OSINT (Open Source Intelligence) ist die systematische Auswertung öffentlich zugänglicher Quellen, um Informationen über eine Organisation, ihre Systeme und ihre Mitarbeitenden zu gewinnen.
OSINT steht für Open Source Intelligence: die gezielte Sammlung und Auswertung von Informationen aus frei zugänglichen Quellen. Dazu zählen Unternehmenswebsites, Handelsregister, Stellenanzeigen, Karriereprofile, Pressemitteilungen, Social-Media-Beiträge, technische Register wie DNS und Zertifikatsprotokolle, Code-Repositories, Internet-Scanner sowie Datenbanken mit Zugangsdaten aus früheren Datenlecks. Für ein Red Team ist OSINT der erste und oft ergiebigste Schritt der Reconnaissance: Es berührt keine Systeme des Ziels und hinterlässt dort keine Spuren.
Der Wert liegt in der Kombination. Eine einzelne Stellenanzeige, die „Erfahrung mit Citrix und SAP“ verlangt, ist harmlos. Zusammen mit dem Namen des IT-Leiters aus einem Karriereprofil, dem E-Mail-Format aus einer Pressemitteilung und einem Passwort aus einem alten Datenleck wird daraus ein Angriffsplan.
Was ein Red Team per OSINT findet
- Technische Angriffsfläche: Subdomains, IP-Bereiche, exponierte Dienste, VPN-Portale, Cloud-Mandanten, vergessene Testsysteme, eingesetzte Produkte und Versionen.
- Organisation und Personen: Organigramme, Zuständigkeiten, Namensschema der E-Mail-Adressen, neue Mitarbeitende (besonders empfänglich für Täuschung), Dienstleister und deren Ansprechpartner.
- Interna: Dokumente mit Metadaten, Präsentationen mit Netzplänen, Fotos mit Ausweisen oder Bildschirminhalten, Konfigurationsdateien in öffentlichen Repositories.
- Kompromittierte Zugangsdaten: E-Mail-Adressen und Passwörter aus Datenlecks Dritter, die häufig wiederverwendet werden.
- Physische Informationen: Gebäudepläne, Zugangssysteme, Ausweisdesigns, Lieferantenlogos, Arbeitszeiten – Grundlage für Physical Red Teaming.
OSINT ist passiv. Sobald das Team Systeme des Ziels direkt anspricht, etwa durch Portscans, beginnt die aktive Reconnaissance.
Bedeutung für Unternehmen
Alles, was wir per OSINT finden, finden echte Angreifer ebenfalls – oft schneller, weil sie Werkzeuge im großen Maßstab einsetzen. Laut BSI-Lagebericht 2025 fanden sich bei 47 Prozent der untersuchten IP-Adressen öffentlich erreichbare sensible Informationen. Gezieltes Spear Phishing und Vishing beruhen fast vollständig auf OSINT: Je präziser die Vorinformation, desto glaubwürdiger die Täuschung.
Ein typischer Fehler ist, die eigene Außenwirkung nicht zu kennen. Viele Organisationen wissen nicht, welche Subdomains sie betreiben, welche Dokumente mit internen Metadaten im Netz liegen oder welche Zugangsdaten ihrer Mitarbeitenden in Leak-Datenbanken kursieren. Ein zweiter Fehler ist die Annahme, Informationen ließen sich „zurückholen“ – das Internet vergisst selten.
Praxis-Hinweise
- Lassen Sie regelmäßig eine OSINT-Analyse aus Angreifersicht erstellen und gleichen Sie das Ergebnis mit Ihrem Inventar ab; Attack Surface Management automatisiert den technischen Teil.
- Prüfen Sie Dokumente vor der Veröffentlichung auf Metadaten und entfernen Sie Netzpläne, Nutzernamen und interne Pfade.
- Überwachen Sie Leak-Datenbanken auf Ihre Domänen und erzwingen Sie Passwortwechsel plus MFA bei Treffern.
- Schulen Sie Mitarbeitende, welche Informationen in Karriereprofilen und sozialen Netzwerken für Angreifer nützlich sind – ohne Verbote, mit Beispielen.
- Bedenken Sie Lieferanten: Deren Referenzlisten und Fallstudien verraten oft Ihre Systemlandschaft.