-Einträge abfragt und die vollständige Infrastrukturentwicklung eines Unternehmens über vier Jahre hinweg kartiert.

Dieser Artikel ist ein technischer Leitfaden dazu, wie diese Aufklärung funktioniert, was jeder Kanal offenbart, wie die Kanäle zu verwertbarer Aufklärung kombiniert werden, und was Verteidiger realistischerweise dagegen tun können.

Hinweis zu Beispielen: Im gesamten Artikel erscheint Natascha, eine Sicherheitsanalystin der fiktiven Firma Blackriver Analytics, als illustrative Figur. Ihre Beispiele folgen keiner linearen Geschichte, sondern dienen der isolierten Veranschaulichung spezifischer Techniken, sowohl korrekter als auch fehlerhafter Vorgehensweisen. Blackriver Analytics und Natascha sind vollständig fiktiv.

Der Nachrichtendienstkreislauf

OSINT beginnt nicht mit einer Suchanfrage, sondern mit einer Frage. Der Nachrichtendienstkreislauf, formalisiert im NATO OSINT Handbuch von 2002, besteht aus sechs Phasen: Planung, Sammlung, Verarbeitung, Analyse, Produktion und Weitergabe. Das Überspringen der Planungsphase ist der häufigste Fehler von Praktikern, die über technische Fähigkeiten, aber unzureichende Disziplin verfügen.

Teil 1: Infrastruktur-Aufklärung

1.1 WHOIS, RDAP und Registrierungsdaten

WHOIS und das neuere RDAP-Protokoll sind die Startpunkte jeder Infrastruktur-Aufklärung. Nach DSGVO und der ICANN-RDAP-Transition wurden persönliche Daten aus den meisten öffentlichen Antworten geschwärzt, aber organisationale Daten bleiben weitgehend verfügbar: Registrar, Nameserver, Registrierungsdaten und Verfallsdaten.

Historische Daten sind oft wertvoller als aktuelle Momentaufnahmen. Dienste wie SecurityTrails und DomainTools führen Archive zurück bis zu mehreren Jahren. Eine Domain, die ihre Nameserver von Amazon Route 53 zu Cloudflare und dann zu einem privaten Anycast-Netzwerk migriert hat, erzählt eine Geschichte über die Infrastrukturreife des Unternehmens.

Das Handelsregister (Deutschland), das Companies House (UK) und SEC EDGAR (USA) ergänzen die digitale Karte um Unternehmensstrukturen, Gesellschafter, Tochtergesellschaften und Finanzdaten.

# RDAP-Abfrage
curl https://rdap.verisign.com/com/v1/domain/example.com

# Historische WHOIS-Daten
# https://securitytrails.com/domain/example.com/history/a

1.2 Autonome Systemnummern und IP-Bereich-Enumeration

Jede Organisation, die eigenen Internetverkehr routet, betreibt ein Autonomes System (AS) mit einer ASN. Das Finden der ASN eines Unternehmens erschließt den gesamten angekündigten IP-Adressbereich. Durch Kombination mit Shodan oder Censys erhält man ein vollständiges Bild aller öffentlich erreichbaren Dienste.

# ASN-Lookup für eine bekannte IP
whois -h whois.radb.net 203.0.113.1

# Alle Präfixe einer ASN
whois -h whois.radb.net -- '-i origin AS64512'

1.3 Certificate Transparency Logs

Jedes für eine öffentliche Domain ausgestellte TLS-Zertifikat muss gemäß RFC 6962 und RFC 9162 in einem öffentlichen CT-Log protokolliert werden. Diese Logs sind append-only und für jedermann durchsuchbar.

# Alle Zertifikate für eine Domain und ihre Subdomains
curl -s "https://crt.sh/?q=%.example.com&output=json" | 
  jq -r '.[].name_value' | sort -u

Was eine sorgfältige CT-Log-Analyse für ein aktives Unternehmen liefert: Produktivdienste, Entwicklungs- und Staging-Umgebungen, interne Tools, Zertifikate für durch Akquisitionen erworbene Systeme und dekommissionierte Dienste, die keine Verlängerungen mehr erhalten, aber deren DNS-Einträge noch aktiv sind.

Natascha stellte beim Assessment eines Finanzdienstleisters fest, dass das Unternehmen vor 18 Monaten ein Zertifikat für corebanking-api.internal.target.com ausgestellt hatte. Das Zertifikat war nicht verlängert worden. Ein DNS-Lookup zeigte, dass die Subdomain noch auflöste. Der Dienst antwortete noch. Das Wort „internal” im Subdomain-Namen hatte dem Team falsche Sicherheit gegeben, dass er nicht vom öffentlichen Internet aus erreichbar war. Er war es.

1.4 DNS-Intelligence

Passives DNS: Dienste wie SecurityTrails und DNSDB (Farsight Security) archivieren DNS-Auflösungen von rekursiven Resolvern weltweit. Eine passive DNS-Abfrage für eine Domain gibt jede IP-Adresse zurück, zu der diese Domain je aufgelöst hat, mit Zeitstempeln. Wenn ein Unternehmen 2021 hinter Cloudflare gewechselt hat, kann die echte Ursprungs-IP noch in passiven DNS-Aufzeichnungen von 2020 zu finden sein.

