OSINT-Tools wählt man am einfachsten nach ihrer Aufgabe aus: eine Gruppe für Domains und Infrastruktur, eine für Social Media, eine für Bilder und Videos, eine für Leak-Daten und ein paar für Register, Archivierung und das Verknüpfen der Puzzleteile. Diese Anleitung listet die Tools auf, die Rechercheure in jeder Kategorie tatsächlich nutzen, wofür sie gut sind und wo ihre Grenzen liegen. Sie behandelt auch den Teil, den die meisten Tool-Listen auslassen: was jede Abfrage über Sie verrät und wie Teams mit dieser Netzwerkebene umgehen. Genau darum geht es auf unserer Seite zu Proxies für OSINT und investigativen Journalismus.
Wenn Sie neu in diesem Bereich sind, beginnen Sie mit unserer Einführung Was ist OSINT?, die Quellen, Methodik und rechtliche Grenzen behandelt. Dieser Artikel setzt die Grundlagen voraus und konzentriert sich auf das Werkzeug.
Domains und Infrastruktur
Hier geht es um die Fragen, wer eine Domain oder einen Server betreibt, was noch damit verbunden ist und wie sie sich verändert haben.
- ICANN Lookup fragt Registrierungsdaten über RDAP ab, den modernen Nachfolger von WHOIS. Seit der DSGVO sind die meisten persönlichen Angaben geschwärzt, aber Registrar, Erstellungsdatum und Nameserver sind weiterhin nützlich.
- crt.sh durchsucht Certificate-Transparency-Logs. Jedes öffentlich vertrauenswürdige TLS-Zertifikat wird protokolliert, daher fördert eine Suche nach einer Domain oft Subdomains und verwandte Hostnamen zutage, die der Inhaber nirgendwo verlinkt hat.
- SecurityTrails zeigt historische DNS-Einträge. So finden Sie heraus, wo eine Website gehostet war, bevor sie hinter ein CDN umgezogen ist.
- Shodan und Censys indexieren mit dem Internet verbundene Geräte und Dienste. Sie beantworten Fragen wie die, welche anderen Hosts dieses Zertifikat teilen oder genau dieses Server-Banner ausliefern.
- urlscan.io lädt eine URL in einer Sandbox und zeichnet auf, was sie angefordert hat, welche Domains sie kontaktiert hat und wie sie aussah.
- VirusTotal bündelt die Ergebnisse vieler Antiviren-Engines und URL-Scanner und zeigt Beziehungen zwischen Domains, IP-Adressen und Dateien.
Zwei dieser Tools haben Sichtbarkeitseinstellungen, die Sie kennen sollten. Scans bei urlscan.io können öffentlich, nicht gelistet oder privat sein, und öffentliche Scans können andere sehen, auch die Betreiber der Website, die Sie untersuchen. Dateien und URLs, die Sie bei VirusTotal einreichen, sind für dessen zahlende Nutzer sichtbar. Laden Sie dort niemals ein vertrauliches Dokument hoch und gehen Sie davon aus, dass eine Einreichung einen aufmerksamen Gegner warnen kann.
Social Media und Benutzernamen
Hier geht es um die Fragen, wo eine Person oder ein Konto auftaucht, was gepostet wurde und wann.
- Sherlock ist ein Open-Source-Befehlszeilen-Tool, das einen Benutzernamen auf Hunderten von Websites prüft.
- WhatsMyName macht dasselbe anhand einer gepflegten Liste von Websites und bietet eine Weboberfläche für alle, die nicht mit der Befehlszeile arbeiten möchten.
- Die eigene Suche der Plattformen mit erweiterten Operatoren und Datumsfiltern ist nach wie vor die verlässlichste Quelle, denn Tools von Drittanbietern funktionieren nicht mehr, sobald eine Plattform ihre Seiten oder ihre API ändert.
Dieser letzte Punkt wird jedes Jahr wichtiger. Plattformen ändern den Zugang für Forschende häufig: Meta hat CrowdTangle im August 2024 eingestellt und zugelassene Forschende auf die Meta Content Library umgestellt. Richten Sie Ihre Methodik danach aus, was die Plattform heute erlaubt, und rechnen Sie damit, dass Tools in dieser Kategorie ohne Vorwarnung ausfallen.
Bilder und Videos
Hier geht es um die Fragen, wo ein Bild zuerst aufgetaucht ist, wo und wann es aufgenommen wurde und ob es bearbeitet wurde.
