Deine OSINT-Geschäftssicherheitsstrategie: Wie Angreifer Unternehmen recherchieren

Ein gezielter Angriff beginnt oft mit einer Suche. Hacker suchen nach Informationen wie der Berufsbezeichnung eines Mitarbeiters, einer Stellenanzeige, die deine Geschäftstools nennt, einer offengelegten E-Mail-Adresse oder einer alten Subdomain. Für sich genommen wirken diese Details nicht gefährlich. Doch Angreifer sammeln gezielt viele kleine Hinweise und Informationen, um eine Phishing-E-Mail-Kampagne, eine gefälschte Anmeldeseite oder einen Anruf unter falscher Identität zu erstellen, der glaubwürdig wirkt.

Open Source Intelligence (OSINT) verwandelt öffentliche Informationen in die Vorbereitung eines gezielteren Angriffs. Deine OSINT-Geschäftssicherheitsstrategie ist die Art und Weise, wie dein Unternehmen sich schützt. Für Unternehmen ist die Herausforderung zweigeteilt: zu prüfen, was bereits öffentlich ist und überhaupt zu wissen, was existiert, und dann zu beurteilen, welche öffentlichen Details Kunden, Bewerbern und Partnern helfen und welche still und leise Angreifern helfen, deine Mitarbeiter, Tools, Anmeldedaten und Zugangspunkte zu kartieren.

Was OSINT im Bereich Cybersicherheit bedeutet

Im Kontext der Cybersicherheit ist OSINT die Nutzung öffentlich verfügbarer Informationen, um mögliche Angriffspfade zu identifizieren. Die Informationen können aus Suchmaschinen, sozialen Medien, Unternehmenswebsites, Jobbörsen, öffentlichen Code-Repositories und anderen Quellen stammen, für die kein Eindringen in ein System erforderlich ist.

Angreifer nutzen OSINT, um praktische Fragen über ein Unternehmen zu beantworten, wie zum Beispiel:

• Wer arbeitet hier?
• Wer genehmigt Zahlungen?
• Welche Tools verwendet das Unternehmen?
• Wie sieht das E-Mail-Format aus?
• Welche Lieferanten oder Kunden könnten vertrauenswürdig sein?
• Welche Konten könnten bereits offengelegt sein?
• Welche Systeme sind aus dem Internet erreichbar?

OSINT liefert Hackern Details, die ihre Angriffe glaubwürdig machen. Ein generischer Betrug bittet einfach um eine Handlung, doch ein recherchierter Betrug ist auf eine bestimmte Person ausgerichtet, wird von einer Person gesendet, die sie kennen oder der sie vertrauen können, und erwähnt ein reales Arbeitsprojekt oder nicht-öffentliche Informationen.

Die Cyber Security Breaches Survey 2024(neues Fenster)⁠ des Vereinigten Königreichs ergab, dass die Hälfte der britischen Unternehmen angab, in den vorangegangenen 12 Monaten eine Cybersicherheitsverletzung oder einen Angriff festgestellt zu haben. Phishing blieb die häufigste Art von Verletzung oder Angriff bei den betroffenen Unternehmen. OSINT ist nicht dasselbe wie Phishing, aber es ist ein Vorteil, den Hacker nutzen können, um Phishing überzeugender zu machen und es für Mitarbeiter schwieriger zu machen, es zu verwerfen.

Was Angreifer über dein Unternehmen erfahren können

Hacker verwenden eine Vielzahl unterschiedlicher Methoden, um Informationen zu sammeln. Hier sind einige der häufigsten und effektivsten Wege.

Leute

LinkedIn, Unternehmens-Biografieseiten, Konferenzagenden, Podcasts, Webinare und Presseerwähnungen können Namen, Berufsbezeichnungen, Berichtslinien, Dienstalter, Standorte und Verantwortungsbereiche preisgeben. Das hilft Angreifern zu entscheiden, wen sie imitieren und auf wen sie Druck ausüben.