Zone Transfers (AXFR): Ein fehlerh Nameserver, der AXFR-Anfragen von nicht authentifizierten Quellen beantwortet, gibt jeden DNS-Eintrag in der Zone zurück. CISA hat 2015 eine Warnung dazu veröffentlicht (AA15-103A). Das Problem tritt weiterhin regelmäßig auf.

# Zone Transfer Versuch
dig AXFR @ns1.example.com example.com

Subdomain-Brute-Force: OWASP Amass kombiniert passive Quellen (CT-Logs, DNS-Archive, Suchmaschinen) mit aktiven DNS-Abfragen:

# Passiv-Enumeration (keine direkten DNS-Abfragen ans Ziel)
amass enum --passive -d example.com -o subdomains.txt

# Aktives Brute-Force
puredns bruteforce /opt/wordlists/subdomains-top1m.txt example.com

SPF und TXT Records: SPF-Einträge listen jeden autorisierten Mail-Absender auf und offenbaren direkt, welche SaaS-Produkte das Unternehmen verwendet.

dig TXT example.com | grep spf
# include:_spf.google.com include:salesforce.com include:sendgrid.net
# Offenbart: Google Workspace, Salesforce, SendGrid in einer einzigen Abfrage

Subdomain-Takeover: Wenn assets.example.com einen CNAME auf examplebucket.s3.amazonaws.com hat und der Bucket nicht mehr existiert, kann ein Angreifer einen Bucket mit genau diesem Namen erstellen und die Subdomain übernehmen. Der Angriff erfordert keinen Zugang zur Infrastruktur des Ziels.

1.5 Internet-weite Scan-Datenbanken

Shodan scannt kontinuierlich alle öffentlich routbaren IP-Adressen, testet Hunderte von Ports und Protokollen, erfasst Banner, Zertifikate und Dienst-Fingerprints.

# Shodan-Abfrage nach ASN
org:"Example Corp"

# Exponierten Jenkins finden
product:Jenkins org:"Example Corp"

# RDP ohne Authentifizierung
port:3389 org:"Example Corp"

Natascha führte eine Shodan-Abfrage gegen die ASN des Kunden durch und fand einen Jenkins CI-Server auf Port 8080 ohne Authentifizierung, der seine Version im HTTP-Header anzeigte. Die Version war drei Jahre alt und hatte drei bekannte RCE-Schwachstellen. Weder das Engineering-Team noch das Sicherheitsteam wusste, dass die Instanz öffentlich erreichbar war.

Censys ist besonders stark in der TLS-Zertifikatsanalyse. Netlas bietet tiefes Port-Scanning. Jedes Tool hat unterschiedliche Abdeckungslücken; professionelle OSINT-Arbeit nutzt mehrere Quellen und gleicht Diskrepanzen ab.

Teil 2: Web-Oberflächen-Intelligence

2.1 Search Engine Dorking

Fortgeschrittene Suchoperatoren ermöglichen die gezielte Suche nach spezifischen Inhaltstypen.

# Exponierte Konfigurationsdateien
site:example.com filetype:env OR filetype:cfg OR filetype:conf

# API-Dokumentation
site:example.com inurl:swagger OR inurl:api-docs

# Credentials in Paste-Seiten
site:pastebin.com "example.com" password OR apikey OR secret

Natascha führte site:example.com filetype:pdf aus und fand 47 Dokumente. Das 43. war ein Systemarchitektur-Dokument von 2019 mit dem Titel “Migration Plan Q3”. Es beschrieb das gesamte Datenbankschema des Unternehmens, alle Microservice-Namen und die Entscheidung, eine Legacy-Oracle-Datenbank aus “regulatorischen Gründen” beizubehalten, die nirgendwo sonst erwähnt worden war. Das Dokument war versehentlich indiziert worden. Es hatte dort fünf Jahre lang gelegen.

2.2 Wayback Machine und Archiv-Analyse

Das Wayback Machine CDX API ermöglicht die Abfrage aller archivierten URLs einer Domain:

curl "http://web.archive.org/cdx/search/cdx?url=*.example.com&output=text&fl=original&collapse=urlkey"

Historische Job-Posting-Snapshots liefern eine Zeitleiste der technischen Einstellungsaktivität. Historische API-Endpunkte, Debug-Seiten und Administrationsoberflächen, die einmal öffentlich erreichbar waren, bleiben im Archiv und offenbaren ihren Existenz auch nach der Dekommissionierung.

Teil 3: Repository- und Code-Intelligence

3.1 GitHub-Enumeration und Commit-Verlauf

Jeder Commit in einem öffentlichen Repository enthält den Namen und die E-Mail-Adresse des Autors. Für Organisations-Repositories bedeutet das, dass jeder Ingenieur, der je Code committet hat, zusammen mit seiner E-Mail-Adresse aufgeführt ist.

