OSINT, kurz für Open Source Intelligence, ist Aufklärung, die aus Informationen gewonnen wird, die sich jeder rechtmäßig beschaffen kann: Nachrichtenberichte, öffentliche Register, Unternehmensmeldungen, Social-Media-Beiträge, Satellitenbilder, Websites und die technischen Spuren, die sie hinterlassen. „Open Source“ hat hier nichts mit Open-Source-Software zu tun. Gemeint ist, dass die Quelle der Öffentlichkeit offensteht, im Gegensatz zu geheimen oder verdeckt beschafften Informationen.
Der Begriff stammt aus der staatlichen Nachrichtendienstarbeit, doch heute wird OSINT überwiegend von Journalisten, Sicherheitsteams, Analysten für Betrugsbekämpfung und Compliance, Markenschutzteams und Forschenden betrieben. Unsere Seite zu Proxies für OSINT und investigativen Journalismus behandelt die Datenerhebung für diese Teams; dieser Artikel erklärt die Grundlagen: was OSINT ist, woher die Informationen stammen, wie die Arbeit abläuft und wo die Grenzen liegen.
Eine Arbeitsdefinition
Eine der meistzitierten Definitionen stammt aus dem US-Recht. Section 931 des National Defense Authorization Act for Fiscal Year 2006 beschreibt Open Source Intelligence als Aufklärung, die „aus öffentlich zugänglichen Informationen gewonnen“ wird, welche „zeitnah erhoben, ausgewertet und an einen geeigneten Adressatenkreis weitergegeben werden, um einen bestimmten Aufklärungsbedarf zu decken“.
Zwei Elemente dieser Definition sind auch außerhalb staatlicher Stellen von Bedeutung.
- Öffentlich zugängliche Informationen sind das Rohmaterial, nicht das Ergebnis. Ein Screenshot eines Beitrags ist eine Information. Zu wissen, wer ihn veröffentlicht hat, wann, von wo aus und ob er echt ist, ist Aufklärung.
- Am Anfang steht ein Bedarf. OSINT beantwortet eine Frage, die tatsächlich jemand hat: Gibt es diesen Lieferanten wirklich, wer steckt hinter dieser Phishing-Domain, hat sich dieses Ereignis an dem Ort und zu der Zeit zugetragen, die das Video angibt. Alles Öffentliche ohne konkrete Frage zu sammeln, ist Horten und schafft eigene rechtliche Probleme.
Woher OSINT stammt
Offene Quellen lassen sich in einige grobe Gruppen einteilen.
| Quellentyp | Beispiele | Typische Fragen |
|---|---|---|
| Medien | Nachrichtenseiten, Rundfunk, Pressemitteilungen, Lokalmedien | Was wurde berichtet, von wem, wann |
| Öffentliche Register | Handelsregister, Gerichtsakten, Vergabebekanntmachungen, Grundbuch- und Bauplanungsunterlagen | Wem gehört eine Organisation oder wer leitet sie, welche rechtliche Vorgeschichte hat sie |
| Soziale Netzwerke und Community-Plattformen | Öffentliche Beiträge, Foren, Bewertungen, Videoplattformen | Was Menschen sagen, zeigen und behaupten, und wann |
| Bilder und Karten | Satelliten- und Straßenansichten, Kartendienste | Wo sich etwas befindet, ob es sich verändert hat |
| Technische Spuren | DNS-Einträge, WHOIS- und RDAP-Daten, Certificate-Transparency-Logs, archivierte Webseiten | Wer eine Domain oder einen Server betreibt, was noch damit verbunden ist |
| Graue Literatur | Wissenschaftliche Aufsätze, Berichte von NGOs, Konferenzvorträge, Veröffentlichungen von Behörden | Was über ein Thema bereits bekannt ist |
Die meisten Recherchen kombinieren mehrere dieser Quellen. Eine Domain aus einer Phishing-E-Mail führt zu Registrierungsdaten, dann zu Zertifikaten für verwandte Hostnamen, dann zu einem Eintrag im Handelsregister und schließlich zu einem Social-Media-Profil. Jeder Schritt ist für sich genommen öffentlich; der Wert liegt in den Verbindungen.
Zentrale Techniken
Erweiterte Suche. Suchoperatoren (site, filetype, exakte Phrasen, Zeiträume) grenzen riesige Ergebnismengen auf die wenigen relevanten Seiten ein. Ebenso wichtig ist es, dieselben Suchanfragen aus verschiedenen Ländern auszuführen, da sich Ergebnisse und lokale Quellen je nach Standort unterscheiden.
