OSINT: was offene Quellen über dich verraten und wer sie nutzt

Am Abend des 1. September 2019 soll in Tokio ein Mann einer jungen Sängerin vom Bahnhof bis zu ihrer Wohnung gefolgt sein und sie dort angegriffen haben. So berichtete es die BBC gut einen Monat später unter Berufung auf japanische Medien. Die Adresse soll er aus einem Selfie gewonnen haben. In den Pupillen der Frau spiegelte sich ein Bahnhof, den er über Google Street View wiedererkannte. Das ist OSINT in seiner unangenehmsten Form: Open Source Intelligence, die Auswertung offener Quellen.

Nach der Schilderung des 26-jährigen Verdächtigen gegenüber der Polizei las er aus Videos, die sie in ihrer Wohnung aufgenommen hatte, an Vorhängen und am Lichteinfall dann noch das Stockwerk ab. Die Frau hatte nichts Geheimes verraten, keine Adresse und keinen Ortsnamen. Ein Spezialwerkzeug war nach dieser Schilderung auch nicht nötig. Es reichte, ihre öffentlichen Bilder sehr lange und sehr genau anzusehen und die Teile zusammenzusetzen.

Die üblichen Erklärungen zu OSINT sind für die Leute geschrieben, die recherchieren. Sie listen Werkzeuge auf und Suchtricks. Dieser Text geht den umgekehrten Weg. Er erklärt, was OSINT ist, wie jemand mit dieser Methode von deinem Namen zu einem gezielten Angriff kommt, und wie du selbst nachsehen kannst, was er dabei finden würde.

Was ist OSINT?

Der Begriff kommt aus der Welt der Geheimdienste. Das Bundesamt für Verfassungsschutz beschreibt OSINT in seinem Glossar als “Informationsgewinnung aus offenen Quellen”. Dazu zählt es die Auswertung von Internetseiten, Presseerzeugnissen und Büchern und die gezielte Recherche nach allen weiteren öffentlich zugänglichen Informationen “zu einer Person oder zu einem Objekt”. Der Bundesnachrichtendienst führt OSINT als eine der klassischen Quellenarten, neben Auskünften von Menschen, Luftbildern und abgefangener Kommunikation.

Bemerkenswert ist ein Satz, den beide Behörden fast gleich formulieren: Offene Informationen stehen meist am Anfang. Bevor ein Dienst einen Agenten losschickt oder eine Leitung anzapft, liest er, was ohnehin herumliegt. Die US-Geheimdienste haben im März 2024 sogar eine eigene OSINT-Strategie veröffentlicht.

Mit Open-Source-Software hat das nichts zu tun. “Open source” heißt hier nur, dass die Quelle offen zugänglich ist. Und “Intelligence” meint keine Intelligenz, sondern gesammelte und ausgewertete Information. Die OSINT Bedeutung auf Deutsch ist also schlicht: Aufklärung aus öffentlichen Quellen.

Was heute als offene Quelle zählt, ist enorm. Zeitungsarchive und Handelsregister gehören dazu, aber auch jedes öffentliche Profil, jedes hochgeladene Foto, jede Bewertung, jede Teilnehmerliste eines Volkslaufs, die als PDF auf einer Vereinsseite liegt. Zusammengenommen ergibt das deinen digitalen Fußabdruck. Die einzelnen Spuren sind meist harmlos. Aufschlussreich wird es erst, wenn jemand sie nebeneinanderlegt.

Rechtlich ist das Lesen dieser Quellen kein Problem, sie sind ja öffentlich. Wer aber gezielt Angaben über eine bestimmte Person sammelt, zusammenführt und speichert, verarbeitet personenbezogene Daten, und dafür gilt in Europa die Datenschutz-Grundverordnung. Dass jede einzelne Angabe irgendwo offen stand, ändert daran nichts. Wer die Ergebnisse nutzt, um jemandem nachzustellen oder ihn zu betrügen, landet ohnehin im Strafrecht. Täter hält das erfahrungsgemäß nicht auf. Wer aus Neugier über andere recherchiert, sollte die Grenze aber kennen.

Wer OSINT nutzt, und wofür

Die Methode ist neutral. Wer sie beherrscht, kann damit Verbrechen aufklären oder welche vorbereiten, und beides passiert.

Das bekannteste Beispiel für die gute Seite ist der Abschuss von Flug MH17 über der Ostukraine am 17. Juli 2014, bei dem 298 Menschen starben. Die Recherchegruppe Bellingcat setzte aus Fotos und Videos, die Anwohner und Soldaten in sozialen Netzwerken gepostet hatten, die Route eines Flugabwehrsystems zusammen. Ihr Ergebnis: ein Buk-Startfahrzeug der russischen 53. Flugabwehrraketenbrigade aus Kursk. Am 24. Mai 2018 kam das internationale Ermittlungsteam der beteiligten Staaten zum selben Schluss und sagte auf der Pressekonferenz ausdrücklich, Bellingcat sei schon früher zu dieser Schlussfolgerung gekommen. Die Ermittler hatten ihre eigenen, gerichtsfesten Beweise. Die offenen Quellen waren trotzdem zuerst da.

Neben Journalisten arbeiten Sicherheitsforscher mit OSINT, wenn sie prüfen, wie angreifbar eine Firma von außen wirkt. Unternehmen nutzen es für Hintergrundprüfungen, Behörden für Ermittlungen. Und auf der anderen Seite stehen Betrüger, Stalker und Erpresser, die genau dasselbe tun, nur mit einem anderen Ziel.

Wie aus öffentlichen Infos ein gezielter Angriff wird

Für dich als Person, über die recherchiert wird, ist dieser Teil der wichtigste. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt ihn auf seiner Seite zu Social Engineering so: Soziale Netzwerke böten Tätern “eine einfache Möglichkeit, im Vorfeld des Angriffs eine Vielzahl von Hintergrundinformationen” über Personen zu sammeln und zu verknüpfen. Damit lasse sich ein Angriff gezielter ausrichten und leichter Vertrauen aufbauen, “etwa durch den Verweis auf Hobbys, Freunde oder Kollegen”.

Im Vorfeld des Angriffs, das ist der entscheidende Teil. Die Recherche hinterlässt bei dir keine Spur. Niemand bekommt eine Benachrichtigung, wenn ein Fremder sein Profil liest oder seinen Namen in eine Suchmaschine tippt. Du merkst erst etwas, wenn die Mail, der Anruf oder die Person vor der Tür auftaucht, und dann wirkt sie erstaunlich gut informiert.

Die Kette dahinter ist meist unspektakulär. Sie beginnt bei einem Namen und arbeitet sich vor.

Wie Angreifer deine Mailadresse gegen Konten prüfen

Ein Glied der Kette verdient einen genaueren Blick, weil es so wenig bekannt ist. Viele Websites verraten, ob es zu einer Mailadresse ein Konto gibt.

Das passiert an drei Stellen. Bei der Anmeldung meldet die Seite “Passwort falsch” statt “Anmeldung fehlgeschlagen” und bestätigt damit, dass die Adresse bekannt ist. Bei der Registrierung heißt es “Diese Adresse wird bereits verwendet”. Und beim Zurücksetzen des Passworts unterscheidet sich die Antwort je nachdem, ob ein Konto existiert. Das Open Worldwide Application Security Project, kurz OWASP, eine gemeinnützige Sammlung von Sicherheitsstandards für Webentwickler, beschreibt diese Schwäche als Account-Enumeration. In seinem Prüfleitfaden steht, dass Webanwendungen oft verraten, ob ein Benutzername existiert, mal durch Fehlkonfiguration, mal mit Absicht. Selbst die Antwortzeit kann es zeigen, weil das Verschicken einer Mail einige hundert Millisekunden länger dauert als gar nichts zu tun.

Für einen Angreifer ist das Gold wert. Weiß er, dass du bei einem bestimmten Bezahldienst, einem Paketdienst oder einer Bank ein Konto hast, kann er eine Phishing-Mail schreiben, die genau dazu passt. Und er weiß, wo er Passwörter aus alten Datenlecks ausprobieren kann, ein Vorgehen, das als Credential Stuffing bekannt ist.

Abstellen kannst du das nicht, das liegt bei den Betreibern. OWASP empfiehlt ihnen generische Antworten wie “Falls diese Adresse bei uns registriert ist, schicken wir dir eine Mail”. Du kannst aber dafür sorgen, dass das Wissen wenig nützt. Eine eigene Adresse oder einen Alias pro wichtigem Dienst kennt kein Fremder, wie das geht, steht in unserem Text über Wegwerf-Adressen und Aliasse. Einzigartige Passwörter machen alte Lecks wertlos. Und mit Passkeys oder einem zweiten Faktor reicht ein erbeutetes Passwort allein nicht mehr.

Eine Mail vom Chef, der nie geschrieben hat

Wie die Kette in einer Firma aussieht, schilderte das Handelsblatt im August 2017. Am 5. Juli 2016 um 9.43 Uhr bekam eine Buchhalterin eine Mail ihres angeblichen Chefs. Die Zeitung nennt sie nur unter geändertem Namen. Es gehe um eine Übernahme in Asien, höchste Diskretion. Zwei Stunden später kam die Bitte, 998.231 Euro nach Hongkong zu überweisen. Die Täter hatten die Firma laut dem Bericht monatelang ausgespäht. Auf dem gefälschten Zahlungsauftrag standen die Unterschriften zweier Geschäftsführer, kopiert wahrscheinlich aus dem Handelsregister. Das Geld floss nicht, weil die Firma nach dem Vier-Augen-Prinzip arbeitete und jemand beim echten Chef nachfragte.

Der damalige BSI-Präsident Arne Schönbohm sagte der Zeitung: “Die Täter sind genau vorbereitet. Sie wissen, wer im Unternehmen Gelder anweisen darf, und kennen selbst Kleinigkeiten.” Als Beispiel nannte er, ob sich die Mitarbeiter duzen. Die Polizeiliche Kriminalprävention zählt die Quellen für solche Vorbereitungen nüchtern auf: Wirtschaftsberichte, Handelsregister, Werbebroschüren, die Homepage, und soziale Netzwerke, in denen Mitarbeiter ihre Funktion und persönliche Details preisgeben.

Das Ausmaß dieser Masche lässt sich zumindest grob beziffern. Das Internet Crime Complaint Center des FBI ist die zentrale Meldestelle der USA für Internetkriminalität. Es zählte zwischen Oktober 2013 und Dezember 2023 weltweit 305.033 gemeldete Fälle von Business Email Compromise, wie der Chef-Betrug dort heißt. Die Summe, um die es dabei ging, lag bei rund 55,5 Milliarden Dollar. Gemeint sind Beträge, die Täter zu erbeuten versuchten oder erbeuteten, und nicht jeder dieser Fälle begann mit einer Recherche in offenen Quellen. Die Zahl zeigt also die Größe der Masche, nicht den Anteil von OSINT daran.

Die Quellen, aus denen sich ein Bild zusammensetzt

Zur OSINT-Reihe auf datashadow gehört inzwischen eine ganze Reihe von Texten, jeder zu einer einzelnen Quelle. Hier ist die Übersicht, jeweils mit der Frage, was sie über dich verraten kann.

Mit Google Dorks wird aus einer gewöhnlichen Suche eine sehr genaue. Befehle wie site: und filetype:pdf holen Protokolle, Listen und Dokumente hervor, die nie für die Öffentlichkeit gedacht waren, aber offen auf einem Server lagen.

Die Personensuche zeigt, was Suchmaschinen, Verzeichnisse und Personensuchdienste über einen Namen zusammentragen. Der Text erklärt auch, wie du Auskunft und Löschung verlangst.

Eine Bilder-Rückwärtssuche findet heraus, wo ein Foto sonst noch im Netz steht. Gesichtssuchmaschinen gehen weiter und suchen nach demselben Gesicht auf ganz anderen Bildern.

Metadaten stecken in Fotos und Dokumenten, oft mit Aufnahmeort, Gerät und Autorenname, ohne dass sie irgendwo angezeigt werden.

Bei einer Telefonnummer reichen manchmal Suchmaschine, Messenger und alte Einträge, um einen Namen dazu zu finden. Bei einer IP-Adresse ist es weniger, als viele befürchten, meist nur ein Anbieter und eine grobe Region.

Satellitenbilder und die Positionsdaten von Flugzeugen und Schiffen zeigen, wie weit offene Daten heute reichen, bis zu Privatjets bekannter Personen. Und unter den öffentlichen Webcams hängen auch private Kameras, deren Besitzer nie vorhatten, ein Livebild zu senden.

Was du längst gelöscht hast, kann in der Wayback Machine weiterleben. Das Webarchiv bewahrt alte Fassungen von Websites auf, samt früherer Kontaktdaten und Mitarbeiterlisten.

Ein Benutzername, den du überall verwendest, verbindet Konten, die du selbst längst getrennt glaubst. Ein Treffer mit Foto oder Klarnamen reicht, und die anderen hängen mit dran.

Der Leak-Check schließlich zeigt, in welchen bekannten Datenlecks deine Mailadresse steckt. Dieselben Lecks sind für Angreifer oft der Einstieg in die Kette von oben.

Selbst nachsehen, was andere sehen

Das Beruhigende an OSINT: Alles, was ein Fremder über dich herausfinden kann, kannst du auch. Und du hast einen Vorteil, denn du weißt, wonach du suchst. Eine Stunde reicht für einen ersten Durchgang.

Fang mit deinem Namen an, in Anführungszeichen, abgemeldet oder im privaten Fenster. Danach dieselbe Suche mit Wohnort, Arbeitgeber oder Verein. Wer mehr Varianten will, findet sie in unserem Text zur Personensuche.

Als Nächstes die Bilder. Dein Profilbild aus dem Berufsnetzwerk oder dem Messenger kommt in eine Rückwärtssuche. Oft taucht es auf Seiten auf, an die du nicht mehr gedacht hast, und verbindet so Profile, die du lieber getrennt gehalten hättest.

Dann die Mailadressen, alle, auch die alten. Ein Leak-Check zeigt, wo sie betroffen waren. Mach dir dazu eine kurze Liste, bei welchen Diensten du mit welcher Adresse angemeldet bist. Das ist genau das Wissen, das sich Angreifer über Anmeldemasken mühsam zusammensuchen.