# Alle einzigartigen Commit-Autoren aus dem Repository-Verlauf
git log --format='%ae' | sort -u

GitHub Dork-Muster:

# Exponierte Umgebungsdateien
org:example-corp filename:.env

# AWS-Schlüssel (AKIA ist das Präfix für AWS Access Keys)
org:example-corp "AKIA"

# Slack-Webhook-URLs
org:example-corp "hooks.slack.com/services"

3.2 Secret Scanning

TruffleHog scannt die vollständige git-Objektdatenbank und verifiziert, ob gefundene Credentials noch aktiv sind:

trufflehog git https://github.com/example-corp/example-repo

Laut Snyks 2025-Bericht wurden über 28 Millionen Credentials in öffentlichen GitHub-Repositories gefunden. Die Kategorien umfassen AWS Access Keys, GitHub Personal Access Tokens, Slack Webhooks, Datenbankverbindungsstrings und private TLS-Schlüssel.

Natascha fand in einem öffentlichen Repository des Kunden eine Terraform-State-Datei im Commit-Verlauf von vor drei Jahren. Terraform State-Dateien enthalten den aktuellen Zustand aller provisionierten Infrastruktur: jede EC2-Instanz-ID, jeden RDS-Endpunkt, jede Security-Group-Regel, jeden IAM-Rollen-Namen.

Teil 4: Personal- und Organisations-Intelligence

4.1 LinkedIn und professionelle Netzwerke

LinkedIn-Aggregate-Analyse für ein Unternehmen mit 50 Ingenieuren:

4.2 E-Mail-Harvesting und Muster-Rekonstruktion

Corporate-E-Mail-Adressen folgen fast immer vorhersehbaren Mustern. Ein einziges gefundenes Exemplar enthüllt das Muster für die gesamte Organisation.

# Hunter.io API-Abfrage
curl "https://api.hunter.io/v2/domain-search?domain=example.com&api_key=KEY"

# E-Mail-Permutationsgenerierung
python3 email-permutator.py --first alice --last smith --domain example.com

# SMTP-Verifikation (kein E-Mail-Versand)
smtp-user-enum -M VRFY -U emails.txt -t mail.example.com

4.3 Stellenausschreibungs-Intelligence

Stellenausschreibungen sind eine der am meisten unterschätzten OSINT-Oberflächen. Eine Ausschreibung für einen “Senior Security Engineer”, die “Erfahrung mit CrowdStrike Falcon und Sentinel One” erfordert, gibt die eingesetzten EDR-Produkte an. Eine Ausschreibung für eine “Migration von Oracle zu PostgreSQL” offenbart ein aktives Migrationsprojekt.

Nach der Kartierung der Infrastruktur des Kunden überprüfte Natascha historische Stellenausschreibungen im Wayback Machine. Eine Ausschreibung von 2019 für einen “IBM Mainframe COBOL Developer” enthüllte ein Legacy-System, das in keiner der modernen Infrastruktur auftauchte. Das Mainframe lief noch. Es war nicht vom Internet erreichbar, aber es war mit demselben Netzwerk verbunden wie die moderne Infrastruktur.

Teil 5: Dokument- und Metadaten-Intelligence

5.1 PDF- und Office-Dokument-Metadaten

exiftool dokument.pdf
# Author: alice.smith
# Creator: Microsoft Word 2019
# Created: 2023-04-12 09:23:11+00:00
# Company: Example Corp (Internal Use Only)

Das Autor-Feld enthält typischerweise den Betriebssystem-Benutzernamen, nicht den Anzeigenamen. Ein Benutzername wie asmith oder alice.smith enthüllt direkt die Benutzernamenskonvention der Organisation und damit das E-Mail-Format.

5.2 EXIF-Daten in Bildern

GPS-Koordinaten in veröffentlichten Bildern sind keine Kleinigkeit. Sie zeigen den physischen Standort des Fotografen zum Aufnahmezeitpunkt. Das Mcafee-Beispiel von 2012 ist der Lehrbuch-Fall: Vice veröffentlichte ein Foto mit GPS-Koordinaten; er wurde innerhalb von Tagen festgenommen.

exiftool foto.jpg | grep -i GPS

Teil 6: Cloud und Drittanbieter-Exposition

6.1 S3-Enumeration

Bucket-Namen in Amazon S3 folgen vorhersehbaren Mustern und sind global eindeutig.

# Bucket-Zugänglichkeit testen (ohne AWS-Credentials)
aws s3 ls s3://example-corp-backups --no-sign-request

# S3Scanner für Listen von Bucket-Namen
s3scanner scan --bucket-file buckets.txt

6.2 Exponierte APIs und Dashboards

Grafana-Instanzen werden häufig mit einer Standardkonfiguration eingerichtet, die anonymes Betrachten von Dashboards erlaubt.

# Shodan nach öffentlichen Grafana-Instanzen
product:Grafana title:"Grafana" http.component:"Grafana"

Natascha fand ein öffentlich zugängliches Grafana-Dashboard über eine Shodan-Abfrage gegen den IP-Bereich des Kunden. Das Dashboard zeigte Echtzeit-Anfragezahlen, Fehlerraten nach Microservice-Namen, Datenbankverbindungspool-Auslastung und die Anzahl der aktiven Kubernetes-Pods pro Namespace. Nichts davon war hinter einer Authentifizierung.

