OSINT: Passive vs. Active Reconnaissance und OPSEC

OSINT (Open Source Intelligence) heisst: Informationen aus offen zugänglichen Quellen zusammentragen, statt in Systeme einzubrechen. Für die Verteidigung ist das die Aussensicht auf die eigene Organisation, also genau das, was ein Angreifer zuerst sieht. Bevor es an die konkreten Werkzeuge geht, lohnen sich zwei Grundunterscheidungen, die alles andere prägen.

Hinweis (Dual-Use): Diese Seite behandelt Aufklärungs-Grundlagen für den defensiven Einsatz (Angriffsfläche der eigenen Organisation verstehen, Attack Surface Management). Dieselben Techniken lassen sich missbrauchen, um Privatpersonen auszuforschen. Der legitime Rahmen ist die eigene Infrastruktur oder eine ausdrückliche Beauftragung.

1. 🔍 Passive vs. Active Reconnaissance

Der entscheidende Unterschied ist der Grad der Interaktion mit dem Ziel.

Passive Aufklärung sendet kein einziges Paket an die Infrastruktur des Ziels. Abgefragt werden nur Dritt-Datenbanken, Caches und öffentliche Register: Passive-DNS-Historien, Certificate-Transparency-Logs, Suchmaschinen-Caches. Der Vorteil: In den Logfiles des Ziels taucht kein Eintrag des Ermittlers auf. Es bleibt unsichtbar.

Aktive Aufklärung interagiert direkt mit den Systemen des Ziels: Portscans, HTTP-Requests, DNS-Abfragen gegen die Ziel-IPs. Das liefert frischere Daten, hinterlässt aber Spuren. IDS/IPS-Systeme und Firewalls schlagen Alarm und loggen die IP des Ermittlers.

Analogie aus dem Standard-Set: die Bibliothek. Passive Recon ist der Gang zum öffentlichen Katalog und ins Zeitungsarchiv. Man erfährt viel über eine Person oder Firma, ohne dass diese je davon erfährt. Aktive Recon ist das Klingeln an der Haustür und Fragenstellen: schneller und direkter, aber der Bewohner weiss danach, dass jemand da war.

Die Grauzone: Manche Tools agieren aktiv gegenüber einer Plattform, aber passiv gegenüber der Zielperson. Prüft ein Werkzeug etwa, ob ein Benutzername auf einem sozialen Netzwerk existiert, sendet es Pakete an dieses Netzwerk, nicht an die Zielperson. Deren eigene Logs bleiben leer, weil sie keinen Zugriff auf die Serverlogs der Plattform hat.

2. 🕵️ OPSEC: die eigenen Spuren schützen

Wer aufklärt, hinterlässt selbst digitale Spuren. OPSEC (Operations Security) fasst die Massnahmen zusammen, die eigene Identität und Absicht zu schützen. Drei typische Leck-Wege:

  1. IP-Leakage: schon der Aufruf einer Ziel-Website loggt beim Ziel-Webserver die echte Heim- oder Firmen-IP.
  2. Plattform-Benachrichtigungen: Profilaufrufe auf beruflichen Netzwerken benachrichtigen das Ziel («X hat Ihr Profil besucht»).
  3. Browser-Fingerprinting: User-Agent, installierte Schriftarten und Canvas-Daten machen den Browser über Sessions hinweg wiedererkennbar.

Die Gegenmassnahmen folgen einem Muster: Trennung. Recherche nie im privaten Haupt-Browser, sondern in einer flüchtigen Umgebung (ein Docker-Container, der nach der Session zerstört wird). Für Plattform-Recherche eigene, klar getrennte Recherche-Identitäten statt des echten Namens.

Konkretes Beispiel (Webshop als Ziel): Ein Sicherheitsteam kartiert die eigene Angriffsfläche. Passiv über Certificate-Transparency-Logs findet es eine vergessene Subdomain staging.webshop.example, die ein Entwickler ohne Freigabe online gestellt hat. Kein Paket ging an den Webshop, trotzdem ist die Schatten-IT sichtbar. Genau diese Aussensicht will man haben, bevor es ein Angreifer tut.

3. 🧩 Warum das ins Brain gehört

OSINT ist die Aufklärungs-Schicht vor jeder Sicherheitsbetrachtung. Es hängt am selben Faden wie die Lethal Trifecta: Wer die eigene Angriffsfläche nicht kennt, kann sie nicht absichern. Die Sammlung der konkreten Tools liegt separat, damit dieses Konzept schlank bleibt und der Werkzeugkasten wachsen kann, ohne die Grundidee zu überladen.

4. 📚 Weiterführende Links & Quellen