OSINT-Methodik

Der Grundriss statt der Fassade — OSINT, ohne an der Tür zu klingeln.„Senior ICS-Engineer, Erfahrung mit Siemens S7-1500" — ein Satz aus der Personalabteilung, und der Angreifer hält Port 102, S7comm, per s7-info Modell und Firmware, dazu das CISA-Advisory mit den bekannten Schwachstellen. Bevor ein Paket fliegt. Der Reflex, jetzt Anzeigen zu entschärfen, greift daneben: die Anzeige ist nicht die Lücke, sie ist der Zeitvorsprung — wer sie unpräzise macht, bekommt die falschen Bewerbungen. Dieselbe Logik als Kette, eine gute Stunde, gegen eine anonymisierte Kantonalbank: crt.sh über die CT-Logs, Passive DNS für die historischen A-Records, AS- und NetBlock-Zuordnung, Abgleich mit den Anzeigen. Am Ende Subdomains, Infrastruktur, NetBlocks, Stack-Verdacht — im Monitoring nichts. Die Website zeigt, was eine Organisation zeigen will. Die Kette zeigt, was sie betreibt.Problem: die halbe empfohlene Werkzeugliste ist Ruine. SpiderFoots freier Zweig ist seit der Intel-471-Übernahme 2022 ohne Release, über 180 offene Issues; Recon-ng hat der Maintainer selbst als ungepflegt markiert, Python-3.12-Bug inklusive; Amass trägt den Bruch von 3 auf 4 und 5. Wer das 2026 noch als „Standard" empfiehlt, empfiehlt Stillstand. Unterschätzt dagegen theHarvester: aktiv gepflegt, schnellster Erst-Sweep, begrenzt durch API-Schlüssel und Rate-Limits. Was den Werkzeugwechsel überlebt, ist eine Tabelle mit vier Spalten — der Bedarf, präzise: nicht „was gibt es über Firma X", sondern „welche Authentisierungs-Endpunkte sind extern erreichbar"; die Quelle, die genau das beantwortet; die Methode, passiv oder aktiv, und bei aktiv: wer autorisiert; das Tag nach STANAG 2511, im Hochvolumen ehrlich oft F6. Wer eine Quelle für alles hält, hat keinen Plan, sondern ein Lieblingswerkzeug.Passiv heisst nur: kein Paket ans Ziel. CT-Logs sind append-only, jede TLS-Subdomain stand irgendwann drin, abgefragt wird das Archiv, nicht der Server. Blind bleibt das für getunnelte Infrastruktur hinter einem CDN, für selbstsignierte Zertifikate, für alles unter der Sensor-Frequenz. Rechtlich sagt „passiv" ohnehin nichts: in Deutschland trägt aus Meta gegen Bundeskartellamt nur die Prüftrias, Randnummer 106, nicht die Fallwertung — es ging um Werbung; in der Schweiz nDSG Art. 31 plus EDÖB-Erkennbarkeit, Öffentlichkeit endet am Login. Warum das zählt: Südwestfalen-IT (Akira über eine VPN ohne Zweitfaktor, 72 Kommunen), Xplain (4.779 sensitive Datenobjekte des Bundes), Radix (1,3 Terabyte) — jedes Mal der Dritte als Einstieg. Zwei Leerstellen: keine höchstrichterliche Entscheidung in DE, AT oder CH zu passivem Scanning, und die Kantonalbank-Kette ist reproduzierbare Methodik, kein dokumentierter Fall — die Stunde illustrativ statt gemessen.Was du mitnimmstZieh die Kette einmal gegen dich selbst — crt.sh, Passive DNS, AS und NetBlock, Stellenanzeigen-Abgleich — und danach gegen die Lieferanten, ohne die du nicht arbeitest. Was dabei entsteht, ist zugleich der Nachweis-Baustein, den NIS2, NISG und ISG sehen wollen. Die Reihenfolge ist nicht verhandelbar: erst der Bedarf, dann die Quelle, dann — wenn überhaupt — das Werkzeug; jede Zeile getaggt, jeder blinde Fleck notiert. Die unbequeme Seite: Über-Sammeln ist keine Sorgfalt, sondern Rauschen plus Rechts-Exposition — personenbezogene Treffer, die niemand gebraucht hat, machen die Ergebnisse unverwertbar. Wer seine eigene Exposition nicht kennt, wird von jemand anderem aufgeklärt. Nächste Folge: Malware-Intelligence — was Samples verraten, und warum YARA auf Verhalten statt auf Byte-Sequenzen matchen sollte.Geschüttelt. Nicht gerührt.