Was ist eigentlich OSINT? 

Unter OSINT (Open Source Intelligence) versteht man das Beschaffen, Sammeln, Analysieren und Zusammenfassen frei verfügbarer Informationen aus öffentlichen Quellen wie dem Internet. 

OSINT Techniken sind ein probates Mittel für Sicherheitsteams um interne Daten und Infrastruktur Informationen aufzuspüren, die eigentlich nicht öffentlich sein sollten. 

Welche Daten sollten für Dritte nicht sichtbar sein? 

Dazu zählen beispielsweise interne Ressourcen wie offene Ports und vernetzte Geräte. Auch auf eigenen Webseiten und den sozialen Netzwerken und neuerdings Chat GPT lassen sich viele Informationen finden, die besser nicht veröffentlicht werden sollten.

Leider liefert OSINT nicht nur Administratoren oder Sicherheitsteams wertvolle Informationen über die Infrastruktur eines Unternehmens. Auch Hacker Teams profitieren von frei verfügbaren Informationen aus den verschiedenen Quellen des Internets.

Die Nutzung von OSINT ist vollkommen legal, solange keine personenbezogenen Daten aus z.B. den Sozialen Medien beschafft werden.

Welche Gefahr steckt für Unternehmen in den durch OSINT gewonnenen Informationen?

Sehr weit verbreitet unter Hackern ist die Suche nach Sicherheitslücken wie ungepatchte Geräte, offene Ports, falsch konfigurierte Cloud Speichern oder auch versehentlich veröffentlichte Informationen, um potentielle Angriffsziele ausfindig zu machen.

Für den Angreifer ist diese Form der Datenbeschaffung absolut gefahrlos. Eine Gefahr entdeckt zu werden, besteht praktisch nicht.

Kombiniert mit weiteren Informationen über Mitarbeiter, die aus den sozialen Medien gewonnen werden, erhalten Angreifer ein klares Bild über geeignete Opfer und die optimalen Taktiken, um das Unternehmen anzugreifen.

Was sollten Unternehmen jetzt tun?

Um mögliche Angriffsvektoren auf ihr Unternehmen oder ihre Kunden identifizieren zu können, muss OSINT zu einem zentralen Teil des Cyber-Risikomanagement werden. Dabei liegt das Problem vor allem für kleinere und mittlere Unternehmen in den enormen Datenmengen, die für die Auswertung dieser Daten benötigt werden.