- Umgekehrte Bildersuche mit Google Lens, TinEye, Bing Visual Search und Yandex Images. Sie indexieren unterschiedliche Teile des Webs, nutzen Sie also alle. TinEye kann Ergebnisse nach dem ältesten Fund sortieren, was hilft, das Original zu finden.
- Das InVID-WeVerify-Plugin ist eine Browser-Erweiterung, die für Faktenchecker entwickelt wurde. Sie zerlegt Videos in Keyframes für die umgekehrte Suche und bündelt mehrere forensische Bildfilter.
- ExifTool liest Metadaten aus Bild- und Videodateien aus: Kameramodell, Zeitstempel und manchmal GPS-Koordinaten. Die meisten sozialen Plattformen entfernen diese beim Hochladen, daher ist das Tool vor allem bei Originalen nützlich.
- SunCalc zeigt den Sonnenstand für jeden Ort und jede Uhrzeit an. So können Sie eine behauptete Uhrzeit mit den Schatten auf einem Foto abgleichen.
- Google Earth Pro bietet historische Bilder, und der Copernicus Browser gewährt kostenlosen Zugang zu aktuellen Sentinel-Satellitenbildern, um einen Ort zu bestätigen und zu sehen, wie er sich verändert hat.
Breach- und Leak-Daten
Hier geht es um die Frage, ob ein Konto, eine E-Mail-Adresse oder eine Organisation in einem bekannten Datenleck auftaucht. In dieser Kategorie sind die rechtlichen Grenzen am schärfsten.
- Have I Been Pwned zeigt Ihnen, ob eine E-Mail-Adresse in bekannten Datenlecks vorkommt. Die Domainsuche erfasst alle Adressen einer Domain, allerdings erst, nachdem Sie nachgewiesen haben, dass Sie diese Domain kontrollieren. Damit eignet sie sich gut, um die Gefährdung Ihrer eigenen Organisation zu prüfen.
- Kommerzielle Breach-Suchdienste ermöglichen es Rechercheuren, Leak-Datensätze direkt zu durchsuchen. Sie werden in der Betrugsbekämpfung und in der Threat Intelligence eingesetzt, legen Ihnen aber große Mengen personenbezogener Daten vor.
Die Regeln sind hier strenger als in den anderen Kategorien. Leak-Datensätze sind personenbezogene Daten, und nach der DSGVO und vergleichbaren Gesetzen ist ihr Durchsuchen und Speichern eine Verarbeitung, die eine Rechtsgrundlage und einen klaren Zweck erfordert. Sich mit einem geleakten Passwort bei einem Konto anzumelden, ist unbefugter Zugriff, ganz gleich, welches Rechercheziel dahintersteht. Teams, die Leaks für ihre eigene Organisation überwachen, tun das in der Regel auf Grundlage einer schriftlichen Richtlinie, wie sie unser Artikel zur Überwachung von Dark Web und Paste-Sites auf geleakte Zugangsdaten beschreibt. Es handelt sich um allgemeine Informationen, nicht um Rechtsberatung.
Register, Archivierung und Verknüpfungsanalyse
Drei unterstützende Kategorien machen die anderen erst nutzbar.
Unternehmen und öffentliche Register. OpenCorporates bündelt Handelsregister aus vielen Ländern, und nationale Register wie das britische Companies House oder die EDGAR-Datenbank der SEC sind die Primärquellen, die Sie zitieren sollten.
Archivierung und Sicherung. Die Wayback Machine und archive.today zeigen frühere Versionen von Seiten und ermöglichen es, neue zu sichern. Hunchly zeichnet jede Seite, die Sie während einer Recherche besuchen, mit Zeitstempel auf, und genau das macht aus einem Fund ein Beweismittel.
Automatisierung und Verknüpfungsanalyse. theHarvester sammelt E-Mail-Adressen, Subdomains und Hosts einer Domain aus öffentlichen Quellen. SpiderFoot führt automatisch Dutzende Abfragen zu einem Ziel durch. Maltego stellt die Ergebnisse als Graph dar, sodass Sie sehen, welche Domains, Personen und Organisationen miteinander verbunden sind. Die Website OSINT Framework ist ein umfangreiches Verzeichnis, wenn Sie etwas Spezielleres suchen.
