Die Digitalisierung deutscher Kommunen schreitet voran. Bürgerportale, Online-Dienste, digitale Akten, Schulnetzwerke und Cloud-Anwendungen gehören mittlerweile zum Alltag vieler Städte und Gemeinden. Gleichzeitig wächst jedoch die digitale Angriffsfläche. Cyberkriminelle, Hacktivisten und andere Angreifer suchen gezielt nach öffentlich verfügbaren Informationen, um Schwachstellen zu identifizieren und Angriffe vorzubereiten.
Die schlechte Nachricht: Viele dieser Informationen sind bereits frei im Internet verfügbar.
Die gute Nachricht: Mit Werkzeugen wie SpiderFoot können Kommunen dieselben Informationen selbst finden, bevor es ein Angreifer tut.
In diesem Teil unserer SpiderFoot-Serie betrachten wir die Frage:
„Was findet SpiderFoot über eine Kommune?“
Dabei wird deutlich, warum Open Source Intelligence (OSINT) heute ein wichtiger Baustein moderner Informationssicherheit und NIS2-Compliance ist.
Warum Kommunen ein attraktives Ziel sind
Kommunen verwalten große Mengen sensibler Daten.
Dazu gehören unter anderem:
- Meldedaten
- Sozialdaten
- Jugendhilfedaten
- Personalakten
- Finanzdaten
- Schuldaten
- Geodaten
- Verwaltungsdokumente
Gleichzeitig verfügen viele Verwaltungen über historisch gewachsene IT-Landschaften mit zahlreichen Standorten, Fachverfahren und externen Dienstleistern.
Genau diese Komplexität macht Kommunen für Angreifer interessant.
Bevor ein Angriff beginnt, findet nahezu immer eine Informationsbeschaffung statt. Angreifer möchten wissen:
- Welche Systeme existieren?
- Welche Domains werden genutzt?
- Welche E-Mail-Adressen sind bekannt?
- Welche Schulen oder Außenstellen sind angeschlossen?
- Welche Technologien werden verwendet?
- Welche Dienste sind aus dem Internet erreichbar?
Die Antworten darauf liefern häufig bereits öffentlich zugängliche Quellen.
Das Praxisbeispiel
Nehmen wir eine fiktive Stadtverwaltung als Beispiel.
Ein Sicherheitsverantwortlicher möchte prüfen, welche Informationen öffentlich sichtbar sind.
Als Startpunkt wird lediglich die Hauptdomain der Kommune in SpiderFoot eingegeben.
Innerhalb kurzer Zeit beginnt SpiderFoot damit, zahlreiche Datenquellen auszuwerten und Informationen miteinander zu verknüpfen.
Die Ergebnisse überraschen häufig selbst erfahrene Administratoren.
Schulen und Bildungseinrichtungen entdecken
Viele Kommunen betreiben umfangreiche Schulnetzwerke.
SpiderFoot kann häufig verschiedene Subdomains identifizieren, beispielsweise:
- schulportal.stadt-beispiel.de
- gymnasium.stadt-beispiel.de
- grundschule-west.stadt-beispiel.de
- moodle.stadt-beispiel.de
- cloud.stadt-beispiel.de
Oft werden solche Systeme über Zertifikatsdatenbanken, DNS-Einträge oder Suchmaschinenindizes sichtbar.
Für Angreifer ergeben sich dadurch wertvolle Hinweise:
- Welche Software wird eingesetzt?
- Welche Systeme sind öffentlich erreichbar?
- Welche Standorte existieren?
- Welche Schulen besitzen eigene IT-Infrastrukturen?
Gerade Schulumgebungen gelten häufig als besonders attraktive Ziele, da dort viele Benutzerkonten verwaltet werden.
Außenstellen und dezentrale Einrichtungen
Kommunale Verwaltungen bestehen selten nur aus einem Rathaus.
Typische Außenstellen sind:
- Jugendämter
- Bauhöfe
- Bürgerbüros
- Bibliotheken
- Musikschulen
- Volkshochschulen
- Feuerwehrstandorte
- Freizeiteinrichtungen
SpiderFoot kann über Domains, Zertifikate oder veröffentlichte Dokumente Hinweise auf solche Einrichtungen liefern.
Dadurch entsteht ein wesentlich vollständigeres Bild der tatsächlichen IT-Landschaft.
Nicht selten werden Systeme sichtbar, die zentralen IT-Abteilungen gar nicht vollständig bekannt sind.
Genau hier beginnt das Thema Shadow IT.
Mailserver und Kommunikationsinfrastruktur
Ein weiterer Schwerpunkt ist die Analyse der E-Mail-Infrastruktur.
SpiderFoot untersucht unter anderem:
- MX-Einträge
- Mailserver
- SPF-Konfigurationen
- DKIM-Einstellungen
- DMARC-Richtlinien
Dabei werden häufig Fragen beantwortet wie:
- Welche Mailserver werden genutzt?
- Werden Cloud-Dienste eingesetzt?