Teil 1.6: BGP-Routing-Intelligence und Netzwerktopologie

Das Border Gateway Protocol (BGP) ist das Routing-Protokoll des öffentlichen Internets. Route Collectors der RIPE NCC und RouteViews archivieren BGP-Routentabellen seit Mitte der 1990er-Jahre. Für jeden IP-Präfix oder jede ASN ist damit eine lückenlose Aufzeichnung verfügbar, welches AS wann welche Präfixe angekündigt hat.

RIPE Stat (stat.ripe.net) liefert für jede Abfrage: alle historischen BGP-Ankündigungen und Rücknahmen mit Zeitstempeln, die vollständige Origin-AS-Pfadhistorie und den RPKI-Validierungsstatus.

# Historische BGP-Ankündigungen für ein Präfix
curl "https://stat.ripe.net/data/bgp-state/data.json?resource=203.0.113.0/24"

# Routing-Historie eines ASN
curl "https://stat.ripe.net/data/routing-history/data.json?resource=AS64512"

# Alle von einem ASN angekündigten Präfixe
curl "https://stat.ripe.net/data/announced-prefixes/data.json?resource=AS64512"

RPKI (Resource Public Key Infrastructure) ermöglicht es IP-Adressinhabern, Route Origin Authorizations (ROAs) zu veröffentlichen: kryptografisch signierte Objekte, die angeben, welche ASN ein gegebenes Präfix ankündigen darf. Ein BGP-Route, dessen Origin-ASN keiner gültigen ROA entspricht, hat den Status “invalid” und kann auf einen BGP-Hijack hinweisen. Stand 2024 sind etwa 45% der global routbaren Präfixe durch ROAs abgedeckt. BGPalerter ist ein Open-Source-Tool für Echtzeit-Monitoring auf Hijacks und ROA-Verletzungen.

Ein BGP-Historien-Lookup enthüllt häufig IP-Bereiche, die eine Organisation vor ihrer Cloud-Migration genutzt hat. Diese alten Präfixe können noch passiven DNS-Einträge haben, in DNS-Archiven auffindbar sein und residuale Dienste hosten, von denen die Organisation glaubt, sie seien abgeschaltet.

Teil 2.4: Exponierte Versionskontrollverzeichnisse

Wenn Entwickler Web-Applikationen durch direktes Kopieren des Arbeitsverzeichnisses auf den Server bereitstellen, wird das .git-Verzeichnis mit der vollständigen Versionshistorie oft zusammen mit der Applikation ausgeliefert. git-dumper rekonstruiert das gesamte Repository aus den exponierten Objekten.

# Prüfen, ob .git exponiert ist
curl -I https://example.com/.git/HEAD
# HTTP/1.1 200 OK bestätigt die Exposition

# Vollständige Repository-Rekonstruktion
git-dumper https://example.com/.git /tmp/recovered-repo

# .git/config enthüllt die Remote-Origin-URL (oft interne Bitbucket/GitLab-URL)
curl -s https://example.com/.git/config

PortSwigger’s Web Security Academy beschreibt das exponierte .git-Verzeichnis als “kritische Fehlkonfiguration, die in Produktionsumgebungen niemals auftreten sollte.” Typische Funde aus einem wiederhergestellten Produktions-Repository: Datenbankpasswörter, API-Keys für Drittanbieter, interne Endpunkt-URLs und Zertifikate.

robots.txt verdient besondere Aufmerksamkeit: Es listet häufig sensible Pfade, die aus der Suchmaschinen-Indexierung ausgeschlossen werden sollen, und erstellt dadurch unbeabsichtigt eine Karte dieser Standorte. Pfade wie /backup/, /staging/, /internal/, /admin/ in robots.txt sind direkte Hinweise auf schützenswerte Bereiche.

Framework-Fehlerseiten (Django Debug, Rails Exception, Spring Boot Whitelabel) enthüllen bei versehentlich aktiviertem Debug-Modus vollständige Konfigurationsdumps: lokale Dateipfade, Datenbankverbindungsstrings, installierte Pakete und Middleware-Konfigurationen.

Teil 3.4: Supply-Chain-Intelligence und Dependency-Confusion

Die internen Paketnamen einer Organisation sind aus mehreren Quellen beobachtbar: GitHub-Repository-Namen, npm-Organisations-Scopes, PyPI-Organisations-Präfixe, Stellenausschreibungen mit internem Tooling-Bezug und Konferenzvorträge von Ingenieuren.

Dependency Confusion wurde von Alex Birsan 2021 dokumentiert und brachte über 130.000 Dollar Bug-Bounty-Auszahlungen bei Apple, Microsoft, Shopify und PayPal. Die Technik nutzt die Auflösungslogik von Paketmanagern aus: Wenn ein Build-System sowohl mit einem internen als auch einem öffentlichen Registry konfiguriert ist, bevorzugen die meisten Paketmanager das Paket mit der höchsten Versionsnummer über alle konfigurierten Quellen hinweg.

