OSINT 101: 7 Dinge, die ein Angreifer in 30 Minuten über Ihr Unternehmen herausfindet

OSINT 101: 7 Dinge, die ein Angreifer in 30 Minuten über Ihr Unternehmen herausfindet

Es gibt einen Grund, warum OSINT das günstigste Werkzeug im offensiven Werkzeugkasten ist. Es ist nicht neu, nicht subtil und erfordert keinerlei Zugriff. Es erfordert nur, dass der Beobachter weiß, wo er hinschauen muss. Genau diese Tatsache macht defensive OSINT-Arbeit auf unserer Seite ebenfalls günstig. Der Zweck dieses Artikels ist es, Ihnen ohne Schnörkel die sieben Dinge zu nennen, die wir in den ersten dreißig Minuten einer OSINT-Triage typischerweise über ein europäisches mittelständisches Unternehmen aufdecken. Keines davon erfordert ein kostenpflichtiges Werkzeug. Jedes davon kann zum Eröffnungszug eines realen Angriffs werden.

Wir ordnen sie nach Häufigkeit. Das erste taucht fast immer auf. Das letzte taucht in etwa einem Drittel der Fälle auf, und wenn es auftaucht, verändert es meist das Gespräch mit dem Kunden.

1 · Eine einigermaßen vollständige Karte der Belegschaft (10 Minuten)

Wir beginnen mit LinkedIn. Wir brauchen keine Verbindung zu irgendjemandem. Die kostenlose Suche, gefiltert nach Unternehmen, Standort und aktueller Beschäftigung, liefert uns bei einem typischen europäischen mittelständischen Unternehmen mit 80 bis 400 Mitarbeitenden zwischen 50% und 80% der Belegschaft. Wir lesen Funktionen, frühere Arbeitgeber, Sprachen und sehr häufig den im Kompetenzbereich angegebenen Technologie-Stack.

Was der Angreifer damit macht: eine Zielliste für Spear Phishing mit auf die jeweilige Rolle zugeschnittenen Vorwänden. Wir haben Nachrichten gesehen, die mit dem exakten internen Titel und dem Projekt verfasst waren, das die Empfängerin zwei Wochen zuvor auf LinkedIn angekündigt hatte. Die Öffnungsrate solcher Nachrichten spielt nicht in derselben Liga wie die eines generischen Phishings.

Was Sie dagegen tun können: Bitten Sie Ihr Team, den aktuellen Arbeitgeber gepflegt zu halten, aber bei der Ankündigung interner Projekte und Werkzeuge bewusster vorzugehen. Eine kurze LinkedIn-Hygiene-Sitzung für Senior-Personal ist einer der günstigsten Gewinne im Bereich Awareness.

2 · Der Technologie-Stack aus den Stellenausschreibungen (3 Minuten)

Stellenanzeigen sind eine OSINT-Goldmine. Eine Backend-Stelle, die "PostgreSQL 14, Kafka, Vault und Terraform auf AWS eu-west-1" verlangt, verrät dem Angreifer die Datenbank-Engine, den Message-Bus, den Secret-Manager, die Deployment-Region und das Orchestrierungswerkzeug. Eine Stelle im Bereich Security Operations, die "Splunk Cloud, CrowdStrike Falcon und Tines für SOAR" verlangt, verrät das SIEM, das EDR und die Orchestrierungsplattform.

Was der Angreifer damit macht: Er überspringt die Discovery-Phase. Die Aufklärung geht direkt dazu über, bekannte CVEs für die genannten Versionen zu suchen.

Was Sie dagegen tun können: Hören Sie nicht auf, Stellen auszuschreiben. Entfernen Sie die Versionsnummern. Sprechen Sie von Fähigkeiten ("modernes SIEM", "verwaltetes EDR") statt von Anbieternamen, wann immer die Stelle es zulässt. Nutzen Sie für sehr spezifische Positionen einen Personalvermittler als Mittler.

3 · Die E-Mail-Infrastruktur und ihre DMARC-Haltung (2 Minuten)

Drei DNS-Abfragen liefern uns die MX-, SPF- und DMARC-Einträge jeder beliebigen Unternehmensdomain. Bei einem typischen europäischen mittelständischen Unternehmen finden wir nach wie vor mehr als die Hälfte mit fehlendem DMARC, auf p=none oder auf p=quarantine ohne pct=100. Dieselben Unternehmen haben oft ein SPF mit ~all statt -all sowie drei bis fünf autorisierte Legacy-IP-Bereiche, die niemand im aktuellen Team erklären kann.

Was der Angreifer damit macht: Er registriert eine ähnliche Domain oder fälscht, je nach DMARC-Haltung, schlicht die legitime. Das Fälschen legitimer Absender war der Einstiegsvektor mehrerer BEC-Fälle mit erheblichem Schaden, die wir 2025 gesehen haben.

Was Sie dagegen tun können: Bewegen Sie DMARC auf p=reject und SPF auf -all mit einem dokumentierten Zeitplan. Wir haben einen eigenen Artikel über die 24-Stunden-Version dieser Arbeit.

4 · Der öffentliche Perimeter, wie ihn Shodan und Censys sehen (5 Minuten)

Wir suchen nach dem Unternehmensnamen und seiner ASN. Bei einem typischen Unternehmen finden wir: zwischen drei und zwölf ins Internet exponierte Dienste, von denen niemand erwartet hätte, dass sie exponiert sind. Die häufigsten: Legacy-VPN-Konzentratoren, die man "für Notfälle" stehen ließ, Remote-Management-Schnittstellen von Netzwerktechnik (Mikrotik, Cisco SMB, Ubiquiti), vergessene S3-Buckets, die für einen schnellen Test als öffentlich markiert wurden, interne Portale auf :8443, die man für verborgen hielt, weil sie nicht verlinkt sind, sowie die IPMI-Schnittstelle eines Servers, der 2022 hätte ausgemustert werden sollen.

Was der Angreifer damit macht: Er beginnt, die entdeckten Dienste auf bekannte Schwachstellen zu sondieren. Für ein mittelständisches Unternehmen haben wir die Zeit zwischen dem öffentlichen Auftauchen in Shodan und der ersten gezielten Sonde mit weniger als 24 Stunden gemessen.

Was Sie dagegen tun können: Eine Routine zum Management der externen Angriffsfläche, und sei sie nur vierteljährlich und manuell, beseitigt 80% dieser Kategorie. Die Investition beträgt für ein typisches mittelständisches Unternehmen zwei Analystentage pro Quartal.

5 · Code-Repositories und die Geheimnisse, die Menschen darin durchsickern lassen (4 Minuten)

GitHub-Suchen vom Typ org:<unternehmen> und "@unternehmen.com" path:.env offenbaren mehr, als sie sollten. Die häufigsten Funde: ein vergessenes Test-Repository mit einer echten Datenbank-Verbindungszeichenfolge, das private GitHub-Konto eines ehemaligen Mitarbeiters mit einer Konfigurationsdatei, die einen API-Schlüssel enthält, den das Unternehmen nie rotiert hat, ein öffentlicher Gist mit einer Webhook-URL, die noch funktioniert.

Was der Angreifer damit macht: Er probiert die Zugangsdaten aus. Etwa eine von drei Zugangsdaten, die wir in dieser Kategorie aufdecken, ist beim ersten Test mit dem Kunden während einer Diagnose noch gültig.

Was Sie dagegen tun können: Aktivieren Sie GitHub Secret Scanning in der Organisation, führen Sie einen Durchlauf historischer Commits in privaten Repositories durch und operationalisieren Sie die Schlüsselrotation, wenn ein Mitarbeiter geht. Nichts davon erfordert in den meisten mittelständischen Unternehmen den Kauf eines neuen Produkts.

6 · Die Lieferkette, die Sie in keinem Diagramm gezeichnet haben (4 Minuten)

Wir betrachten das auf Ihrer öffentlichen Website geladene JavaScript, die SaaS-Subdomains, die unter Ihrer Domain auflösen (status., support., helpdesk., learn., tracking.), die Certificate-Transparency-Logs und die Favicon-Hashes interner Portale. Bei einem typischen europäischen mittelständischen Unternehmen identifizieren wir zwischen 15 und 40 Dritte, die Ihre Daten, Ihre Kunden oder Ihre Markenoberfläche berühren, von denen 5 bis 10 meist nicht auf der offiziellen Einkaufsliste stehen.

Was der Angreifer damit macht: Er wählt den schwächsten Dritten als Pivot. Das Muster der Drittpartei-Verletzungen von 2023 bis 2025 war kein Zufall; es war der einfachste Weg gegen Unternehmen, die ihren eigenen Perimeter gehärtet hatten.