Zum Beispiel kann ein Angreifer, der den Namen eines CFO, das E-Mail-Format des Unternehmens und die aktuelle Software des Finanzteams kennt, eine Nachricht erstellen, die viel weniger generisch wirkt als gewöhnlicher Spam. Die Anfrage kann einen echten Lieferanten erwähnen, sich auf einen Zahlungsprozess beziehen, der im Unternehmen existiert, oder zu einem Zeitpunkt eintreffen, an dem das Team bereits eine rechnungsbezogene Kommunikation erwartet. Keine dieser Informationen erfordert Zugriff auf ein privates System.

Tools

Stellenanzeigen erwähnen oft die Plattformen, die Bewerber kennen sollen: CRMs, Lohnbuchhaltungstools, Helpdesk-Software, Analyseplattformen, Kollaborationstools und Entwicklungsumgebungen. Öffentliche Bewertungen, Fallstudien, Integrationen und Mitarbeiterprofile können noch mehr preisgeben.

Die Offenlegung von Tools hilft Angreifern, ihren Phishing-Vorwand anzupassen. Eine Phishing-E-Mail, die besagt „dein Konto wurde markiert“, ist nicht überzeugend, aber eine Nachricht, die das genaue CRM, HR-System oder Kollaborationstool nennt, das das Team verwendet, schon.

Technischer Fußabdruck

Subdomains, exponierte Dienste, Zertifikatseinträge, alte Staging-Umgebungen und falsch konfigurierte Anmeldeseiten können verraten, wo ein Unternehmen Online-Systeme hat. Angreifer können auch nach öffentlichen Repositories suchen, die alte Anmeldedaten, API-Schlüssel, interne URLs oder Konfigurationsdateien enthalten, die versehentlich während der Entwicklung committet wurden.

Daten aus Datenlecks

E-Mail-Adressen, Benutzernamen, Passwörter, Telefonnummern und andere persönliche oder geschäftliche Details, die bei früheren Datenlecks offengelegt wurden, können zu Rohmaterial für einen späteren Angriff werden. Protons Data Breach Observatory⁠ zeigt, wie geleakte Daten auch nach dem ursprünglichen Vorfall weiterhin Risiken schaffen können, insbesondere wenn Anmeldedaten, Kontaktdaten und Mitarbeiterinformationen mit einem Unternehmen in Verbindung gebracht werden können.

Wie OSINT gezielte Angriffe ermöglicht

OSINT wird gefährlich, wenn Angreifer gesammelte Daten nutzen, um eine glaubwürdige Geschichte zu konstruieren. Man stelle sich ein Unternehmen vor, das Mitarbeiterprofile veröffentlicht, Kundenlogos auflistet, eine kürzliche CRM-Migration in Stellenanzeigen erwähnt und ein vorhersehbares E-Mail-Format verwendet. Ein Finanzmitarbeiter erhält dann eine Nachricht, die von einer Führungskraft zu stammen scheint, auf einen echten Lieferanten verweist und um dringende Zahlungsunterstützung bittet. Die E-Mail muss nur genügend vertraute Details enthalten, um das Misstrauen zu verringern.

Dasselbe Muster gilt für Angriffe auf Anmeldedaten. Ein Angreifer findet die geschäftliche E-Mail eines Mitarbeiters in Datenlecks, sieht auf LinkedIn, dass die Person im Betrieb arbeitet, und erfährt aus Stellenanzeigen, dass das Unternehmen eine bestimmte SaaS-Plattform verwendet. Die nächste Phishing-Nachricht kann diese Plattform imitieren und mit einer Sprache eintreffen, die zur Rolle des Mitarbeiters passt.

Telefonbetrug kann ebenfalls durch OSINT geprägt werden. Ein Anrufer, der den IT-Anbieter des Unternehmens, den Namen der Abteilungsleitung oder den Zeitpunkt eines Projekts kennt, klingt legitim. Deshalb sind OSINT und Social Engineering miteinander verwoben: Öffentliche Informationen geben Angreifern das Selbstvertrauen und die Details, die nötig sind, um Menschen in Echtzeit zu manipulieren.

Das Unternehmen erlebt den finalen Angriff möglicherweise als Phishing, Vishing, Kontoübernahme, Rechnungsbetrug oder Diebstahl von Anmeldedaten. Die Vorarbeit könnte von Anfang an OSINT gewesen sein.

