Einleitung
Als Beispiel verwenden wir:
open-how2.de
Ziel dieses Beitrags ist es nicht, irgendeine fremde Webseite „anzugreifen“. Es geht darum zu verstehen, welche Informationen über eine Domain ohnehin öffentlich sichtbar sind. Genau das ist einer der wichtigsten Punkte bei OSINT: Viele sicherheitsrelevante Informationen müssen gar nicht gehackt werden. Sie liegen offen im Internet.
SpiderFoot hilft dabei, diese Informationen automatisiert einzusammeln, zu strukturieren und verständlich darzustellen.
Warum ist eine Domainanalyse wichtig?
Eine Domain ist oft der sichtbarste Einstiegspunkt einer Organisation. Wer eine Webseite betreibt, veröffentlicht automatisch technische Informationen:
- Welche Nameserver werden genutzt?
- Welche Mailserver sind zuständig?
- Welche IP-Adressen sind mit der Domain verbunden?
- Welche Zertifikate wurden ausgestellt?
- Welche Subdomains existieren?
- Welche DNS-Einträge sind öffentlich sichtbar?
- Gibt es Hinweise auf externe Dienstleister?
Für Administratoren und Sicherheitsverantwortliche ist das sehr wertvoll. Denn genau diese Informationen sieht auch ein potenzieller Angreifer.
Eine Domainanalyse beantwortet also die Frage:
Was kann jemand über meine Infrastruktur herausfinden, ohne Zugriff auf interne Systeme zu haben?
Analyseziel: open-how2.de
Für diesen Beitrag nehmen wir beispielhaft die Domain:
open-how2.de
In SpiderFoot kann eine Domain direkt als Ziel eines neuen Scans eingetragen werden. Dazu legt man im Webinterface einen neuen Scan an und wählt als Zieltyp „Domain Name“ beziehungsweise eine vergleichbare Option.
Je nach SpiderFoot-Version und aktivierten Modulen können unterschiedliche Ergebnisse erscheinen. Für diesen Teil konzentrieren wir uns auf fünf zentrale Bereiche:
- DNS
- Whois
- Zertifikate
- Nameserver
- MX-Einträge
1. DNS: Das technische Adressbuch der Domain
DNS steht für „Domain Name System“. Vereinfacht gesagt übersetzt DNS lesbare Domainnamen in technische Informationen.
Wenn jemand eine Webseite aufruft, fragt der Browser im Hintergrund:
Welche IP-Adresse gehört zu open-how2.de?
Die Antwort kommt aus dem DNS-System.
SpiderFoot kann DNS-Einträge automatisch abfragen und auswerten.
Typische DNS-Records sind:
A IPv4-Adresse AAAA IPv6-Adresse CNAME Alias auf einen anderen Hostnamen MX Mailserver TXT Textinformationen, z. B. SPF oder Verifikationen NS zuständige Nameserver SOA technische Zonendaten
Gerade DNS-Einträge verraten oft mehr, als vielen Betreibern bewusst ist.
Was kann man aus DNS-Einträgen erkennen?
DNS-Daten können Hinweise geben auf:
- Hosting-Anbieter
- verwendete Maildienste
- externe Sicherheitsdienste
- Cloud-Plattformen
- Subdomains
- alte oder vergessene Systeme
- Testumgebungen
- Staging-Systeme
Beispiele für auffällige Subdomains wären:
test.example.de dev.example.de vpn.example.de mail.example.de backup.example.de intranet.example.de
Nicht jede Subdomain ist automatisch ein Sicherheitsproblem. Aber jede öffentlich sichtbare Subdomain erweitert die sichtbare Angriffsfläche.
DNS-Analyse mit SpiderFoot
SpiderFoot nutzt verschiedene Module, um DNS-Daten zu sammeln. Dazu gehören unter anderem DNS-Abfragen, Resolver-Funktionen und Module zur Suche nach verwandten Hosts.
Im Ergebnisbereich findet man anschließend verschiedene Events und Entities. Dort können beispielsweise auftauchen:
Domain Name Internet Name IP Address DNS MX Record DNS NS Record DNS TXT Record
Wichtig ist, die Ergebnisse nicht nur einzeln zu betrachten. Interessant wird es, wenn man Zusammenhänge erkennt.
Beispiel:
open-how2.de ↓ A-Record ↓ IP-Adresse ↓ Hosting-Anbieter ↓ weitere Domains auf derselben Infrastruktur
Solche Beziehungen sind für OSINT besonders wertvoll.
2. Whois: Wem gehört die Domain?
Whois-Daten liefern Informationen zur Registrierung einer Domain.
