Blog

Der digitale Schatten Ihrer Immobilie: Wenn OSINT den physischen Einbruch vorbereitet

Kennen Sie das Gefühl, beobachtet zu werden? Im klassischen Objektschutz suchen wir nach Spähern im Gebüsch, analysieren Sichtachsen oder notieren uns verdächtige Fahrzeuge, die wiederholt vor dem Werkstor parken. Wir bauen Zäune nach Normen, installieren Kameras mit modernster Analytik und setzen Wachdienste ein, die regelmäßig ihre Runden drehen. Das ist wichtig. Das ist richtig.

Aber es ist unvollständig und in der heutigen Bedrohungslage oft nur die halbe Miete.

Die gefährlichste und effektivste Aufklärung findet heute nicht mehr nachts bei Regen mit dem Fernglas statt. Sie passiert am helllichten Tag, tausende Kilometer entfernt, bequem vom klimatisierten Schreibtisch aus. Das Werkzeug der Wahl: OSINT (Open Source Intelligence).

Als Sicherheitsberater sehe ich oft hervorragend gesicherte Areale – physisch betrachtet. Doch digital stehen alle Türen sperrangelweit offen. Wenn ich ein Sicherheitskonzept bewerte, beginne ich genau dort, wo es auch ein potenzieller Angreifer tun würde: nicht am Zaun, sondern bei Google, in sozialen Netzwerken, in öffentlichen Datenbanken und in den Metadaten Ihrer eigenen Website. Und oft weiß ich mehr über die Schwachstellen eines Gebäudes, die Routinen der Belegschaft und die verbaute Technik als der Sicherheitschef vor Ort – noch bevor ich überhaupt einen Fuß auf das Gelände gesetzt habe.

In dieser Ausgabe schauen wir uns im Detail an, warum Objektschutz und IT-Sicherheit untrennbar geworden sind, welche konkreten digitalen Spuren Ihr Gebäude hinterlässt und wie Sie Ihren „digitalen Perimeter“ wirksam schützen.

1. Google Maps & Co.: Die Zeitreise über den Zaun

Früher brauchte man Drohnen oder Hubschrauber für Luftbilder – ein Aufwand, der Aufsehen erregte und Geld kostete. Heute liefert Google Earth oder Bing Maps hochauflösende Aufnahmen, die oft aktueller sind als Ihre eigenen Bestandspläne in der Schublade. Doch das Risiko geht weit über ein einfaches „Bild von oben“ hinaus.

Ein professioneller Angreifer nutzt die historische Zeitachse von Satellitendiensten. Was bedeutet das für Sie? Selbst wenn Ihr Gelände heute perfekt versiegelt ist, zeigen Aufnahmen von vor drei Jahren vielleicht die Baustelle. Dort sehe ich:

• Wo genau die Erdkabel für Strom und Daten verlaufen, bevor der Graben zugeschüttet wurde.

• Wie die Fundamente der Sicherheitszäune beschaffen sind (und wo sie vielleicht schwächer sind).

• Wo Revisionsschächte und Notausgänge liegen, die heute hinter Gebüsch versteckt sind.

Zusätzlich liefert Street View oder User-Generated-Content (360-Grad-Fotos von Passanten) Details, die man aus der Luft nicht sieht:

• Kameramodelle: Ein Zoom auf die Linse verrät oft den Hersteller. Damit kenne ich die blinden Flecken und die technischen Grenzen des Systems.

• Soziale Hotspots: Wo stehen die Raucher? Dort stehen oft Türen verkeilt offen („nur mal kurz lüften“). Es sind die idealen Orte für Social Engineering oder das unbemerkte Einschleusen.

• Logistikmuster: Wann kommen die Lieferanten? Wo müssen LKW warten? