Was öffentlich über Sie zu finden ist
Domänen, Zugangsdaten aus Datenabflüssen, Metadaten und was Stellenanzeigen verraten. Zusammengetragen, ohne Ihre Systeme zu berühren.
Was ein Angreifer über Sie weiß, bevor er anfängt
Eine OSINT-Analyse trägt zusammen, was ohne einen einzigen Zugriff auf Ihre Systeme über Ihr Unternehmen zu finden ist. OSINT steht für Open Source Intelligence, also die Auswertung offener Quellen: Domänennamen, Zertifikatsprotokolle, Stellenanzeigen, veröffentlichte Dokumente, Profile in Netzwerken, Zugangsdaten aus fremden Datenabflüssen.
Die Leistung kommt bei uns zweimal vor und das ist kein Widerspruch. Sie ist der erste Arbeitsschritt jedes externen Tests, jedes Red Teamings und jeder Social-Engineering-Übung; dort bestimmt sie, wo angesetzt wird. Und sie ist einzeln beauftragbar, wenn Sie erst einmal wissen wollen, wie groß Ihre Angriffsfläche überhaupt ist.
Wir arbeiten dabei ausschließlich passiv. Ihre Systeme werden nicht berührt, es gibt keine Anfrage, die in Ihren Protokollen auftaucht, und es braucht keine Freigabe für einen Zugriff, der nicht stattfindet.
Fünf Quellen, die regelmäßig etwas ergeben
Die Gliederung folgt dem, was in unseren Analysen tatsächlich trägt. Welche Quelle bei Ihnen am meisten hergibt, hängt von Branche und Größe ab.
Namen und Adressen
Domänen und Subdomänen, Einträge in den Zertifikatsprotokollen, IP-Bereiche und wem sie gehören, DNS-Einträge. Hier finden sich die Umgebungen, an die niemand mehr denkt: das Testsystem von vorletztem Jahr, die Subdomäne eines beendeten Projekts.
Zugangsdaten aus Datenabflüssen
Adressen Ihres Unternehmens, die in veröffentlichten Datensätzen auftauchen, samt der Frage, ob das Kennwort anderswo noch gilt. Wir nennen betroffene Konten, nicht Kennwörter im Klartext.
Menschen und Rollen
Wer arbeitet wo, mit welcher Funktion, nach welchem Schema ist die E-Mail-Adresse gebaut. Das ist die Grundlage jedes Vorwands und deshalb steht es auch in einem Bericht, der keine Übung vorbereitet.
Technik aus öffentlichen Angaben
Stellenanzeigen nennen die eingesetzte Firewall mit Version, Ausschreibungen die Softwarelandschaft, Vorträge die Architektur. Diese Quelle wird unterschätzt und ist oft die ergiebigste.
Dateien, Code und Konfiguration
Metadaten veröffentlichter Dokumente mit Benutzernamen und internen Pfaden, öffentliche Repositorien mit Schlüsseln in der Versionsgeschichte, offene Container-Register.
Die Stellenanzeige, die den Wartungszugang beschreibt
Gesucht wird eine Administratorin für eine namentlich genannte Firewall in einer namentlich genannten Version, Erfahrung mit einem bestimmten VPN-Produkt erwünscht, Standort mit Rufbereitschaft. Drei Sätze und die Angriffsfläche ist beschrieben: das Produkt, der Stand, der Weg hinein und der Umstand, dass außerhalb der Geschäftszeiten jemand aus der Ferne arbeitet.
Dazu eine Subdomäne aus dem Zertifikatsprotokoll, die auf dieselbe Adresse zeigt und in keiner Dokumentation steht, und ein Konto aus einem vier Jahre alten Datenabfluss, dessen Kennwortmuster zum aktuellen Schema passt. Alles drei ist öffentlich, alles drei ist an einem Vormittag gefunden und nichts davon hinterlässt eine Spur bei Ihnen.
Im Bericht steht daneben, was sich davon abstellen lässt. Eine Stellenanzeige muss die Version nicht nennen; eine Subdomäne, die niemand mehr braucht, muss nicht auflösen.
Sammeln kann die Maschine, verbinden nicht
Werkzeuge liefern Listen: Subdomänen, Adressen, Treffer aus Datensätzen. Wir setzen sie ein, unter anderem unser eigenes, YekIntel. Die Liste ist aber nicht das Ergebnis, sondern das Material.
Was zählt, ist die Verbindung: dass die Adresse aus dem Datenabfluss zu der Person gehört, deren Rolle in der Stellenanzeige steht und dass die dort genannte Fernwartung auf der Subdomäne läuft, die niemand mehr kennt. Jedes Stück für sich steht in jedem Werkzeugbericht weit unten. Zusammen ist es ein Weg hinein.
Deshalb endet eine Analyse bei uns nicht mit der Liste, sondern mit den Verbindungen darin und die Bewertung richtet sich nach dem, was am Ende erreichbar wäre.