Danach die Nutzernamen. Viele verwenden seit Jahren denselben, im Forum, im Spiel, beim Kleinanzeigenportal. Eine Suche danach führt oft zu Beiträgen, die du mit deinem echten Namen nie geschrieben hättest.

Zum Schluss ein Blick auf deine eigenen öffentlichen Fotos, und zwar wie der Mann in Tokio sie angesehen hat. Was ist im Hintergrund zu sehen, im Fenster, auf einem Schild, in einer Spiegelung? Wo nötig, die Metadaten entfernen, bevor ein Bild online geht.

Was bleibt

OSINT klingt nach Geheimdienst und ist im Kern Lesen mit Geduld. Das Bundesamt für Verfassungsschutz und der Bundesnachrichtendienst sagen es beide: Offene Quellen stehen am Anfang. Für Angreifer gilt dasselbe. Die Mail, die zu gut passt, der Anruf, der zu viel weiß, beides beginnt meist mit einer Recherche, von der du nichts mitbekommst.

Ganz verschwinden kann niemand aus dem Netz, und das muss auch nicht das Ziel sein. Es reicht, die Teile zu kennen, die herumliegen, und die gefährlichsten davon einzusammeln. Eine Adresse pro Dienst, ein Foto ohne Hausnummer im Hintergrund, ein alter Nutzername, der gelöscht wird: Jedes dieser Teile macht die Kette kürzer. Und wer einmal gesehen hat, was ein Fremder über ihn finden würde, wundert sich später weniger über die Mail, die angeblich vom Chef kommt. Wie du dabei planvoll vorgehst, beschreibt der Artikel über OpSec.

Häufige Fragen

Was ist OSINT?

OSINT steht für Open Source Intelligence, auf Deutsch Informationsgewinnung aus offenen Quellen. Gemeint ist alles, was ohne Einbruch und ohne Sonderrechte zugänglich ist: Websites, Zeitungen, Bücher, öffentliche Register, soziale Netzwerke, Fotos und Videos. Der Begriff stammt aus der Welt der Nachrichtendienste. Das Bundesamt für Verfassungsschutz schreibt, solche Informationen stünden für Nachrichtendienste meist am Anfang ihrer Arbeit. Heute nutzen dieselbe Methode Journalisten, Sicherheitsforscher und Unternehmen, aber eben auch Betrüger.

Was bedeutet OSINT auf Deutsch?

Wörtlich heißt Open Source Intelligence etwa Aufklärung aus offenen Quellen. Mit Open-Source-Software hat das nichts zu tun, "open source" meint hier einfach eine öffentlich zugängliche Quelle. Das Wort Intelligence ist im nachrichtendienstlichen Sinn gemeint, also gesammelte und ausgewertete Information, keine Intelligenz.

Ist OSINT legal?

Öffentlich zugängliche Informationen zu lesen ist erlaubt. Schwieriger wird es bei dem, was danach passiert. Wer Daten über eine bestimmte Person sammelt, zusammenführt und speichert, verarbeitet personenbezogene Daten, und dafür gilt in Europa die Datenschutz-Grundverordnung, auch wenn jede einzelne Angabe öffentlich war. Wer die Informationen nutzt, um jemanden zu verfolgen oder zu betrügen, macht sich strafbar. Öffentlich heißt also nicht, dass man mit den Daten alles machen darf.

Wie finde ich heraus, was im Netz über mich steht?

Am besten mit denselben Schritten, die auch ein Angreifer gehen würde. Such deinen Namen in Anführungszeichen, abgemeldet oder im privaten Fenster, und kombiniere ihn mit Wohnort und Arbeitgeber. Lass ein Profilbild durch eine Bilder-Rückwärtssuche laufen. Prüf deine Mailadressen in einem seriösen Leak-Checker. Gib alte Nutzernamen in die Suche ein. Und schau dir an, welche Fotos von dir öffentlich sind und was sie im Hintergrund zeigen. Für die meisten reicht dafür eine Stunde.

Können Angreifer sehen, bei welchen Diensten meine Mailadresse registriert ist?

Teilweise ja. Manche Websites verraten bei der Anmeldung, bei der Registrierung oder beim Zurücksetzen des Passworts, ob es zu einer Mailadresse schon ein Konto gibt. Das Sicherheitsprojekt OWASP beschreibt diese Schwäche als Account-Enumeration und empfiehlt Betreibern, immer gleich zu antworten. Dazu kommen alte Datenlecks, in denen Mailadressen samt Dienst auftauchen. Du kannst das nicht abstellen, aber du kannst es entwerten: mit getrennten Adressen oder Aliassen, einzigartigen Passwörtern, Passkeys und Zwei-Faktor-Anmeldung.