Archivierung und Änderungsverfolgung. Seiten ändern sich und verschwinden. Webarchive zeigen, was eine Seite früher enthielt, und erst eigene, mit Zeitstempel gesicherte Kopien samt URL und Erfassungszeitpunkt machen aus einem Fund ein Beweismittel.
Verifizierung von Bildern und Videos. Die umgekehrte Bildersuche findet frühere Kopien eines Bildes. Geolokalisierung (Abgleich von Wahrzeichen, Schildern und Gelände mit Karten) und Chronolokalisierung (Schatten, Wetter, andere Aufnahmen desselben Ereignisses) prüfen, ob ein Foto oder Video zeigt, was es zu zeigen vorgibt. Dateimetadaten können helfen, allerdings entfernen die meisten Plattformen sie beim Hochladen.
Infrastrukturanalyse. In der Sicherheitsarbeit lassen sich mit DNS-Verlauf, Certificate-Transparency-Logs und Hosting-Daten die Domains und Server eines Angreifers kartieren. Unser Artikel über Residential Proxies für Threat Intelligence erläutert, warum sich ein Teil dieser Infrastruktur je nach Betrachter unterschiedlich verhält.
Registerrecherche. Unternehmens-, Gerichts- und Vergaberegister beantworten Fragen zu Eigentumsverhältnissen und Vorgeschichte. Unser Leitfaden zur Erhebung öffentlicher Register für investigative Berichterstattung behandelt Methodik und Verifizierung im Detail.
Wie die Arbeit organisiert ist
Professionelle OSINT-Arbeit folgt einem Zyklus: Frage definieren, erheben, aufbereiten (Duplikate entfernen, übersetzen, strukturieren), analysieren und schließlich an die Person berichten, die die Antwort benötigt. Der Zyklus wiederholt sich, wenn Erkenntnisse neue Fragen aufwerfen.
Zwei Gewohnheiten unterscheiden verlässliche Arbeit von Vermutungen:
- Bestätigung. Eine einzelne Quelle reicht nie aus. Behauptungen werden anhand unabhängiger Quellen überprüft, und der Bericht gibt an, wie sicher sich der Analyst ist.
- Dokumentation. Zu jedem Fund wird festgehalten, woher er stammt, wann und wie er erfasst wurde. Das Berkeley Protocol on Digital Open Source Investigations, herausgegeben vom Human Rights Center der UC Berkeley gemeinsam mit dem UN-Hochkommissariat für Menschenrechte, legt solche Standards für Ermittlungen fest, die möglicherweise vor Gericht landen.
Rechtliche Grenzen
„Öffentlich“ heißt nicht „alles ist erlaubt“. Die wichtigsten Grenzen sind folgende. Es handelt sich um allgemeine Informationen, nicht um Rechtsberatung; die Regeln hängen von Ihrem Land und Ihrem Zweck ab.
Personenbezogene Daten bleiben personenbezogene Daten. Nach der DSGVO und vergleichbaren Gesetzen sind Informationen über eine identifizierbare Person auch dann geschützt, wenn sie offen veröffentlicht wurden. Ihre Erhebung erfordert eine Rechtsgrundlage, einen klaren Zweck und darf nur so weit gehen, wie der Zweck es verlangt. Für Journalismus und Sicherheitsforschung gelten oft besondere Ausnahmen, doch auch diese sind nicht unbegrenzt.
Öffentlich bedeutet, dass Sie nirgendwo eindringen mussten. Der unbefugte Zugriff auf Konten, private Gruppen oder Systeme kann nach Gesetzen gegen Computermissbrauch strafbar sein, etwa nach dem US-amerikanischen Computer Fraud and Abuse Act oder dem britischen Computer Misuse Act. Passwörter zu erraten, geleakte Zugangsdaten zu verwenden oder eine Login-Sperre zu umgehen, ist kein OSINT.
Die Nutzungsbedingungen der Plattformen gelten weiterhin. Viele Websites schränken in ihren Bedingungen die automatisierte Erhebung oder Fake-Konten ein. Ein Verstoß gegen die Bedingungen ist meist eine vertragsrechtliche Angelegenheit und keine Straftat, kann aber zur Sperrung von Konten führen und die Belastbarkeit Ihrer Beweise schwächen.
Das Urheberrecht betrifft, was Sie erneut veröffentlichen. Eine Seite zu erfassen, um sie zu analysieren, ist etwas anderes, als die darin enthaltenen Fotos oder Texte zu veröffentlichen.