Geleakte Anmeldedaten sind ebenfalls OSINT

Daten aus Datenlecks werden oft als direktes Risiko für Kontoübernahmen diskutiert: Wenn ein Passwort geleakt wird, können Angreifer es an mehreren Einstiegspunkten ausprobieren. Das ist nach wie vor ein ernstes Problem, insbesondere wenn Mitarbeiter Passwörter über Dienste hinweg wiederverwenden.

Aber geleakte Anmeldedaten können Angreifern auch helfen, das Unternehmen hinter dem Konto zu verstehen. Eine offengelegte E-Mail-Adresse kann bestätigen, welche Dienste ein Mitarbeiter genutzt hat, während alte Passwörter, Telefonnummern und wiederkehrende Unternehmensdomains Kontext für zukünftige Phishing-, Vishing- oder Kontoübernahmeversuche liefern können. Das Datenleck mag woanders passiert sein, aber die Informationen können einem Angreifer immer noch helfen, ein genaueres Bild von deinem Team zu erstellen.

Protons Data Breach Observatory hebt hervor, wie offengelegte Daten Phishing, Angriffe auf Anmeldedaten und breiteres Social Engineering unterstützen können. Es hebt auch hervor, dass geleakte Daten nach dem ersten gemeldeten Datenleck nicht aufhören, für Angreifer nützlich zu sein. Diese Daten können wiederverwendet, kombiniert und für zukünftige Angriffe umgestaltet werden.

Die Überwachung offengelegter geschäftlicher E-Mails und Anmeldedaten hilft Organisationen, mehr zu sehen als nur das Passwort, das geändert werden muss. Sie kann aufdecken, wo Mitarbeiter Arbeitsadressen verwendet haben, welche Dienste mit dem Unternehmen verbunden sein könnten und ob dieselbe Identität in mehreren Leaks auftaucht.

Dies ist wesentlich, weil Angreifer Informationen wiederverwenden können, nicht nur um alte Passwörter auszuprobieren, sondern um zukünftige Phishing-, Vishing- oder Identitätsbetrugsversuche spezifischer wirken zu lassen. Ein geleaktes Anmeldedatum ist selten nur ein isoliertes Anmeldedatum. Es kann Teil der Hintergrundrecherche werden, die den nächsten Angriff effektiver macht.

Reduziere, was Angreifer aus öffentlichen Quellen erfahren können

Kein Unternehmen kann sich vollständig aus der Öffentlichkeit zurückziehen, und das sollte auch nicht das Ziel sein. Kunden, Bewerber und Partner brauchen weiterhin genügend Informationen, um zu verstehen, wer du bist und wie sie mit dir zusammenarbeiten können.

Das Risiko liegt darin, Details zu veröffentlichen, die über diesen Zweck hinausgehen: interne Toolnamen, direkte Kontaktmuster, Genehmigungsabläufe oder technische Hinweise, die Angreifern ein schärferes Bild davon geben, wie das Unternehmen arbeitet.

• Beginne mit deinen öffentlich zugänglichen Informationen. Überprüfe Unternehmensseiten, Teambios, Pressemitteilungen, Fallstudien, Artikel im Hilfezentrum, Stellenanzeigen, Social-Media-Posts und öffentliche Dokumente. Achte auf Details, die interne Systeme, Genehmigungsprozesse, Zugangswege oder sensible Arbeitsabläufe verraten.
• Stellenanzeigen verdienen besondere Aufmerksamkeit. Bewerber müssen möglicherweise die groben Kategorien der Tools kennen, die sie verwenden werden, aber öffentliche Anzeigen müssen nicht immer jede SaaS-Plattform, jedes Sicherheitsprodukt, jedes CRM, jedes Zahlungstool, jeden Cloud-Anbieter oder jeden internen Workflow nennen. Je spezifischer die Tool-Liste, desto einfacher wird es, eine gefälschte Anmeldeaufforderung, Support-Nachricht oder Anbieteranfrage zu erstellen.
• Mitarbeiterinformationen brauchen ebenfalls Balance. Dienstalter, Rolle und Fachwissen können angemessen sein zu teilen, aber direkte Telefonnummern, persönliche Details, Reisemuster, interne Projektnamen oder unnötige Details zur Berichtsstruktur können Angreifern mehr Material liefern.
• Öffentliche Code-Repositories sollten regelmäßig überprüft werden. Alte Projekte, Testdateien, Dokumentationen oder Konfigurationsbeispiele können Geheimnisse enthalten, die nicht für die Öffentlichkeit bestimmt waren. Selbst wenn Anmeldedaten abgelaufen sind, können interne URLs, Namenskonventionen und Dienstverweise Angreifern noch helfen, die Umgebung zu verstehen.

