OSINT vor dem Angriff: Warum öffentliche Informationen ein Sicherheitsrisiko werden

Viele Sicherheitsgespräche beginnen zu spät. Erst wenn eine verdächtige E-Mail eingegangen ist, ein Anruf auffällt oder ein Besucher sich auffällig sicher im Gebäude bewegt, wird gefragt: Woher wusste diese Person das?

Die ehrlichere Frage lautet oft: Woher hätte sie es nicht wissen können?

Öffentliche Informationen sind heute selten einzelne Hinweise. Sie bilden Muster. Namen, Funktionen, Zuständigkeiten, Fotos, Lieferantenbeziehungen, Projektankündigungen, Stellenanzeigen, Standortdetails, Messeauftritte, Urlaubsnotizen, Organigramme und private Social-Media-Spuren können zusammengenommen ein erstaunlich präzises Bild erzeugen. Für sich genommen wirkt vieles harmlos. In Kombination kann daraus eine Vorbereitungshilfe für Täuschung, Zutritt, Betrug, Erpressung oder gezielte Kontaktaufnahme werden.

Der Angriff beginnt oft vor dem ersten Kontakt

Social Engineering wird häufig als Gesprächstrick verstanden. Das greift zu kurz. Der überzeugende Anruf, die plausible E-Mail oder der scheinbar berechtigte Besuch ist meist nur die sichtbare Spitze. Davor steht Recherche.

Ein Angreifer muss nicht alles wissen. Es genügt oft, genug zu wissen, um glaubwürdig zu wirken. Der Name einer Führungskraft, ein laufendes Projekt, eine echte Lieferantenbeziehung, ein Standortwechsel, ein Foto aus dem Empfangsbereich oder eine interne Sprachgewohnheit können reichen, um Misstrauen zu senken.

OSINT ist eine Schnittstelle zwischen IT-Sicherheit, Objektschutz und Organisation

Viele Unternehmen trennen Sicherheitsfelder zu stark. IT kümmert sich um Systeme. Empfang und Objektschutz kümmern sich um Zutritt. HR kümmert sich um Stellenausschreibungen. Marketing kümmert sich um Sichtbarkeit. Geschäftsführung kümmert sich um Außenwirkung. Genau diese Trennung kann ein Problem werden.

Ein Social-Engineering-Angriff nutzt selten nur eine Ebene. Eine E-Mail kann auf einer echten Stellenausschreibung beruhen. Ein Anruf kann mit Wissen über ein laufendes Bauprojekt arbeiten. Ein Besucher kann einen Lieferantennamen verwenden, der öffentlich auf der Website steht.

Typische Informationsspuren, die unterschätzt werden

• Namen und direkte Durchwahlen von Verantwortlichen
• Fotos von Ausweisen, Arbeitsplätzen, Empfangsbereichen oder Technikräumen
• Hinweise auf Dienstleister, Wartungsfirmen oder eingesetzte Systeme
• Stellenanzeigen mit zu detaillierter Tool- oder Prozessbeschreibung
• Social-Media-Beiträge über Reisen, Abwesenheiten oder interne Ereignisse
• öffentlich sichtbare Projektpartner, Förderungen oder Baustelleninformationen

Was eine sinnvolle Sicherheitsbewertung leisten sollte

1. Sichtbarkeit erfassen: Welche Informationen sind über Organisation, Standorte, Personen, Prozesse und Dienstleister öffentlich auffindbar?
2. Angriffsszenarien ableiten: Welche glaubwürdigen Täuschungen, Kontaktwege oder Zutrittsversuche könnten daraus entstehen?
3. Schutzbedarf priorisieren: Welche Personen, Funktionen, Standorte oder Prozesse sind besonders sensibel?
4. Kommunikationsregeln anpassen: Welche Details sollten künftig nicht mehr öffentlich oder nur kontrolliert veröffentlicht werden?
5. Prozesse testen: Erkennen Empfang, Mitarbeitende, Führungskräfte und Dienstleister ungewöhnliche Kontaktaufnahmen oder plausible Vorwände?