Zur speziellen Frage der automatisierten Erhebung geht unser Überblick ob Web Scraping legal ist die wichtigsten Fälle durch.
Ethische Grenzen
Das Gesetz ist die Untergrenze, nicht der Maßstab. Erfahrene Rechercheure fragen außerdem:
- Ist es verhältnismäßig? Die Kartierung eines Betrugsnetzwerks rechtfertigt eine umfangreichere Erhebung als bloße Neugier auf eine Privatperson.
- Wer könnte zu Schaden kommen? Unbeteiligte, Quellen und Familienangehörige tauchen ebenfalls in öffentlichen Daten auf. Bewahren Sie so wenig wie möglich über Personen auf, die nicht Gegenstand der Recherche sind.
- Könnte der Befund falsch sein? Eine öffentliche Fehlidentifizierung, insbesondere im Internet, richtet bleibenden Schaden an. Sichern Sie Ihre Erkenntnisse ab, bevor Sie jemanden namentlich nennen.
- Schützen Sie sich selbst und Ihre Quellen? Eine Recherche kann die betroffene Person vorwarnen, und manche reagieren mit Vergeltung.
Welche Rolle Proxies spielen
OSINT-Arbeit hat eine Netzwerkebene, die leicht übersehen wird. Jede Seite, die Sie aufrufen, erfährt Ihre IP-Adresse. Das kann Ihre Organisation gegenüber dem Gegenstand einer Recherche offenlegen, und viele Websites zeigen je nach scheinbarem Standort des Besuchers unterschiedliche Inhalte, Ergebnisse oder Preise.
Mit einem Residential Proxy kann ein Analyst eine Website so sehen wie ein lokaler Besucher in dem relevanten Land oder der relevanten Stadt, und das eigene Netzwerk der Organisation taucht nicht in den Logs des Ziels auf. Teams, die in großem Umfang erheben, etwa Sicherheitsteams, die Phishing-Kits oder Markenmissbrauch überwachen, nutzen ihn außerdem, um Anfragen zu verteilen, damit die Erhebung im Rahmen dessen bleibt, was Websites tolerieren. Unser Anwendungsfall Cybersicherheit beschreibt diese Abläufe.
Seien Sie sich im Klaren darüber, was das leistet und was nicht. Ein Proxy ändert die IP-Adresse, die eine Website sieht; er macht einen Rechercheur nicht anonym, und angemeldete Konten, Browser-Fingerprints und Verhalten können Sie weiterhin identifizieren. Unser Erklärartikel Ein Proxy ist kein Anonymisierungswerkzeug geht auf diese Grenzen ein, und die operative Sicherheit muss sie abdecken.
FAQ
Wofür steht OSINT?
Open Source Intelligence: Aufklärung, die aus öffentlich zugänglichen Informationen gewonnen wird. „Open Source“ bezieht sich darauf, dass die Quelle öffentlich ist, nicht auf Open-Source-Software.
Ist OSINT legal?
Das Erheben und Analysieren öffentlicher Informationen ist grundsätzlich legal, doch Datenschutzrecht, Gesetze gegen Computermissbrauch, Nutzungsbedingungen der Plattformen und Urheberrecht gelten weiterhin. Personenbezogene Daten bleiben auch dann geschützt, wenn sie öffentlich sind, und das Umgehen von Logins oder Zugangskontrollen ist kein OSINT.
Wer nutzt OSINT?
Journalisten, Sicherheits- und Threat-Intelligence-Teams, Analysten für Betrugsbekämpfung und Compliance, Due-Diligence-Firmen, Markenschutzteams, Menschenrechtsforscher und Regierungen.
Was ist der Unterschied zwischen OSINT und Data Scraping?
Scraping ist eine Methode der Datenerhebung. OSINT ist der gesamte Prozess, eine Frage anhand öffentlicher Quellen zu beantworten: Planung, manuelle oder automatisierte Erhebung, Verifizierung, Analyse und Berichterstattung.
Fazit
OSINT ist nicht „jemanden googeln“. Es ist ein disziplinierter Weg, eine konkrete Frage anhand öffentlicher Quellen zu beantworten, mit Bestätigung, Dokumentation und klaren Grenzen. Gehen Sie von der Frage aus, erheben Sie nur, was sie erfordert, halten Sie fest, woher jeder Fund stammt, und betrachten Sie die rechtlichen und ethischen Grenzen als Teil der Methode.