Reduziere den Wert dessen, was Angreifer finden

OSINT wird immer existieren, weil Unternehmen sichtbar sein müssen. Das Ziel ist, die Menge unnötiger verfügbarer Informationen zu reduzieren und zu begrenzen, was Angreifer mit den Details tun können, die sie finden.

Öffentliche Informationen sind der erste Ort, um unnötige Exposition zu reduzieren. Stellenanzeigen, Unternehmensprofile, Mitarbeiterseiten, Repositories, Subdomains und alte Dokumente sollten den Menschen genügend Kontext geben, um dem Unternehmen zu vertrauen und es zu verstehen, nicht eine detaillierte Ansicht davon, wie es hinter den Kulissen arbeitet. Wenn interne Toolnamen, technische Hinweise oder Prozessdetails nicht öffentlich benötigt werden, sollten sie besser nicht sichtbar sein.

Kontrollen für Anmeldedaten sind genauso wichtig. Offengelegte E-Mail-Adressen und geleakte Passwörter gehören zu den einfachsten OSINT-Signalen, die in Aktionen umgesetzt werden können. Einzigartige Passwörter, MFA, Passkeys, sichere Freigabe, Überwachung von Datenlecks und kontrollierter Zugriff machen Aufklärung weniger nützlich.

Überprüfe deinen technischen Fußabdruck, ohne einen Fahrplan zu veröffentlichen

Technische Exposition ist ebenfalls Teil von OSINT. Domains, Subdomains, Anmeldeportale, Cloud-Dienste, Entwicklungsumgebungen, API-Endpunkte und öffentliche Repositories können Angreifern helfen zu verstehen, wie ein Unternehmen online strukturiert ist.

Eine regelmäßige Überprüfung hilft dabei, zu unterscheiden, was absichtlich öffentlich ist und was veröffentlicht und vergessen wurde. Alte Staging-Seiten, ungenutzte Subdomains, Standard-Servicebildschirme, veraltete Dokumentation, offengelegte Konfigurationsnotizen und öffentliche Repositories mit internen Referenzen mögen nicht dringend erscheinen, aber sie können die Aufklärung erleichtern.

Viele Korrekturen sind einfach: alte Seiten entfernen, Zugriff beschränken, Dokumentation aktualisieren, offengelegte Geheimnisse rotieren oder interne Details aus öffentlichen Repositories entfernen. Andere Befunde benötigen möglicherweise nur einen klaren Verantwortlichen und einen Grund, sichtbar zu bleiben. Öffentliche Exposition wird zu einer Entscheidung statt zu einer Unterlassung.

OSINT-Prüfungen in Sicherheitsroutinen integrieren

OSINT-Exposition ist nicht statisch. Sie wächst jedes Mal, wenn ein Unternehmen etwas Neues veröffentlicht, einen Workflow ändert, für eine Rolle einstellt, ein Projekt startet, auf einer Lieferantenseite erscheint oder Mitarbeiterdaten in einem Datenleck offengelegt werden. Jedes Update scheint isoliert harmlos zu sein, aber mit der Zeit kann es Angreifern einen klareren Blick auf die Mitarbeiter, Tools, Beziehungen und Zugriffspunkte des Unternehmens geben.

Ein einfacher Satz von Prüfungen und Überprüfungen kann helfen:

• Öffentlich zugängliche Unternehmensinformationen vierteljährlich überprüfen
• Stellenanzeigen vor der Veröffentlichung auf unnötige Tool- oder Workflow-Details prüfen
• Exposition durch Datenlecks für geschäftliche E-Mail-Adressen überwachen
• Öffentliche Repositories und exponierte Dienste überprüfen
• Abteilungsleiter fragen, ob öffentliche Informationen sensible Prozesse oder Zugriffsmuster preisgeben.

