Der Grundriss statt der Fassade — OSINT, ohne an der Tür zu
klingeln.
„Senior ICS-Engineer, Erfahrung mit Siemens S7-1500" — ein Satz
aus der Personalabteilung, und der Angreifer hält Port 102,
S7comm, per s7-info Modell und Firmware, dazu das CISA-Advisory
mit den bekannten Schwachstellen. Bevor ein Paket fliegt. Der
Reflex, jetzt Anzeigen zu entschärfen, greift daneben: die
Anzeige ist nicht die Lücke, sie ist der Zeitvorsprung — wer sie
unpräzise macht, bekommt die falschen Bewerbungen. Dieselbe Logik
als Kette, eine gute Stunde, gegen eine anonymisierte
Kantonalbank: crt.sh über die CT-Logs, Passive DNS für die
historischen A-Records, AS- und NetBlock-Zuordnung, Abgleich mit
den Anzeigen. Am Ende Subdomains, Infrastruktur, NetBlocks,
Stack-Verdacht — im Monitoring nichts. Die Website zeigt, was
eine Organisation zeigen will. Die Kette zeigt, was sie betreibt.
Problem: die halbe empfohlene Werkzeugliste ist Ruine.
SpiderFoots freier Zweig ist seit der Intel-471-Übernahme 2022
ohne Release, über 180 offene Issues; Recon-ng hat der Maintainer
selbst als ungepflegt markiert, Python-3.12-Bug inklusive; Amass
trägt den Bruch von 3 auf 4 und 5. Wer das 2026 noch als
„Standard" empfiehlt, empfiehlt Stillstand. Unterschätzt dagegen
theHarvester: aktiv gepflegt, schnellster Erst-Sweep, begrenzt
durch API-Schlüssel und Rate-Limits. Was den Werkzeugwechsel
überlebt, ist eine Tabelle mit vier Spalten — der Bedarf,
präzise: nicht „was gibt es über Firma X", sondern „welche
Authentisierungs-Endpunkte sind extern erreichbar"; die Quelle,
die genau das beantwortet; die Methode, passiv oder aktiv, und
bei aktiv: wer autorisiert; das Tag nach STANAG 2511, im
Hochvolumen ehrlich oft F6. Wer eine Quelle für alles hält, hat
keinen Plan, sondern ein Lieblingswerkzeug.
Passiv heisst nur: kein Paket ans Ziel. CT-Logs sind append-only,
jede TLS-Subdomain stand irgendwann drin, abgefragt wird das
Archiv, nicht der Server. Blind bleibt das für getunnelte
Infrastruktur hinter einem CDN, für selbstsignierte Zertifikate,
für alles unter der Sensor-Frequenz. Rechtlich sagt „passiv"
ohnehin nichts: in Deutschland trägt aus Meta gegen
Bundeskartellamt nur die Prüftrias, Randnummer 106, nicht die
Fallwertung — es ging um Werbung; in der Schweiz nDSG Art. 31
plus EDÖB-Erkennbarkeit, Öffentlichkeit endet am Login. Warum das
zählt: Südwestfalen-IT (Akira über eine VPN ohne Zweitfaktor, 72
Kommunen), Xplain (4.779 sensitive Datenobjekte des Bundes),
Radix (1,3 Terabyte) — jedes Mal der Dritte als Einstieg. Zwei
Leerstellen: keine höchstrichterliche Entscheidung in DE, AT oder
CH zu passivem Scanning, und die Kantonalbank-Kette ist
reproduzierbare Methodik, kein dokumentierter Fall — die Stunde
illustrativ statt gemessen.
Was du mitnimmst
Zieh die Kette einmal gegen dich selbst — crt.sh, Passive DNS, AS
und NetBlock, Stellenanzeigen-Abgleich — und danach gegen die
Lieferanten, ohne die du nicht arbeitest. Was dabei entsteht, ist
zugleich der Nachweis-Baustein, den NIS2, NISG und ISG sehen
wollen. Die Reihenfolge ist nicht verhandelbar: erst der Bedarf,
dann die Quelle, dann — wenn überhaupt — das Werkzeug; jede Zeile
getaggt, jeder blinde Fleck notiert. Die unbequeme Seite:
Über-Sammeln ist keine Sorgfalt, sondern Rauschen plus
Rechts-Exposition — personenbezogene Treffer, die niemand
gebraucht hat, machen die Ergebnisse unverwertbar. Wer seine
eigene Exposition nicht kennt, wird von jemand anderem
aufgeklärt. Nächste Folge: Malware-Intelligence — was Samples
verraten, und warum YARA auf Verhalten statt auf Byte-Sequenzen
matchen sollte.
Geschüttelt. Nicht gerührt.
Kommentare (0)
Melde dich an, um einen Kommentar zu schreiben.