Viele Unternehmen und Behörden investieren erhebliche Summen in Firewalls, Virenschutz, Multifaktor-Authentifizierung und Security-Awareness-Schulungen. Trotzdem vergessen viele eine entscheidende Frage:

Welche Informationen über uns sind bereits öffentlich verfügbar?

Genau hier kommt Open Source Intelligence (OSINT) ins Spiel.

OSINT beschreibt die Sammlung und Auswertung öffentlich zugänglicher Informationen. Was für Sicherheitsverantwortliche ein Werkzeug zur Risikobewertung ist, nutzen Cyberkriminelle häufig zur Vorbereitung von Angriffen.

Tools wie SpiderFoot automatisieren diese Recherche und zeigen innerhalb weniger Minuten, welche Informationen über eine Organisation öffentlich sichtbar sind.

In diesem Teil unserer SpiderFoot-Serie betrachten wir die Situation aus Sicht eines Angreifers und analysieren, welche Informationen über eine Verwaltung oder ein Unternehmen häufig bereits frei im Internet verfügbar sind.

Warum Angreifer zuerst recherchieren

Hollywood zeigt oft Hacker, die sofort versuchen, Passwörter zu knacken oder Sicherheitslücken auszunutzen.

Die Realität sieht anders aus.

Professionelle Angreifer investieren häufig einen großen Teil ihrer Zeit in die Vorbereitung.

Bevor ein Angriff startet, werden Fragen beantwortet wie:

• Welche Domains gehören zur Organisation?
• Welche E-Mail-Adressen existieren?
• Welche Server sind öffentlich erreichbar?
• Wer arbeitet dort?
• Welche Software wird eingesetzt?
• Welche Dokumente wurden veröffentlicht?
• Welche Informationen verraten Social-Media-Profile?

Je mehr Informationen gesammelt werden können, desto gezielter kann ein Angriff vorbereitet werden.

Praxisbeispiel: Eine fiktive Stadtverwaltung

Nehmen wir als Beispiel die fiktive Stadtverwaltung „Musterstadt“.

Ein Angreifer kennt zunächst nur die offizielle Website:

www.musterstadt.de

Mit SpiderFoot startet nun eine OSINT-Analyse.

Das Ergebnis kann überraschend umfangreich sein.

Schritt 1: Analyse der Domains

Die Hauptdomain ist meist nur die Spitze des Eisbergs.

SpiderFoot kann zahlreiche weitere Domains und Subdomains finden.

Beispiele:

mail.musterstadt.de
vpn.musterstadt.de
cloud.musterstadt.de
schule.musterstadt.de
ratsinfo.musterstadt.de

Jede gefundene Subdomain liefert neue Hinweise.

Ein Angreifer erkennt dadurch beispielsweise:

• eingesetzte Software
• externe Dienstleister
• Cloud-Dienste
• VPN-Zugänge
• Testsysteme

Besonders kritisch sind vergessene oder nicht mehr gepflegte Systeme.

Solche sogenannten Shadow-IT-Systeme sind häufig ein attraktives Angriffsziel.

Zertifikate verraten oft mehr als gedacht

Viele Organisationen verwenden TLS-Zertifikate für ihre Webserver.

Diese Zertifikate enthalten häufig zusätzliche Informationen.

SpiderFoot kann Zertifikatstransparenz-Datenbanken auswerten und dadurch weitere Hosts entdecken.

Beispiele:

webmail.musterstadt.de
nextcloud.musterstadt.de
files.musterstadt.de

Manche dieser Systeme sind auf der offiziellen Website gar nicht verlinkt.

Für einen Angreifer sind sie dennoch sichtbar.

Schritt 2: Mitarbeiter recherchieren

Menschen sind häufig das bevorzugte Angriffsziel.

SpiderFoot kann aus öffentlichen Quellen Informationen über Mitarbeiter sammeln.

Dazu gehören beispielsweise:

• veröffentlichte E-Mail-Adressen
• Ansprechpartner auf Webseiten
• Impressumsangaben
• öffentliche Organigramme
• Pressemitteilungen
• Social-Media-Profile

Aus einer scheinbar harmlosen Kontaktseite kann ein Angreifer bereits wertvolle Informationen gewinnen.

Beispielsweise:

max.mustermann@musterstadt.de

Dadurch wird das E-Mail-Schema der Organisation sichtbar.

Der Angreifer erkennt:

vorname.nachname@organisation.de

Nun können weitere potenzielle E-Mail-Adressen vorhergesagt werden.

Organigramme als Informationsquelle

Viele Behörden veröffentlichen Organigramme oder Telefonverzeichnisse.