# npm-Pakete unter einer Organisations-Scope suchen
curl "https://registry.npmjs.org/-/v1/search?text=%40example-corp&size=100"

# Prüfen, ob ein interner Paketname auf PyPI existiert
pip index versions example-corp-auth-lib 2>/dev/null && echo "existiert" || echo "claimable"

Typosquatting als Intelligence-Signal: Eine Organisation, die bereits Ziel von Supply-Chain-Typosquatting ist, wurde von Bedrohungsakteuren bereits durch OSINT-Analyse ihrer Abhängigkeitslisten identifiziert.

SBOMs (Software Bill of Materials) in CycloneDX- oder SPDX-Format werden durch US Executive Order 14028 und Enterprise-Anbieterverträge zunehmend gefordert. Docker Hub-Images enthüllen über ihre Layer-Historien die vollständige Build-Konfiguration, den gesamten Paketsatz und welche interne Package-Registry verwendet wurde.

# Layer-Historien eines Docker-Images inspizieren (enthüllt RUN-Befehle)
docker history example-corp/backend:latest --no-trunc

Teil 4.5: Breach-Daten, Stealer-Logs und Paste-Monitoring

HaveIBeenPwned aggregiert Breach-Daten aus tausenden kompromittierten Datenbanken und indexiert aktuell über 12 Milliarden Datensätze. Die Domain-Level-Abfrage (Enterprise-API) gibt eine strukturierte Liste jedes Breaches zurück, der mindestens eine E-Mail-Adresse der Zieldomäne enthält, mit Angabe der exponierten Datenkategorien und des Breach-Datums.

# Domain-Ebenen-Suche (Enterprise-API)
curl -s "https://haveibeenpwned.com/api/v3/breacheddomain/example.com" 
  -H "hibp-api-key: YOUR_KEY"

Stealer-Logs von Infostealer-Malware (RedLine, Vidar, Raccoon, Lumma) enthalten Browser-gespeicherte Credentials, Autofill-Daten, Kryptowährungs-Wallet-Dateien und aktive Sitzungs-Cookies. Ein Log von einem infizierten Mitarbeitergerät kann enthalten: Corporate-SSO-Credentials, aktive Session-Cookies für SaaS-Anwendungen (Salesforce, Jira, GitHub), die Session-Hijacking ohne Passwort und unabhängig von MFA ermöglichen, VPN-Credentials und MFA-Backup-Codes sowie interne API-Keys aus dem Browser-LocalStorage. Dienste wie SpyCloud, Hudson Rock Cavalier und Constella Intelligence überwachen Stealer-Log-Märkte mit Enterprise-APIs.

Natascha entdeckte durch eine Stealer-Log-Abfrage, dass Mitarbeiter des Zielunternehmens drei Sätze corporate Credentials über Lumma-Stealer-Logs aus dem Vorquartal exponiert hatten. Die Logs enthielten aktive Session-Tokens für die Cloud-Konsole des Unternehmens, die noch nicht abgelaufen waren. Das Team eskalierte sofort und dokumentierte die Exposition, ohne auf die Sessions zuzugreifen.

Paste-Site-Monitoring für Unternehmens-Indikatoren erfordert kontinuierliche Automatisierung, da Pastes oft innerhalb von Stunden gelöscht werden. IntelligenceX (intelx.io) indexiert Paste-Sites, Datenlecks, geleakte Dokumente und Tor-basierte Ressourcen und macht sie volltextdurchsuchbar.

# Google-Suche nach Pastes mit Unternehmens-Domain
site:pastebin.com "example.com" (password OR apikey OR token OR internal)

Teil 5.3: Geolokalisierung und visuelle Intelligence

Die fünfschichtige Bellingcat-Methodik für systematische Bildgeolokalisierung (entwickelt durch Untersuchungen wie die Identifizierung des MH17-Raketenwerfers 2014):

Schicht 1: EXIF und technische Metadaten. Kameramodell, Zeitstempel, Software-Fingerprint.

Schicht 2: Visuelle Landmark-Analyse. Strommasten-Design (Holzmasten in Nordamerika, Betonmasten in Deutschland/Osteuropa), Vegetationsarten (geografische Klimazonen-Indikatoren), Straßenmarkierungen (Linienfarben, Fahrbahnmuster), Schilderfonts und Sprache, Architekturstil und Baumaterialien.

Schicht 3: Schattenanalyse. Schattenrichtung und -länge kodieren Position und Elevation der Sonne zum Aufnahmezeitpunkt. Mit Solarpositrechnern (SunCalc: suncalc.org) und dem ungefähren Breitengrad kann die geometrische Konsistenz der Schatten mathematisch überprüft werden. Inkonsistenzen enthüllen gefälschte Aufnahmezeitpunkte und -orte.

Schicht 4: Satelliten- und Luftbildvergleich. Sentinel Hub EO Browser (kostenlose ESA-Daten, 10m Auflösung), Google Earth (historische Zeitreihen), Planet Labs (kommerzielle Tagessatellitendaten). Das Abgleichen von Dachformen, Parkplatzkonfigurationen und Straßengeometrien ermöglicht Positionierung unter 10 Meter.

