Die Grenze zwischen Open Source Intelligence (OSINT) und Reconnaissance wird häufig als Grauzone beschrieben. Beide umfassen das Sammeln von Informationen, nutzen häufig dieselben Werkzeuge und können dieselbe Untersuchung unterstützen. Die Unterscheidung ist dennoch wichtig: Sie beeinflusst, wie wir unsere Methoden beschreiben, operationelle Risiken bewerten und den Umfang eines Security Assessments festlegen.
Ich finde es hilfreich, drei Fragen voneinander zu trennen: Woher stammen die Informationen? Warum sammeln wir sie? Wie beschaffen wir sie?
OSINT befasst sich mit öffentlich verfügbaren Informationen und der Analyse, durch die daraus verwertbare Intelligence entsteht. Reconnaissance befasst sich mit dem Sammeln von Informationen über ein Ziel zur Unterstützung eines übergeordneten Ziels. Eine Aktivität kann daher sowohl OSINT als auch Reconnaissance sein.
Was OSINT umfasst
OSINT umfasst das Sammeln, Bewerten und Analysieren öffentlich verfügbarer Informationen, um eine konkrete Frage zu beantworten. Zu den Quellen gehören Suchmaschinen, soziale Medien, Karten, Nachrichtenberichte, öffentliche Register, Websites und Archive.
Die Einsatzmöglichkeiten gehen weit über Cybersicherheit hinaus:
- Unterstützung bei der Suche nach vermissten Personen anhand relevanter öffentlicher Informationen.
- Auffinden und Verifizieren öffentlich verfügbarer Informationen, die für strafrechtliche Ermittlungen relevant sind.
- Bewertung von Bedrohungen für Personen, Organisationen oder Veranstaltungen.
- Unterstützung des investigativen Journalismus durch Quellenprüfung und Verifikation.
- Durchführung von Due-Diligence-Prüfungen bei Lieferanten, Auftragnehmern und Geschäftsbeziehungen.
- Vorbereitung autorisierter Security Assessments durch die Identifizierung exponierter Assets, Technologien, Domains und Netzwerkbereiche.
Diese Tätigkeiten erfordern Urteilsvermögen. Einen Datensatz zu finden ist nur der Anfang. Wir müssen außerdem feststellen, ob er authentisch, aktuell, relevant und dem Untersuchungsgegenstand korrekt zugeordnet ist.
Warum OSINT wichtig ist
OSINT hilft uns zu verstehen, was ein außenstehender Beobachter über eine Organisation herausfinden kann.
Ein Unternehmen kann seine eingesetzten Technologien durch Stellenanzeigen offenlegen, Geschäftsbeziehungen durch öffentliche Mitteilungen sichtbar machen oder Infrastruktur über DNS- und Zertifikatsdaten preisgeben. Für sich betrachtet können diese Details gewöhnlich erscheinen. Zusammengenommen können sie ein nützliches Bild der Organisation und ihrer Angriffsfläche ergeben.
Öffentliche Quellen können einen praktischen und vergleichsweise kostengünstigen Ausgangspunkt bieten. Die Arbeit erfordert dennoch Zeit, Fachwissen und Verifikation; einige Quellen setzen außerdem einen kostenpflichtigen Zugang voraus.
Öffentliche Verfügbarkeit garantiert keine Richtigkeit. Eine Quelle kann veraltet, unvollständig oder absichtlich irreführend sein. Zuverlässige Analyse erfordert, wichtige Aussagen durch weitere Quellen zu bestätigen und die Belege hinter jeder Schlussfolgerung zu dokumentieren.
Passive und aktive Informationsgewinnung
Die Begriffe „passives OSINT“ und „aktives OSINT“ werden uneinheitlich verwendet. Für technische Sicherheitsarbeit beschreibe ich lieber die tatsächliche Erhebungsmethode und ob sie direkt mit dem Ziel interagiert.
Passive Reconnaissance nutzt bereits vorhandene Informationen, ohne die Systeme des Ziels direkt zu untersuchen. Beispiele sind:
- Durchsuchen von Nachrichtenberichten und Webarchiven.
- Auswertung öffentlich zugänglicher Inhalte in sozialen Medien.
- Untersuchung öffentlicher Register und Zertifikatsdaten.
- Suche in Infrastrukturdaten, die bereits von einem Drittanbieter erhoben wurden.
Dieser Ansatz kann die direkte Sichtbarkeit gegenüber dem Ziel reduzieren und einen nützlichen Ausgangspunkt bieten. Zu seinen Einschränkungen gehören veraltete Daten, unvollständige Abdeckung und Unsicherheit darüber, wie die ursprünglichen Daten erhoben wurden.
Aktive Reconnaissance interagiert mit den Systemen des Ziels, um Informationen zu gewinnen. Beispiele sind Portscans, Service Enumeration und andere gezielte Anfragen, mit denen technische Details ermittelt werden sollen.
Aktive Methoden können aktuellere Beobachtungen liefern, können jedoch auch Logs erzeugen, Alarme auslösen oder Systeme beeinflussen. Ihr Einsatz im Rahmen eines Security Assessments erfordert einen klar definierten Scope und eine entsprechende Autorisierung.
Die Unterscheidung hängt von der tatsächlich ausgeführten Handlung ab. Das Durchsuchen eines Archivs und das Scannen eines Servers können dieselbe Untersuchung unterstützen, haben aber unterschiedliche operationelle Auswirkungen.
Direkter Kontakt und eingeschränkt zugängliche Informationen
Meine ursprüngliche Frage zu „aktivem OSINT“ betrifft auch Aktivitäten wie die direkte Kontaktaufnahme mit Personen, Social Engineering oder die Registrierung für den Zugriff auf einen Produktkatalog.
Diese Fälle sollten gesondert betrachtet werden.
Direkter Kontakt führt eine zwischenmenschliche Erhebungsmethode ein. Informationen, die privat in einem Gespräch gewonnen werden, können außerhalb von OSINT liegen, selbst wenn die Untersuchung mit öffentlichen Quellen begonnen hat. Social Engineering im Rahmen eines Red-Team-Assessments sollte ausdrücklich von der Autorisierung des Engagements abgedeckt sein.
Eine Registrierung allein entscheidet nicht über die Einordnung. Ein Katalog, auf den jeder nach Erstellung eines gewöhnlichen Kontos zugreifen kann, unterscheidet sich von Informationen, die nur genehmigten Kunden oder Mitarbeitern zugänglich sind. Zugangsbedingungen, die gewonnenen Informationen und die verwendete Methode spielen dabei eine Rolle.
Eine Aktivität als OSINT zu bezeichnen, sagt zu wenig darüber aus, ob sie angemessen oder rechtmäßig ist.
Shodan: Passive Recherche, Sichtbarkeit beim Anbieter
Shodan zeigt gut, warum die Perspektive entscheidend ist.
Wenn ich vorhandene Shodan-Datensätze durchsuche, betreibe ich gegenüber dem Ziel grundsätzlich passive Reconnaissance. Ich werte Daten aus, die bereits von einem Drittanbieter erhoben wurden. Fordere ich dagegen einen neuen Scan an, kommt aktive Datenerhebung hinzu.
Passive Reconnaissance hinterlässt dennoch einen operationellen Footprint.
Ich interagiere mit einem Drittanbieter, und Kontodaten oder Verbindungsmetadaten können diese Aktivität mir zuordenbar machen. Die OPSEC-Bewertung umfasst deshalb auch, was der Anbieter potenziell über mich und meine Untersuchungsinteressen erfahren kann.
Diese Unterscheidung halte ich für wichtig: Die Sichtbarkeit gegenüber dem Ziel und die Sichtbarkeit gegenüber dem Anbieter sind zwei getrennte Fragen. Eine Methode kann gegenüber dem Ziel passiv sein und gleichzeitig Informationen über den Untersuchenden gegenüber einem Vermittler offenlegen.
Die Bezeichnung „passiv“ garantiert keine Anonymität. Bei der Bewertung der Sichtbarkeit gegenüber einem Anbieter sollte außerdem zwischen dokumentierten Praktiken und Annahmen über Logging oder Aufbewahrung unterschieden werden.
Ein Tool ist nur ein Teil der Methode
Dieselbe Überlegung gilt für Werkzeuge wie Amass, die unterschiedliche Erhebungsmethoden unterstützen.
Ein Tool kann Informationen aus öffentlichen Quellen abrufen, DNS-bezogene Operationen durchführen oder eine direktere Interaktion unterstützen. Der Name des Tools allein beschreibt nicht, was während einer Untersuchung tatsächlich passiert ist. Konfiguration, gewählter Modus und tatsächliche Anfragen bestimmen die Aktivität.
Für mich sind die entscheidenden Fragen praktisch: Was tut diese Operation? Mit welchen Systemen oder Personen interagiert sie? Welche Spuren kann sie erzeugen? Ist sie vom Engagement abgedeckt?
Diese Fragen bieten eine sinnvollere Entscheidungsgrundlage, als einem gesamten Tool ein einziges Label zuzuweisen.
Kann OSINT rechtliche Probleme verursachen?
Ja. Öffentlich zugängliche Informationen können dennoch Beschränkungen hinsichtlich Erhebung, Verarbeitung und Weiterverwendung unterliegen.
Personenbezogene Daten sind dabei besonders relevant. Ein öffentliches Profil, ein Foto oder eine Standortangabe kann sich auf eine identifizierbare Person beziehen. Wenn die DSGVO Anwendung findet, benötigt die Verarbeitung dieser Informationen eine geeignete Rechtsgrundlage. Einwilligung ist eine mögliche Rechtsgrundlage; je nach Umständen können auch andere greifen.
Eine Untersuchung muss außerdem Zweckbindung, Datenminimierung, Richtigkeit, Aufbewahrung und gegebenenfalls bestehende Transparenzpflichten berücksichtigen. Die bloße öffentliche Sichtbarkeit löst diese Anforderungen nicht auf. Besonders sensible Daten können zusätzliche Anforderungen mit sich bringen.
Ebenso müssen Plattformbedingungen und Zugriffsbeschränkungen getrennt von datenschutzrechtlichen Verpflichtungen bewertet werden.
Geleakte oder gestohlene Informationen werfen zusätzliche Fragen zu Herkunft, rechtmäßigem Zugriff und zulässiger Verwendung auf. Informationen online zu finden bedeutet nicht automatisch, dass ihre Beschaffung oder Verarbeitung erlaubt ist. Hacking und Phishing sind eigenständige Beschaffungsmethoden mit eigenen rechtlichen Implikationen.
Die Rechtmäßigkeit einer Aktivität hängt vom konkreten Verhalten, Kontext und anwendbaren Recht ab.
Die Autorisierung muss die tatsächliche Arbeit beschreiben
Für Security Assessments empfehle ich eine schriftliche Autorisierung, die Systeme, zulässige Techniken, Testzeitraum und verantwortliche Ansprechpartner eindeutig festlegt.
Wenn Social Engineering oder Infrastruktur Dritter beteiligt ist, müssen diese Aktivitäten ausdrücklich im Scope berücksichtigt werden.
Ein Dokument, das manchmal informell als „Get-out-of-jail-free card“ bezeichnet wird, ist ein Autorisierungsnachweis. Sein praktischer Wert hängt davon ab, ob die autorisierende Partei über die erforderliche Befugnis verfügt und ob das Dokument die tatsächlich durchgeführten Arbeiten korrekt abdeckt. Es kann weder pauschale Immunität schaffen noch Rechte an nicht beteiligten Systemen gewähren.
Klare Grenzen helfen dem Untersuchenden außerdem bei Entscheidungen während des Engagements: wann fortzufahren ist, wann gestoppt werden muss und wer bei einer unerwarteten Situation zu kontaktieren ist.
Von der Informationssammlung zur verantwortungsvollen Analyse
OSINT und Reconnaissance überschneiden sich, weil öffentliche Informationen eine zielgerichtete Untersuchung unterstützen können. Ihr Verhältnis wird klarer, wenn Quelle, Zweck und Erhebungsmethode beschrieben werden.
Mein Ansatz ist, die Herkunft von Informationen zu dokumentieren, wichtige Zusammenhänge zu verifizieren und Schlussfolgerungen proportional zur Beweislage zu halten. Außerdem bewerte ich, wer die Untersuchung beobachten kann – nicht nur das Ziel, sondern auch die Dienste, die dabei genutzt werden.
Der Wert einer Untersuchung hängt von der Qualität ihrer Analyse und von der Verantwortung ab, mit der ihre Methoden eingesetzt werden.