Was Sie dagegen tun können: Ein OSINT-getriebenes Drittparteien-Inventar, vierteljährlich aktualisiert und gegen die offizielle Einkaufsliste abgeglichen. Die Deltas sind die Arbeit.

7 · Die Fragilität, über die niemand spricht: Abhängigkeit von einer einzigen Person (2 Minuten)

Das ist der OSINT-Fund, auf den Kunden am stärksten reagieren. Durch die Kombination von LinkedIn, öffentlichen Vorträgen, GitHub-Beiträgen, technischen Posts und WHOIS-Historie identifizieren wir häufig, dass eine konkrete Person das einzige öffentliche Gesicht eines ganzen technischen Bereichs ist. Wenn diese Person 72 Stunden nicht verfügbar ist, haben mehrere von ihr betreute Systeme keinen dokumentierten Nachfolger.

Was der Angreifer damit macht: Er macht diese Person zum Ziel eines hochwertigen Spear Phishings. In einem gut dokumentierten öffentlichen Fall (nicht unser Kunde) legte das erfolgreiche Phishing eines einzelnen SRE eine SaaS-Plattform 48 Stunden lahm, weil kein anderes Teammitglied über die Recovery-Zugangsdaten verfügte.

Was Sie dagegen tun können: Eine interne Überprüfung des Bus-Faktors. Das ist im strengen Sinne kein Cybersicherheitsübung; es ist eine Kontinuitätsübung mit Cyber-Konsequenzen.

Wie Sie diese Liste innerhalb Ihres Unternehmens nutzen

Wir empfehlen nicht, diese sieben Schritte gegen Ihr eigenes Unternehmen auszuführen, ohne das Sicherheitsteam und, je nach Rechtsraum, die Rechtsabteilung einzubeziehen. Auch wenn die Daten öffentlich sind, kann der Akt, sie im Unternehmenskontext zusammenzustellen, Implikationen haben. Der einfachste Weg ist, einen Dritten mit einem klaren Auftragsumfang darum zu bitten und die Funde einer benannten internen verantwortlichen Person zu übergeben.

Der Zweck einer defensiven OSINT-Übung ist nicht, sich davon beeindrucken zu lassen, was ein externer Beobachter sehen kann. Der Zweck ist, die Funde in eine Remediationsliste mit Verantwortlichen und Terminen zu verwandeln. Funde ohne Verantwortlichen sind Rauschen.

> "Wir haben noch nie einem mittelständischen Unternehmen einen defensiven OSINT-Bericht übergeben, der null relevante Exposition fand. Wir haben aber mehrere übergeben, in denen der teuerste Fund intern war: ein kritischer Bereich, getragen von einer einzigen Person, von der niemand verlangt hatte, einen Backup zu haben." — Interne IBL-Überprüfung von OSINT-Audits 2025-2026

Was wir bei IBL tun

Unser defensiver OSINT-Auftrag ist eine feste Fünf-Tage-Übung. Das Liefergut ist ein schriftlicher, unterzeichneter und datierter Bericht, mit den Funden geordnet nach Remediationsaufwand und Expositionsschwere. Wir nehmen kein Datum auf, das wir nicht aus öffentlichen Quellen gewonnen haben. Wir fügen die URL und das Datum jedes Funds bei, damit Ihr Team ihn reproduzieren kann.

Wenn Sie über Ihren konkreten Fußabdruck sprechen möchten, schreiben Sie an [email protected]. Wir antworten innerhalb eines Werktags.

---

OCIRIA ist eine Boutique-Beratung für Cybersicherheit mit Sitz in Málaga, Spanien, und einem operativen Team in Rumänien. Wir arbeiten mit europäischen mittelständischen Unternehmen, die technische Ehrlichkeit der Anbieterverpackung vorziehen. Wir wurden 2026 gegründet; wir erfinden keine längere Geschichte.

Weiterführende Lektüre

• OSINT-Audit: was wir liefern und wie lange es tatsächlich dauert (Cluster-Pillar Q4)
• DMARC erklärt: warum Ihre E-Mail anfällig ist und wie Sie sie in 24 Stunden absichern (Cluster-Pillar Q3)
• Lieferketten-OSINT: was passiert, wenn Ihr kritischer Lieferant seit 2024 nicht mehr patcht (Cluster Q4)

Tags: osint, exposition, perimeter, lieferkette, e-mail-sicherheit, mittelstand, feldbericht