Schicht 5: Street-View-Verifikation. Google Street View (globale Abdeckung mit historischen Zeitreihen), Yandex Panorama (überlegene Abdeckung Russlands und osteuropäischer Länder), Mapillary (community-contributed für Lücken), Apple Look Around (höhere Auflösung in abgedeckten Gebieten).

Yandex Image Search hat besonders starke Gesichtserkennung im Vergleich zu westlichen Alternativen und ist für die Attributierung von Personen in veröffentlichten Fotos relevant (innerhalb ethischer und rechtlicher Grenzen).

Teil 6.3: IoT und Industrielle Steuerungssysteme

Industrielle Steuerungssysteme (ICS), SCADA-Systeme und HMIs wurden für den Einsatz in air-gapped Umgebungen entwickelt. Die IT/OT-Konvergenz der letzten Jahre hat erhebliche Mengen operativer Technologie direkt ins öffentliche Internet gebracht.

Shodan-Protokoll-spezifische Abfragen:

# Modbus TCP (Port 502): PLCs in Fertigung, Wasserversorgung, Energieversorgung
port:502

# Siemens S7-Protokoll (Port 102): S7-300, S7-400, S7-1200, S7-1500 PLCs
port:102

# BACnet (UDP Port 47808): Gebäudeautomation (HVAC, Beleuchtung, Zugangskontrolle)
port:47808

# DNP3 (Port 20000): Elektrizitätsversorgungs-SCADA, Wasseraufbereitung
port:20000

# EtherNet/IP (Port 44818): Allen-Bradley / Rockwell-Automation PLCs
port:44818

# Benzinstations-Pumpsteuerungen (ATG-Systeme)
"in-tank inventory" port:10001

Gebäudemanagementsysteme (BMS) steuern HVAC, Beleuchtung, Zugangskontrolle und Brandschutz. Shodan-Abfragen für gängige Plattformen:

# Tridium Niagara (weitverbreitetstes BMS-Framework weltweit)
port:4911 product:Niagara

# Johnson Controls Metasys
http.title:"Metasys" port:443

# Siemens Desigo CC
http.title:"Desigo" port:443

Die Intelligence-Value exponierter BMS-Systeme liegt nicht nur in den offensichtlichen physischen Implikationen. BMS-Stockwerkspläne und Zonenbezeichnungen enthüllen Bürolayouts mit Abteilungsbezeichnungen, Energieverbrauchsmuster (die Besetzungsmuster außerhalb der Geschäftszeiten enthüllen) und die Anzahl physischer Zugangskontrollpunkte.

Teil 6.4: Mobile-Applikations-Intelligence

App-Store-Metadaten liefern bereits vor jeder Binäranalyse Intelligence: vollständiger Entwicklerkonto-Name (oft abweichend vom Handelsnamen), Datenschutzrichtlinien-URL mit spezifischen Domains, App-Berechtigungen, verwandte Apps desselben Entwicklers und Versions-Changelog.

APK-Dekompilierung und statische Analyse:

# APK zu Java-Quellcode dekompilieren
jadx -d output-dir/ example-corp.apk

# Automatisierte Analyse mit MobSF
docker run -it --rm -p 8000:8000 opensecurity/mobile-security-framework-mobsf

# Strings-Extraktion aus der APK ohne vollständige Dekompilierung
strings example-corp.apk | grep -E "https?://[a-z0-9.-]+"

AndroidManifest.xml deklariert alle Activities, Services, Content Provider und Broadcast Receiver, exportierte Komponenten (für andere Apps zugänglich), alle angeforderten Berechtigungen und Deep-Link-URL-Schemata, die interne Routing-Logik enthüllen.

Geheimnisse im dekompilierten Code:

# Gemeinsame Geheimnis-Muster in Java/Kotlin
grep -r "api_key|apiKey|API_KEY" output-dir/sources/ --include="*.java"
grep -rE "AKIA[0-9A-Z]{16}" output-dir/           # AWS-Schlüssel
grep -r "https://internal|.corp.|.local." output-dir/sources/

Natascha dekompilierte die Android-Anwendung des Zielunternehmens und fand drei hardcodierte API-Keys in einer Klasse namens Constants.java. Der kritischste war ein Backend-API-Key für einen internen Analytics-Endpunkt unter metrics-internal.example.com, der in keinem externen Scan, keinem CT-Log und keiner DNS-Abfrage je erschienen war. Dieser Endpunkt war der bedeutendste Fund des gesamten Engagements.

iOS IPA-Analyse: Info.plist ist auch in verschlüsselten IPAs ein lesbares XML und enthält Bundle-ID, URL-Schemata, App-Transport-Security-Ausnahmen (die alle Domains enthüllen, mit denen die App ohne HTTPS kommunizieren darf) und geräte-spezifische Fähigkeiten.