Wie eine OSINT-Analyse abläuft
Der Aufwand richtet sich nach der Größe des Unternehmens und der Zahl der Marken und Standorte. Gearbeitet wird durchgehend passiv, ohne Zugriff auf Ihre Systeme.
Umfang festlegen
Welche Marken, Domänen und Gesellschaften gehören zu Ihnen. Das ist die Frage, die am häufigsten unterschätzt wird: Tochtergesellschaften, zugekaufte Firmen und Agenturen bringen Adressen mit, die aus dem Internet nicht von Ihren zu unterscheiden sind.
Sammeln
Öffentliche Register, Zertifikatsprotokolle, DNS, veröffentlichte Datensätze, Netzwerke, Stellenanzeigen, Dokumente und öffentliche Repositorien. Werkzeuggestützt, gelesen wird von Hand.
Verbinden und bewerten
Was gehört zusammen, was ist noch gültig, was ist ein Weg und was nur eine Fundstelle. Jede Angabe bekommt ihre Quelle, damit Sie sie nachprüfen können.
Bericht
Die Fundstellen mit Quelle und Datum, die Verbindungen dazwischen, und je Befund der Weg, ihn abzustellen. Auf Wunsch als Grundlage für einen anschließenden Test.
Ein Bericht, mit dem Ihr Team weiterarbeiten kann.
Jeder Befund kommt eingeordnet: mit Risiko, Aufwand und dem Weg zur Behebung.
Management Summary
Die Lage auf einer Seite, verständlich für Geschäftsführung und Aufsicht.
Fundstellen mit Quelle
Jede Angabe mit Quelle und Datum, damit Sie sie selbst nachprüfen können.
Risikobewertung nach BSI
Eine nachvollziehbare Einstufung jedes Funds nach anerkanntem Schema.
Priorisierte Empfehlungen
Konkrete Handlungsempfehlungen in der Reihenfolge, in der sie wirken.
Abschlussgespräch
Auf Wunsch eine gemeinsame Durchsprache der Ergebnisse mit Ihren Fachteams.
Wiederholung
Auf Wunsch eine erneute Aufnahme nach einem vereinbarten Zeitraum, mit Vergleich zum letzten Stand.
Was wir brauchen und was nicht dazugehört
Von Ihnen brauchen wir die Liste Ihrer Marken, Domänen und Gesellschaften und eine schriftliche Beauftragung. Mehr nicht: es gibt keinen Zugang einzurichten und kein Zeitfenster abzustimmen, weil an Ihren Systemen nichts passiert.
Personenbezogene Daten sind dabei unvermeidlich, also Namen, Rollen und Adressen. Wir erheben nur, was öffentlich vorliegt und für den Auftrag nötig ist, legen keine Profile darüber hinaus an und löschen die Arbeitsdaten nach Abschluss. Das steht im Auftrag, nicht nur hier.
Nicht enthalten ist jeder aktive Schritt: kein Portscan, kein Anmeldeversuch, kein Anruf. Was aus den Funden folgt, prüft der externe Penetrationstest; wer die gefundenen Personen ansprechen will, bucht Social Engineering oder eine Phishing-Simulation. Über Wochen und mit einem Ziel wird daraus ein Red Teaming.
Häufige Fragen zur OSINT-Analyse
Nein und das ist der Punkt. Die Analyse liest, was öffentlich vorliegt, und stellt keine Anfrage an Ihre Systeme. In Ihren Protokollen steht davon nichts. Genauso arbeitet ein Angreifer, bevor er den ersten sichtbaren Schritt macht.
Was wir auswerten, ist veröffentlicht. Wir umgehen keine Zugangsbeschränkung, melden uns nirgends unter falschem Namen an und kaufen keine Datensätze aus zweifelhaften Quellen. Für Zugangsdaten aus bekannten Datenabflüssen nutzen wir Dienste, die Betroffene benennen, ohne Kennwörter herauszugeben.
Dann ist es der erste Schritt darin und keine zweite Rechnung. Einzeln lohnt es sich, wenn Sie vor der Beauftragung wissen wollen, wie groß die Angriffsfläche ist, oder wenn Sie regelmäßig beobachten wollen, was dazugekommen ist: nach einer Übernahme, einer neuen Marke, einem Relaunch.
Einmal als Grundaufnahme, danach jährlich oder nach jeder größeren Veränderung, also Zukäufen, neuen Standorten oder einem Wechsel des Dienstleisters. Zwischen den Terminen ändert sich vor allem eines regelmäßig, nämlich die Liste der Subdomänen.
Nein. Wir nennen die betroffenen Konten und die Quelle, aus der sie stammen, damit Sie gezielt zurücksetzen können. Kennwörter im Klartext gehören nicht in einen Bericht, der anschließend per Mail verteilt wird.
Zertifizierungen und Mitgliedschaften.
Sprechen Sie mit uns.
Ein erstes Gespräch dauert in der Regel 30 Minuten. Wir schauen uns Ihre Ausgangslage an und sagen offen, ob wir der passende Partner sind.