Bevor Informationen veröffentlicht werden, sollte sich immer jemand fragen: Könnte dies einem Angreifer helfen, eine überzeugendere Nachricht, einen Anruf oder einen Anmeldeversuch zu erstellen?

Anmeldedaten mit Aliassen schwerer verbindbar machen

E-Mail-Aliase können helfen, die Menge an Informationen zu reduzieren, die Angreifer über Dienste hinweg verbinden können. Wenn dieselbe E-Mail-Adresse für jeden Dienst verwendet wird, wird es einfacher, Konten zu verknüpfen, Datenlecks zu durchsuchen, Anmeldeportale zu erraten und ein Profil des Mitarbeiters oder Unternehmens zu erstellen.

Für einige Geschäftsabläufe ist eine Standard-E-Mail-Adresse notwendig. Mitarbeiter benötigen stabile Identitäten für die Arbeit, Kunden und die Zusammenarbeit. Aber Aliase können nützlich sein für Anmeldungen, Newsletter, Testversionen, Anbietertests, Termine oder Dienste, die keine primäre Geschäftsadresse einer Person erfordern.

E-Mail-Aliase sind nützlich, weil sie Konten trennen, die Angreifer sonst mit demselben Mitarbeiter, Team oder Geschäftsadresse verbinden würden. Sie können auch die Exposition leichter nachverfolgbar machen. Wenn ein für einen Anbieter erstellter Alias beginnt, unzusammenhängende Anmeldeversuche oder Phishing-Nachrichten zu erhalten, hat das Unternehmen ein klareres Signal dafür, wo diese Adresse möglicherweise exponiert wurde.

Aliase funktionieren am besten, wenn sie mit einem geschäftlichen Passwort-Manager wie Proton Pass for Business kombiniert werden. Jedes Konto benötigt weiterhin ein eindeutiges Passwort, kontrollierten Speicher und klare Eigentümerschaft. Ohne diese Struktur können Aliase zu einer weiteren manuellen Gewohnheit für Mitarbeiter werden, die sie selbst verwalten müssen.

OSINT mit Proton Pass for Business verwalten

Ein geschäftlicher Passwort-Manager wie Proton Pass for Business kann dir helfen, auf Datenlecks zu überwachen und dein Netzwerk mit Funktionen zur Anmeldedaten-Gesundheit zu schützen. Mit Proton Pass for Business⁠ können Teams eindeutige Passwörter erstellen, sie in verschlüsselten Passwort-Tresoren speichern, automatisches Ausfüllen verwenden, Anmeldedaten sicher teilen, Passkeys verwalten und integrierte Zwei-Faktor-Authentifizierung (2FA) nutzen.

Administratorfunktionen wie Richtlinien, Berichte, Protokolle, rollenbasierte Zugriffskontrolle, SCIM-Bereitstellung und SSO-Integration helfen Unternehmen, den Zugriff auf Anmeldedaten kontrollierter zu halten, während sie wachsen.

Ein geschäftlicher Passwort-Manager beseitigt nicht die OSINT-Exposition, aber er kann die Informationen, die Angreifer finden, weniger nützlich machen. Wenn Anmeldedaten einzigartig sind, in verschlüsselten Tresoren gespeichert, über genehmigte Bereiche geteilt und mit 2FA oder Passkeys geschützt werden, hat ein geleaktes Passwort oder eine überzeugende gefälschte Anmeldeseite weniger Raum, um zu einem breiteren Zugriff zu werden. Es gibt Mitarbeitern auch eine klarere Regel, die sie befolgen sollten: Geschäftliche Anmeldedaten sollten im Passwort-Manager bleiben, nicht in E-Mails, Chats, Tabellen oder Telefonaten.

Angreifer werden immer noch dein Unternehmen recherchieren. Die Frage ist, wie viel sie lernen können, wie genau dieses Bild ist und wie weit sie damit gehen können.

Reduziere die Exposition der Anmeldedaten deines Unternehmens mit einem geschäftlichen Passwort-Manager⁠.