Teil 7.5: MITRE ATT&CK-Mapping

MITRE ATT&CK’s Reconnaissance-Taktik (TA0043) bietet eine strukturierte Taxonomie der beschriebenen Techniken:

Erkennungsmöglichkeiten: T1595.001 (IP-Bereich-Scanning) ist am besten erkennbar: Shodan-Scanner-IP-Bereiche sind öffentlich gelistet und über NetFlow-Analyse sichtbar. T1596.002 (WHOIS) und T1596.003 (CT-Logs) generieren keinerlei beobachtbare Signale beim Ziel. T1590.002 (DNS-Abfragen) sind in DNS-Server-Abfrage-Logs sichtbar, wenn die Abfragen direkt gegen die autoritativen Nameserver des Ziels gerichtet sind.

MITRE D3FEND ist das defensive Gegenstück zu ATT&CK und mappt offensive Techniken auf Gegenmaßnahmen: Network Traffic Filtering (D3-NTF) gegen T1595, DNS Allowlisting (D3-DNSAL) gegen T1590.002 und Credential Transmission Scoping (D3-CTS) gegen T1593.003.

Teil 8.1: Erweiterte OPSEC-Infrastruktur

Das Bedrohungsmodell des Ermittlers ist ungewöhnlich: Der Gegner ist ein sophistiziertes Security-Team mit Zugang zu kommerziellen Threat-Intelligence-Plattformen (Recorded Future, CrowdStrike Falcon Intelligence), CDN-Zugriffsprotokollen und LinkedIn-Profildaten.

Hardware-Trennung: Für Untersuchungen sensibler Ziele wird dedizierte physische Hardware empfohlen, die ohne Identitätslinkage erworben wurde, mit einer neuen Betriebssystem-Installation und ohne geteilte Credentials mit der professionellen oder persönlichen Identität des Ermittlers.

Netzwerk-Egress-Optionen (nach Anonymitätsstufe):

1. Kommerzielles VPN (allein unzureichend): VPN-IPs sind durch alle kommerziellen Threat-Intelligence-Services katalogisiert.
2. Residential Proxy Networks: Traffic erscheint von privaten ISP-Adressen zu stammen, nicht aus Rechenzentren.
3. Tor Browser: Starke Anonymität für passive Abfragen; Tor-Exit-Nodes sind öffentlich gelistet.
4. Tails OS (tails.boum.org): Live-Betriebssystem von USB, routet allen Traffic durch Tor, hinterlässt keine Disk-Artefakte.
5. Whonix (whonix.org): Zwei-VM-Setup (Gateway + Workstation), bei dem alle Workstation-Verbindungen durch Tor geleitet werden.

Browser-Fingerprinting: Canvas API, WebGL, AudioContext und Font-Enumeration ergeben einen Identifier, der oft persistenter als ein Cookie ist. WebRTC kann VPN-Routing umgehen und die wahre lokale IP preisgeben:

// Jede Seite kann die echte IP enthüllen, selbst hinter VPN
const pc = new RTCPeerConnection({ iceServers: [] });
pc.createDataChannel("");
pc.onicecandidate = (e) => console.log(e?.candidate?.candidate);
pc.createOffer().then((o) => pc.setLocalDescription(o));

Absicherung: media.peerconnection.enabled = false in Firefox’s about:config, oder Mullvad Browser verwenden (WebRTC standardmäßig deaktiviert, Fingerprint-Resistenz eingebaut).

API-Abfrage-Attribution: Jede authentifizierte Abfrage an eine kommerzielle OSINT-Plattform wird gegen den verwendeten API-Key protokolliert. SANS SEC487 weist explizit darauf hin, dass “der Ermittler seine eigene Abfragehistorie als potenzielle Intelligence-Quelle für das Ziel betrachten muss.”

Teil 7: OPSEC für den Ermittler

Passive OSINT ist nicht wirklich passiv. Eine direkte DNS-Abfrage, eine HTTP-Anfrage an einen entdeckten Endpunkt oder eine LinkedIn-Profilansicht hinterlässt auf der Zielseite beobachtbare Spuren.

Kernprinzipien:

• Ziel nicht warnen. Ungewöhnliche Abfragemuster können Monitoring-Systeme auslösen.
• Dedizierte Ermittlungsinfrastruktur. Alle aktiven Abfragen sollten von Infrastruktur ausgehen, die nicht mit der realen Identität des Ermittlers verbunden ist.
• Passive Quellen bevorzugen. crt.sh, SecurityTrails, Shodan und das Wayback Machine benachrichtigen das Ziel nicht.
• Sock-Puppet-Konten sorgfältig verwalten. LinkedIn-Profilansichten sind in manchen Konfigurationen für den Profilinhaber sichtbar.

Natascha, die ein autorisiertes Red-Team-Assessment durchführte, rief die Grafana-Instanz des Ziels direkt von ihrer Büro-IP ab, um zu bestätigen, dass sie öffentlich zugänglich war. Die WAF des Ziels protokollierte die Anfrage. Das Sicherheitsteam untersuchte die IP, stellte fest, dass sie zu einem Sicherheitsberatungsunternehmen gehörte, und erkannte, dass ein Assessment läuft, bevor die Unternehmensleitung es offenbaren wollte. Die Lektion: Auch autorisierte Assessments erfordern OPSEC-Disziplin.