Für Bürgerinnen und Bürger ist das sinnvoll.

Für Angreifer sind diese Informationen ebenfalls interessant.

Sie verraten:

• Verantwortlichkeiten
• Hierarchien
• Führungskräfte
• Ansprechpartner
• interne Strukturen

Dadurch lassen sich Spear-Phishing-Kampagnen wesentlich glaubwürdiger gestalten.

Schritt 3: Dokumente analysieren

Ein besonders unterschätzter Bereich sind veröffentlichte Dokumente.

SpiderFoot kann automatisch nach folgenden Dateitypen suchen:

• PDF
• DOCX
• XLSX
• PPTX

Auf vielen Webseiten befinden sich hunderte oder sogar tausende Dokumente.

Dazu gehören:

• Ratsvorlagen
• Satzungen
• Ausschreibungen
• Präsentationen
• Schulungsunterlagen

Für Angreifer sind diese Dokumente eine wahre Fundgrube.

Metadaten in Dokumenten

Viele Dokumente enthalten zusätzliche Informationen.

Beispiele:

• Autorenname
• Benutzername
• Softwareversion
• Betriebssystem
• Erstellungsdatum

Ein PDF könnte beispielsweise verraten:

Autor: M.Mustermann
Erstellt mit: Microsoft Word 365

Solche Informationen helfen Angreifern dabei, die eingesetzte Softwarelandschaft besser zu verstehen.

Dokumenteninhalte

Auch die Inhalte selbst können interessant sein.

Beispiele:

• interne Durchwahlen
• Projektnamen
• Servernamen
• Netzwerkbezeichnungen
• Ansprechpartner

Selbst scheinbar harmlose Informationen können später für Social Engineering genutzt werden.

Schritt 4: Social Media auswerten

Viele Organisationen betreiben heute mehrere Social-Media-Kanäle.

Typische Plattformen:

• Facebook
• Instagram
• LinkedIn
• X
• YouTube

SpiderFoot kann Verknüpfungen zu diesen Profilen erkennen.

Warum Social Media interessant ist

Mitarbeiter veröffentlichen oft unbeabsichtigt Informationen.

Beispiele:

• Fotos von Arbeitsplätzen
• Screenshots
• Veranstaltungsbilder
• Projektankündigungen

Auf Bildern lassen sich teilweise erkennen:

• Monitore
• Software
• Videokonferenzsysteme
• Gerätehersteller
• Gebäudestrukturen

Diese Informationen können Angreifern helfen, ein detailliertes Bild der Organisation zu erstellen.

Der Blick des Angreifers

Nach Abschluss einer OSINT-Recherche verfügt ein Angreifer möglicherweise über:

• öffentliche Domains
• Subdomains
• E-Mail-Adressen
• Ansprechpartner
• Organigramme
• Zertifikate
• veröffentlichte Dokumente
• Social-Media-Profile
• technische Informationen
• mögliche Angriffspunkte

Und das alles, ohne jemals aktiv ein System angegriffen zu haben.

Die meisten Informationen stammen ausschließlich aus öffentlich zugänglichen Quellen.

Warum Unternehmen selbst OSINT betreiben sollten

Die wichtigste Erkenntnis lautet:

Wenn Sicherheitsverantwortliche diese Informationen finden können, können Angreifer das ebenfalls.

Deshalb sollten Unternehmen und Behörden regelmäßig ihre eigene digitale Angriffsfläche analysieren.

OSINT hilft dabei:

• vergessene Systeme zu entdecken
• veröffentlichte Informationen zu bewerten
• Risiken zu erkennen
• Angriffsflächen zu reduzieren
• Sicherheitsmaßnahmen gezielt zu verbessern

SpiderFoot bietet hierfür einen hervorragenden Einstieg und ermöglicht eine systematische Analyse öffentlich verfügbarer Informationen.

Viele Unternehmen und Behörden unterschätzen, wie viele Informationen über sie bereits öffentlich im Internet verfügbar sind. Domains, Mitarbeiterdaten, Dokumente und Social-Media-Inhalte liefern Angreifern oft wertvolle Hinweise für die Vorbereitung gezielter Angriffe.

SpiderFoot macht diese Informationen sichtbar und hilft Organisationen dabei, ihre eigene Sichtbarkeit aus der Perspektive eines Angreifers zu verstehen. Wer seine digitale Angriffsfläche kennt, kann Risiken deutlich besser bewerten und geeignete Schutzmaßnahmen ergreifen.

OSINT ist deshalb nicht nur ein Werkzeug für Sicherheitsforscher oder Penetrationstester, sondern ein wichtiger Bestandteil moderner Informationssicherheit.