Managementverantwortung: Sichtbarkeit braucht Regeln

OSINT-Risiken sind kein reines Mitarbeiterthema. Natürlich brauchen Beschäftigte Sensibilisierung. Aber ohne klare Vorgaben bleibt Awareness oft Appellkommunikation.

Die Leitungsebene sollte entscheiden, wie das Unternehmen mit öffentlichen Informationen umgeht. Dazu gehören Regeln für Website-Inhalte, Pressebilder, Social-Media-Beiträge, Stellenausschreibungen, Projektkommunikation, Dienstleisternennung, Veranstaltungsfotos und Profile von Schlüsselpersonen.

Praktische Prüffragen für Unternehmen

• Würde diese Information einem Fremden helfen, glaubwürdiger aufzutreten?
• Zeigt das Bild sicherheitsrelevante Bereiche, Ausweise, Monitore, Zutrittspunkte oder Routinen?
• Werden Schlüsselpersonen unnötig mit Zuständigkeit, Erreichbarkeit und Abwesenheitsmustern verbunden?
• Sind Dienstleister, Anlagen, Systeme oder interne Abläufe detaillierter sichtbar als nötig?
• Gibt es einen Rückfrageprozess, wenn jemand sich auf öffentlich bekannte Details beruft?

OSINT als Vorprüfung für Objektschutzbewertungen

Bei einer Objektschutzbewertung wird häufig zuerst an Zäune, Türen, Zutrittssysteme, Kameras, Beleuchtung, Empfang, Besucherprozesse und organisatorische Abläufe gedacht. Das ist richtig, aber nicht vollständig. Denn ein physischer Angriff, ein Zutrittsversuch oder eine Täuschung am Empfang kann digital vorbereitet werden.

Eine OSINT-Vorprüfung zeigt, mit welchem Vorwissen ein Außenstehender an einen Standort herantreten könnte. Sie ersetzt keine Begehung, macht sie aber präziser. Vor Ort wird geprüft, was tatsächlich vorhanden ist. Vorab wird geprüft, was bereits öffentlich sichtbar war.

• Welche Standorte, Zufahrten, Eingänge, Nebenzugänge oder Lieferbereiche sind öffentlich erkennbar?
• Welche Dienstleister, Wartungsfirmen, Projektpartner oder technischen Systeme werden genannt?
• Welche Personen sind mit Zuständigkeiten, Rollen, Telefonnummern oder Projektbezügen verbunden?
• Welche Bilder zeigen Empfangsbereiche, Ausweise, Monitore, Schlüssel, Technik, Fahrzeuge oder sensible Hintergrunddetails?

Der Unterschied zwischen Information und Angriffspfad

Eine Information ist noch kein Angriff. Ein Angriffspfad entsteht erst, wenn Informationen verbunden werden. Eine Website nennt eine Projektleiterin. Eine Stellenanzeige nennt ein System. Ein LinkedIn-Beitrag zeigt einen Dienstleister. Ein Foto zeigt den Empfangsbereich. Jede Information für sich kann legitim sein. Zusammen entsteht ein glaubwürdiger Vorwand.

Eine gute Sicherheitsbewertung zählt deshalb nicht nur Fundstellen. Sie fragt, welche Geschichte sich daraus bauen lässt und welche Schutzprozesse diese Geschichte prüfen würden.

Fazit

Social Engineering wirkt oft deshalb überzeugend, weil es auf realen Informationen aufbaut. Genau deshalb beginnt Prävention nicht erst beim verdächtigen Anruf oder bei der Phishing-Mail. Sie beginnt bei der Frage, welche Informationen öffentlich sichtbar sind und welche Angriffe dadurch plausibler werden.

Objektschutz, IT-Sicherheit, Awareness und Kommunikation sollten diese Frage gemeinsam beantworten. Wer seine sichtbaren Spuren kennt, kann Risiken besser bewerten, Prozesse schärfen und Täuschungsversuche früher erkennen.