- Sind Schutzmechanismen korrekt eingerichtet?
- Gibt es Fehlkonfigurationen?
Für Angreifer sind solche Informationen äußerst wertvoll, da E-Mail nach wie vor einer der häufigsten Angriffsvektoren bleibt.
Phishing-Kampagnen werden oftmals auf Basis öffentlich verfügbarer Informationen vorbereitet.
Öffentliche Dokumente als Informationsquelle
Einer der spannendsten Bereiche von SpiderFoot ist die Analyse öffentlich verfügbarer Dokumente.
Dazu gehören beispielsweise:
- PDF-Dateien
- Word-Dokumente
- Präsentationen
- Tabellen
- Ausschreibungen
- Ratsunterlagen
Diese Dokumente enthalten häufig deutlich mehr Informationen als beabsichtigt.
SpiderFoot kann unter anderem Hinweise finden auf:
- Benutzernamen
- E-Mail-Adressen
- interne Hostnamen
- Softwareversionen
- Dateipfade
- Organisationsstrukturen
In vielen Fällen lassen sich daraus wertvolle Erkenntnisse über die interne IT-Landschaft gewinnen.
Ein scheinbar harmloses PDF kann bereits ausreichend Informationen liefern, um einen gezielten Angriff vorzubereiten.
Zusammenhang mit NIS2
Mit der NIS2-Richtlinie steigen die Anforderungen an die Cybersicherheit öffentlicher Einrichtungen erheblich.
Zu den zentralen Anforderungen gehören:
- Risikomanagement
- Sicherheitsüberwachung
- Schwachstellenmanagement
- Angriffserkennung
- Sicherheitsmaßnahmen entlang der gesamten Angriffsfläche
Genau hier liefert SpiderFoot einen wichtigen Beitrag.
Denn bevor Risiken bewertet werden können, muss zunächst bekannt sein, welche Systeme überhaupt existieren.
SpiderFoot unterstützt dabei:
- Asset Discovery
- Angriffspfadanalysen
- Externe Sicht auf die Infrastruktur
- Erkennung unbekannter Systeme
- Identifikation öffentlich sichtbarer Informationen
Damit wird OSINT zu einem wichtigen Bestandteil eines NIS2-konformen Sicherheitsmanagements.
Zusammenhang mit dem BSI-Grundschutz
Auch im BSI-Grundschutz spielt die Kenntnis der eigenen Informationswerte eine zentrale Rolle.
Viele Bausteine setzen voraus, dass Organisationen ihre Systeme und Kommunikationswege vollständig kennen.
SpiderFoot unterstützt dabei insbesondere:
- Inventarisierung externer Systeme
- Dokumentation öffentlich sichtbarer Assets
- Erkennung neuer Angriffsflächen
- Bewertung von Informationsabflüssen
Regelmäßige OSINT-Analysen können dabei helfen, Veränderungen frühzeitig zu erkennen.
OSINT als Frühwarnsystem
Viele Verwaltungen betrachten Informationssicherheit noch immer überwiegend aus interner Perspektive.
Firewalls, Virenscanner und Patchmanagement sind wichtig – sie zeigen jedoch nur einen Teil des Gesamtbildes.
SpiderFoot ergänzt diese Sicht um die Perspektive eines externen Beobachters.
Die entscheidende Frage lautet:
Was sieht jemand, der keinerlei internen Zugriff besitzt?
Genau diese Sichtweise macht OSINT so wertvoll.
Je früher öffentlich sichtbare Informationen erkannt werden, desto einfacher lassen sich Risiken reduzieren.
Empfehlungen für Kommunen
Für Städte, Gemeinden und Kreisverwaltungen empfiehlt sich ein regelmäßiger OSINT-Check.
Mindestens quartalsweise sollten folgende Bereiche überprüft werden:
- Domains
- Subdomains
- Mailserver
- Zertifikate
- öffentliche Dokumente
- veröffentlichte E-Mail-Adressen
- Datenlecks
- Cloud-Dienste
Die Ergebnisse sollten anschließend in das bestehende Informationssicherheitsmanagement einfließen.
SpiderFoot zeigt eindrucksvoll, wie viele Informationen über Kommunen und Behörden bereits öffentlich verfügbar sind. Schulen, Außenstellen, Mailserver, Dokumente und weitere digitale Spuren lassen sich oft innerhalb weniger Minuten identifizieren.
Für Sicherheitsverantwortliche ist dies keine Bedrohung, sondern eine Chance. Wer dieselben Informationen kennt wie potenzielle Angreifer, kann Risiken frühzeitig erkennen und geeignete Gegenmaßnahmen einleiten.
Im Kontext von NIS2, BSI-Grundschutz und modernen Informationssicherheitsstrategien entwickelt sich OSINT daher zunehmend von einer Spezialdisziplin zu einem festen Bestandteil kommunaler Cybersicherheit. SpiderFoot bietet hierfür einen leistungsfähigen und zugleich leicht zugänglichen Einstieg.