Bei klassischen Whois-Abfragen konnten früher häufig sehr viele personenbezogene Daten sichtbar sein, zum Beispiel Name, Anschrift oder Telefonnummer des Domaininhabers. Durch Datenschutzregelungen wie die DSGVO sind diese Informationen heute bei vielen Domains deutlich eingeschränkt oder anonymisiert.
Trotzdem bleiben Whois- beziehungsweise RDAP-Daten interessant.
Typische Informationen sind:
Registrar Registrierungsdatum Ablaufdatum Nameserver Status der Domain technischer Kontakt, falls sichtbar
Bei einer Domain wie open-how2.de können solche Angaben Hinweise darauf geben, wo die Domain registriert wurde und welche technischen Dienstleister beteiligt sind.
Warum Whois-Daten wichtig sind
Whois-Daten helfen bei der Beantwortung wichtiger Fragen:
- Ist die Domain noch lange registriert?
- Welcher Registrar wird genutzt?
- Gibt es ungewöhnliche Domainstatus?
- Welche Nameserver sind hinterlegt?
- Gibt es historische Hinweise auf frühere Betreiber oder Infrastruktur?
Für Sicherheitsanalysen ist besonders interessant, ob Domains sauber verwaltet werden. Eine vergessene, ablaufende oder falsch konfigurierte Domain kann ein Risiko sein.
Beispiele für Risiken:
Domain läuft bald ab Nameserver zeigen auf alten Anbieter DNS-Zone enthält veraltete Einträge Subdomain zeigt auf nicht mehr genutzten Cloud-Dienst
Gerade sogenannte „dangling DNS records“ können gefährlich werden. Dabei verweist ein DNS-Eintrag noch auf einen Dienst, der gar nicht mehr existiert. Unter bestimmten Umständen kann ein Angreifer diesen Dienst neu registrieren und die Subdomain übernehmen.
3. Zertifikate: Was Certificate Transparency verrät
SSL- beziehungsweise TLS-Zertifikate sorgen dafür, dass Webseiten verschlüsselt über HTTPS erreichbar sind.
Ein Zertifikat enthält unter anderem Informationen darüber, für welche Domain es ausgestellt wurde. Viele Zertifikate werden zusätzlich in öffentlichen Certificate-Transparency-Logs gespeichert.
Diese Logs sind öffentlich einsehbar. Das ist grundsätzlich sinnvoll, denn dadurch können fehlerhaft oder missbräuchlich ausgestellte Zertifikate erkannt werden.
Für OSINT sind diese Logs aber ebenfalls spannend.
Warum?
Weil Zertifikate oft Subdomains enthalten.
Beispiele:
www.example.de mail.example.de shop.example.de api.example.de test.example.de
Dadurch können Hosts sichtbar werden, die man über eine normale Webseite gar nicht findet.
Zertifikatsanalyse mit SpiderFoot
SpiderFoot kann Zertifikatsinformationen auswerten und daraus weitere Ziele ableiten.
Typische Erkenntnisse:
Welche Zertifikate existieren? Für welche Hostnamen wurden sie ausgestellt? Gibt es alte Zertifikate? Gibt es ungewöhnliche Subdomains? Welche Zertifizierungsstelle wurde verwendet?
Gerade bei größeren Organisationen ist die Zertifikatsanalyse oft sehr ergiebig. Manchmal tauchen dort Systeme auf, die eigentlich nur intern gedacht waren, aber versehentlich öffentlich benannt wurden.
Beispiele:
intranet.example.de exchange.example.de vpn.example.de citrix.example.de portal.example.de
Auch wenn diese Systeme nicht zwingend erreichbar sind, liefern ihre Namen Informationen über die eingesetzte Infrastruktur.
4. Nameserver: Wer verwaltet die DNS-Zone?
Nameserver sind die Systeme, die für die DNS-Antworten einer Domain zuständig sind.
Für eine Domain können beispielsweise folgende Nameserver eingetragen sein:
ns1.provider.de ns2.provider.de
Oder:
ns-cloud-a1.googledomains.com ns-cloud-a2.googledomains.com
Die Nameserver verraten häufig, bei welchem Anbieter die DNS-Zone verwaltet wird.
Das kann sein:
- klassischer Hoster
- Domainregistrar
- Cloudanbieter
- CDN-Anbieter
- spezialisierter DNS-Dienst
- eigener Nameserver
Was sagen Nameserver über eine Domain aus?
Nameserver können Hinweise geben auf:
- Hosting-Struktur
- externe Dienstleister
- Cloud-Nutzung
- Redundanz
- technische Professionalität
- mögliche Fehlkonfigurationen
Ein sauberer Nameserver-Aufbau ist wichtig. Werden nur sehr wenige oder schlecht konfigurierte Nameserver genutzt, kann das ein Stabilitätsrisiko sein.