| Kategorie | Einstieg | Kostenlose Optionen |
|---|---|---|
| Domains und Infrastruktur | crt.sh, ICANN Lookup, urlscan.io | crt.sh, ICANN Lookup, kostenlose Stufen der anderen |
| Social Media und Benutzernamen | Plattformsuche, Sherlock, WhatsMyName | Sherlock, WhatsMyName |
| Bilder und Videos | Umgekehrte Bildersuche, InVID-WeVerify, ExifTool | Alle |
| Leak-Daten | Have I Been Pwned | Have I Been Pwned für einzelne Adressen |
| Register und Archivierung | OpenCorporates, Wayback Machine, Hunchly | OpenCorporates-Suche, Wayback Machine |
| Verknüpfungsanalyse | SpiderFoot, Maltego | SpiderFoot (Open Source) |
Die Ebene, die kein Tool abdeckt: was das Ziel sieht
Jedes der oben genannten Tools fragt entweder in Ihrem Auftrag einen Dienst ab oder schickt Sie direkt zum Ziel. Im zweiten Fall werden Recherchen undicht.
Wenn Sie eine verdächtige Domain, ein Phishing-Kit oder einen Fake-Shop aus Ihrem Büronetzwerk aufrufen, protokolliert die Website die IP-Adresse Ihrer Organisation. Umsichtige Betreiber behalten ihre Logs im Blick und reagieren: Sie sperren Ihren Adressbereich, zeigen Ihnen eine harmlose Seite an oder nehmen die Website vom Netz, bevor Sie sie sichern konnten. Viele Websites zeigen außerdem je nach Land des Besuchers unterschiedliche Inhalte, sodass eine Seite, die Sie aus Ihrem Büro prüfen, möglicherweise nicht dem entspricht, was lokale Opfer sehen.
Recherche-Teams gehen damit mit einigen Gewohnheiten um:
- Halten Sie den Erhebungs-Traffic von Ihrem eigenen Netzwerk fern. Mit einem Residential Proxy geht die Anfrage von einem Heimanschluss in dem relevanten Land oder der relevanten Stadt aus, sodass das Ziel einen gewöhnlichen lokalen Besucher sieht und nicht Ihr Unternehmen.
- Isolieren Sie den Browser. Verwenden Sie ein separates Browserprofil oder für alles, was wahrscheinlich schädlich ist, eine virtuelle Maschine, damit Cookies und Sitzungen aus Ihrer normalen Arbeit nie beim Ziel ankommen. Wie Sicherheitsteams das in großem Umfang umsetzen, beschreibt unsere Seite zum Anwendungsfall Cybersicherheit.
- Gehen Sie sorgfältig mit Recherchekonten um. Manche Rechercheure nutzen separate Recherchekonten, oft Sockenpuppen (Sock Puppets) genannt, um Inhalte anzusehen, für die eine Anmeldung nötig ist. Viele Plattformen verbieten Fake-Konten in ihren Nutzungsbedingungen. Prüfen Sie daher die Bedingungen und die Richtlinie Ihrer Organisation, dokumentieren Sie, warum das Konto existiert, und nutzen Sie es niemals, um die Personen, zu denen Sie recherchieren, zu täuschen oder zu kontaktieren.
- Kennen Sie die Grenzen. Ein Proxy ändert die IP-Adresse, die eine Website sieht. Er verbirgt weder Ihren Browser-Fingerprint noch Ihre angemeldeten Konten oder Ihr Verhalten. Unser Erklärartikel Ein Proxy ist kein Anonymisierungswerkzeug behandelt, was Rechercheure sonst noch verraten kann.
Fazit
Wählen Sie OSINT-Tools nach der Frage aus, die Sie beantworten wollen: Zertifikats- und DNS-Abfragen für Infrastruktur, Benutzernamen- und Plattformsuche für Social Media, umgekehrte Suche und Metadaten für Bilder, Benachrichtigungsdienste für Datenlecks sowie Archivierung und Verknüpfungsanalyse, um alles zusammenzuhalten. Prüfen Sie, was jedes Tool über Ihre Suchen weitergibt, halten Sie die Erhebung von Ihrem eigenen Netzwerk fern und behandeln Sie Leak-Daten und Recherchekonten als die rechtlichen und ethischen Risiken, die sie sind.
Wenn Ihr Team Websites als lokaler Besucher in einem anderen Land sehen muss, können Sie das mit einer kostenlosen Testversion ausprobieren: 100 MB Residential Proxies über 3 Tage oder 1 Tag ISP Proxies mit bis zu 10 IPs.