Was ist Open Source Intelligence?

Open Source Intelligence (OSINT) ist die zielgerichtete Gewinnung, Prüfung und Auswertung von Informationen aus offen zugänglichen Quellen. „Open Source“ meint hier nicht quelloffene Software. Entscheidend ist, dass die Information rechtmäßig zugänglich ist. Erst eine konkrete Fragestellung, die Bewertung der Quellen und eine nachvollziehbare Analyse machen aus einzelnen Suchtreffern eine belastbare Erkenntnis.

Welche Quellen gehören zu OSINT?

„Öffentlich auffindbar“ bedeutet nicht automatisch „für jeden Zweck frei verwendbar“. Zugangsschutz, Nutzungsbedingungen, Urheberrecht, Datenschutz und Herkunft der Daten müssen berücksichtigt werden.

Wie läuft eine OSINT-Recherche ab?

1. Fragestellung und Scope: Ziel, Zeitraum, erlaubte Quellen und Abbruchkriterien festlegen.
2. Ausgangspunkte sammeln: Bekannte Namen, Domains, Kennungen, Orte oder technische Merkmale strukturieren.
3. Suchen und erweitern: Quellen systematisch abfragen und Beziehungen zwischen neuen Fundstellen verfolgen.
4. Validieren: Datum, Herkunft und Kontext prüfen und wichtige Aussagen durch unabhängige Quellen bestätigen.
5. Analysieren: Fakten von Annahmen trennen, Widersprüche dokumentieren und Unsicherheit kennzeichnen.
6. Berichten und schützen: Nur notwendige personenbezogene Daten aufnehmen, Belege sichern und Ergebnisse kontrolliert weitergeben.

Werkzeuge können Suchabfragen, Subdomain-Funde, Metadaten oder Beziehungen automatisieren. Sie ersetzen aber weder Quellenkritik noch Kontext. Ein identischer Name, eine alte IP-Adresse oder ein kopiertes Profil beweist keine Identität oder aktuelle Zugehörigkeit.

Welche Rolle spielt OSINT in der IT-Sicherheit?

In einem Penetrationstest oder Red Teaming zeigt OSINT, was ein Angreifer vor dem ersten technischen Zugriff lernen kann: Domains und Cloud-Dienste, verwendete Technologien, Mitarbeitende, E-Mail-Muster, Dienstleister oder veröffentlichte Zugangsdaten. Diese Informationen helfen, die Angriffsoberfläche zu erfassen und realistische Angriffspfade zu modellieren.

Defensive Teams verwenden OSINT für Threat Intelligence, Marken- und Domain-Monitoring, Betrugserkennung, Incident Response und die Suche nach unbeabsichtigt veröffentlichten Informationen. Journalismus, Strafverfolgung, Due Diligence und Krisenmanagement nutzen ähnliche Methoden mit jeweils anderem Rechtsrahmen und Auftrag.

Ist OSINT legal?

OSINT ist eine Methode, keine pauschale rechtliche Erlaubnis. Das Lesen einer frei zugänglichen Unternehmensseite unterscheidet sich vom Umgehen eines Logins, automatisierten Massenscraping oder Verwenden rechtswidrig erlangter Datensätze. Auch die Zusammenführung harmloser Einzeldaten kann ein detailliertes personenbezogenes Profil ergeben. Professionelle Recherchen brauchen daher einen klaren Zweck, Datenminimierung, definierte Aufbewahrung und – bei Tests – eine schriftliche Beauftragung. Rechtliche Zweifelsfälle sind fachkundig zu prüfen.

Welche Grenzen und Fehler gibt es?

• Veraltete, manipulierte oder automatisch erzeugte Inhalte werden als aktuelle Tatsache behandelt.
• Bestätigungsfehler führen dazu, dass nur zum erwarteten Ergebnis passende Quellen berücksichtigt werden.
• Eine Korrelation wird mit Identität oder Ursache verwechselt.
• Screenshots ohne URL, Zeitpunkt und Kontext lassen sich später nicht belastbar nachvollziehen.
• Zu viele personenbezogene Rohdaten werden gesammelt und unnötig lange gespeichert.

Wie reduzieren Unternehmen ihre OSINT-Angriffsfläche?

Unternehmen sollten ihre externe Präsenz regelmäßig aus Angreifersicht inventarisieren. Alte DNS- Einträge, öffentliche Storage-Buckets, vergessene Repositories, Dokumentmetadaten und nicht mehr benötigte Testsysteme gehören entfernt. Mitarbeitende brauchen verständliche Regeln dazu, welche internen Details in Profilen, Fotos und Stellenanzeigen erscheinen dürfen. Monitoring kann neue Domains, Zertifikate oder exponierte Geheimnisse erkennen. Vollständige Unsichtbarkeit ist weder realistisch noch nötig; Ziel ist, unnötige Informationen und unkontrollierte Assets zu reduzieren.