Auch interessant ist die Frage:
Sind die Nameserver selbst Teil derselben Domain?
Beispiel:
ns1.example.de ns2.example.de
Das ist nicht automatisch falsch. Es muss aber sauber konfiguriert sein. Sonst kann es zu Abhängigkeiten kommen, bei denen die Domain im Störungsfall schwerer erreichbar ist.
Zone Transfer: Ein alter, aber wichtiger Prüfpunkt
Ein besonders kritischer Punkt ist der sogenannte DNS Zone Transfer.
Ein Zone Transfer ist eigentlich für die Synchronisierung zwischen Nameservern gedacht. Ist er falsch konfiguriert, kann ein fremder Client unter Umständen die komplette DNS-Zone abrufen.
Das wäre problematisch, weil dadurch alle Einträge sichtbar werden könnten:
www mail vpn backup dev test internal
Moderne Systeme sind in der Regel dagegen geschützt. Trotzdem prüft SpiderFoot solche Dinge, weil Fehlkonfigurationen immer wieder vorkommen.
5. MX-Einträge: Welche Mailserver sind zuständig?
MX steht für „Mail Exchanger“. MX-Einträge legen fest, welche Server E-Mails für eine Domain annehmen.
Ein typischer MX-Eintrag sieht vereinfacht so aus:
open-how2.de → mail.example.net
Oder bei Cloud-Maildiensten:
example-de.mail.protection.outlook.com
MX-Einträge sind für OSINT sehr interessant, weil sie viel über die E-Mail-Infrastruktur verraten.
Man kann erkennen:
- ob ein eigener Mailserver genutzt wird
- ob Microsoft 365 genutzt wird
- ob Google Workspace genutzt wird
- ob ein externer Hoster zuständig ist
- ob ein Mail-Security-Gateway vorgeschaltet ist
SPF, DKIM und DMARC
Neben den eigentlichen MX-Einträgen sind auch TXT-Records für E-Mail-Sicherheit wichtig.
Drei Begriffe spielen dabei eine zentrale Rolle:
SPF DKIM DMARC
SPF
SPF legt fest, welche Server E-Mails im Namen einer Domain versenden dürfen.
Beispiel:
v=spf1 include:example.net -all
Ein sauberer SPF-Eintrag hilft dabei, E-Mail-Spoofing zu erschweren.
DKIM
DKIM versieht E-Mails mit einer digitalen Signatur. Der öffentliche Schlüssel wird über DNS veröffentlicht.
DMARC
DMARC legt fest, wie empfangende Mailserver mit verdächtigen E-Mails umgehen sollen.
Beispiele:
p=none p=quarantine p=reject
Aus Sicherheitssicht ist p=reject besonders stark, muss aber sauber vorbereitet werden.
Was SpiderFoot bei MX und Mail erkennt
SpiderFoot kann Mailserver und mailbezogene DNS-Einträge sichtbar machen.
Mögliche Ergebnisse:
Mailserver MX Record TXT Record SPF Policy DMARC Policy IP Address Hostname Provider
Damit lässt sich schnell erkennen, ob die E-Mail-Infrastruktur grundsätzlich nachvollziehbar und sauber aufgebaut ist.
Typische Fragen:
Gibt es SPF? Gibt es DMARC? Ist DMARC nur auf p=none gesetzt? Sind alte Mailserver sichtbar? Verweisen MX-Einträge auf externe Dienstleister? Gibt es mehrere Mailwege?
Praktischer Ablauf in SpiderFoot
Ein Domain-Scan läuft in SpiderFoot grundsätzlich sehr einfach ab.
Schritt 1: Neuen Scan anlegen
Im Webinterface wird ein neuer Scan erstellt.
Als Ziel wird eingetragen:
open-how2.de
Als Zieltyp wird Domain gewählt.
Schritt 2: Scan-Profil auswählen
Für eine erste Analyse reicht ein passives oder vorsichtiges Profil.
Geeignet sind zum Beispiel:
Footprint Passive Investigate
Für produktive oder fremde Domains sollte man mit passiven Scans beginnen. Dabei werden vor allem öffentliche Datenquellen abgefragt, ohne aktiv gegen das Zielsystem zu scannen.
Schritt 3: Module prüfen
Vor dem Start lohnt sich ein Blick auf die aktivierten Module.
Für diesen Beitrag sind besonders relevant:
DNS DNS Resolver DNS Raw Records Whois Certificate Transparency SSL Certificate MX Records TXT Records
Je nach Installation und API-Schlüsseln können weitere Module verfügbar sein.
Schritt 4: Scan starten
Nach dem Start sammelt SpiderFoot automatisch Daten.