Teil 8: Verteidigung und Oberflächenreduktion

Infrastruktur: CT-Logs mit Cert Spotter oder Certstream überwachen. Eigene Subdomains regelmäßig enumerieren. Shodan und Censys gegen die eigene ASN vierteljährlich ausführen.

DNS: Zone Transfers auf autorisierte sekundäre Nameserver beschränken (TSIG-Authentifizierung). DNS-Einträge für dekommissionierte Dienste entfernen.

Repository: Alle öffentlichen Repositories wöchentlich mit TruffleHog scannen. Pre-Commit-Hooks mit Gitleaks in allen Repositories implementieren.

Dokumente: Metadaten aus jedem Dokument und Bild vor der Veröffentlichung entfernen.

exiftool -all= -overwrite_original dokument.pdf
convert bild.jpg -strip bild-bereinigt.jpg

Kontinuierliches Monitoring: Die effektivste Verteidigung ist ein kontinuierliches OSINT-Programm gegen die eigene Organisation. Das Ziel ist es, Überraschungen zu finden, bevor Gegner es tun.

Fazit

OSINT ist asymmetrisch wirksam. Ein Ermittler, der einen Tag systematisch durch die beschriebenen Oberflächen arbeitet, kann ein detailliertes Modell der Infrastruktur, Technologieentscheidungen, des Personals und der Betriebsmuster einer Organisation aus Informationen rekonstruieren, die vor der Untersuchung bereits öffentlich verfügbar waren.

Die defensive Reaktion ist nicht Klassifizierung, sondern Bewusstsein: Verstehen, welche Oberflächen existieren, was sie zusammen enthüllen, und systematische Disziplin anwenden, um die Lücke zwischen dem, was die Organisation offenlegen will, und dem, was tatsächlich sichtbar ist, zu reduzieren.

Quellen

1. NATO Supreme Allied Command Atlantic. Open Source Intelligence Handbook, v1.2. Januar 2002. archive.org/stream/NATOOSINTHandbookV1.2
2. Laurie, B.; Langley, A.; Kasper, E. Certificate Transparency. RFC 6962. IETF, Juni 2013. rfc-editor.org/rfc/rfc6962
3. Laurie, B. et al. Certificate Transparency Version 2.0. RFC 9162. IETF, Dezember 2021. rfc-editor.org/rfc/rfc9162
4. University of Arizona. CYBV 354: Principles of Open Source Intelligence. azcast.arizona.edu
5. OWASP Foundation. WSTG v4.2: Test for Subdomain Takeover. owasp.org/www-project-web-security-testing-guide/v42
6. OWASP Foundation. Amass: Attack Surface Mapping. github.com/owasp-amass/amass
7. Caulfield, J. Privacy Implications of EXIF Data. EDUCAUSE Review, Juni 2021. er.educause.edu/articles/2021/6/privacy-implications-of-exif-data
8. EDUCAUSE Review. Are Your Documents Leaking Sensitive Information? Januar 2017. er.educause.edu/blogs/2017/1/are-your-documents-leaking-sensitive-information-scrub-your-metadata
9. Qualys Research Team. Hidden Risks of Amazon S3 Misconfigurations. Dezember 2023. blog.qualys.com/vulnerabilities-threat-research/2023/12/18/hidden-risks-of-amazon-s3-misconfigurations
10. Snyk. State of Secrets: 28 Million Credentials in Public Repositories. 2025. snyk.io/articles/state-of-secrets
11. CISA. DNS Zone Transfer AXFR Requests May Leak Domain Information. AA15-103A, April 2015. cisa.gov/news-events/alerts/2015/04/13/dns-zone-transfer-axfr-requests-may-leak-domain-information
12. SOS Intelligence. OPSEC in OSINT: Protecting Yourself While Investigating. sosintel.co.uk/opsec-in-osint-protecting-yourself-while-investigating
13. SANS Institute. SEC487: Open-Source Intelligence (OSINT) Gathering and Analysis. sans.org/cyber-security-courses/open-source-intelligence-gathering
14. PortSwigger Research. Information Disclosure Vulnerabilities. Web Security Academy. portswigger.net/web-security/information-disclosure
15. MITRE ATT&CK. Reconnaissance-Taktik TA0043. attack.mitre.org/tactics/TA0043
16. Bellingcat. Online Investigation Toolkit. bellingcat.gitbook.io/toolkit
17. Hunt, T. Have I Been Pwned. haveibeenpwned.com
18. Rapid7 Labs. 2024 Attack Intelligence Report. Mai 2024. rapid7.com/research/report/2024-attack-intelligence-report
19. Birsan, A. Dependency Confusion: How I Hacked Into Apple, Microsoft and Dozens of Other Companies. Februar 2021. medium.com/@alex.birsan/dependency-confusion-4a5d60fec610
20. Bazzell, M. OSINT Techniques: Resources for Uncovering Online Information, 10. Auflage. IntelTechniques, 2023. inteltechniques.com/book1.html
21. MITRE Corporation. D3FEND: A Knowledge Graph of Cybersecurity Countermeasures. d3fend.mitre.org
22. Cloudflare Engineering. BGP Hijack Detection. Cloudflare Blog. blog.cloudflare.com/bgp-hijack-detection