Die Ergebnisse erscheinen nach und nach im Webinterface. Je nach Scanprofil und Anzahl der Module kann das wenige Minuten oder deutlich länger dauern.
Schritt 5: Ergebnisse auswerten
Nach dem Scan sollte man nicht nur auf die Menge der Ergebnisse schauen. Wichtig ist die Qualität der Informationen.
Besonders interessant sind:
unerwartete Subdomains alte DNS-Einträge Mailserver externer Anbieter fehlende SPF-/DMARC-Konfiguration ungewöhnliche Zertifikate technische Dienstleister IP-Adressen außerhalb der erwarteten Umgebung
Was ist normal – und was ist auffällig?
Nicht jede gefundene Information ist ein Problem.
Normal sind zum Beispiel:
www-Subdomain MX-Einträge Nameserver A- und AAAA-Records Zertifikate für Hauptdomain und www SPF-Eintrag
Auffällig können dagegen sein:
test- oder dev-Subdomains alte Mailserver vergessene Cloud-Dienste fehlende DMARC-Policy sehr viele unbekannte Hosts Zertifikate für interne Begriffe öffentliche Hinweise auf VPN oder Admin-Portale
Noch einmal: Auffällig bedeutet nicht automatisch unsicher. Es bedeutet nur, dass man genauer hinschauen sollte.
Beispielhafte Bewertung für eine eigene Domain
Nach einem SpiderFoot-Scan könnte man die Ergebnisse in einer einfachen Bewertung zusammenfassen.
BereichFrageBewertungDNSSind nur erwartete Einträge sichtbar?prüfenWhoisIst der Registrar bekannt?prüfenZertifikateGibt es unerwartete Subdomains?prüfenNameserverSind die Nameserver redundant?prüfenMXIst die Mailkonfiguration nachvollziehbar?prüfenSPFIst ein SPF-Eintrag vorhanden?prüfenDMARCGibt es eine wirksame DMARC-Policy?prüfen
Diese Tabelle kann als Grundlage für regelmäßige Überprüfungen dienen.
Warum diese Analyse für Betreiber wichtig ist
Eine Domainanalyse mit SpiderFoot ist kein Selbstzweck. Sie hilft dabei, die eigene Außenwirkung zu verstehen.
Wer eine Domain betreibt, sollte wissen:
- welche Systeme sichtbar sind
- welche Dienstleister erkennbar sind
- welche Mailserver genutzt werden
- welche Subdomains existieren
- welche Zertifikate öffentlich auftauchen
- ob alte Spuren im Internet vorhanden sind
Das ist besonders wichtig für:
- Unternehmen
- Behörden
- Kommunen
- Vereine
- Schulen
- Agenturen
- Hosting-Anbieter
- Betreiber kritischer Anwendungen
Gerade im Kontext von IT-Sicherheit, NIS2, ISO 27001 oder BSI-Grundschutz ist Transparenz über die eigene Angriffsfläche ein wichtiger Baustein.
Rechtlicher Hinweis
Die Analyse eigener Domains ist unproblematisch und sinnvoll.
Bei fremden Domains sollte man vorsichtig sein. Passive OSINT-Recherche ist zwar grundsätzlich etwas anderes als ein aktiver Angriff, trotzdem können umfangreiche oder aktive Scans rechtlich und organisatorisch problematisch sein.
Deshalb gilt:
Eigene Domains: ja Kundendomains: nur mit Auftrag Fremde Domains: nur mit Vorsicht und ohne aktive Angriffe
SpiderFoot ist ein Werkzeug. Entscheidend ist, wie es eingesetzt wird.
Eine Domain verrät oft mehr, als man auf den ersten Blick erwartet. DNS-Einträge, Whois-Daten, Zertifikate, Nameserver und MX-Records liefern viele technische Hinweise auf die öffentlich sichtbare Infrastruktur.
SpiderFoot hilft dabei, diese Informationen automatisiert zu sammeln und sinnvoll miteinander zu verknüpfen.
Am Beispiel einer Domain wie open-how2.de lässt sich gut zeigen, welche Informationen öffentlich abrufbar sind und warum Betreiber ihre eigene Außenwirkung regelmäßig prüfen sollten.
Die wichtigste Erkenntnis lautet:
Was SpiderFoot findet, kann grundsätzlich auch ein Angreifer finden.
Deshalb sollte OSINT nicht nur als Werkzeug für Sicherheitsforscher verstanden werden, sondern als wichtiger Bestandteil der eigenen IT-Sicherheitsstrategie.
Im nächsten Teil der Serie geht es um Subdomains und Infrastruktur. Dort schauen wir uns an, wie SpiderFoot versteckte oder vergessene Systeme sichtbar machen kann.
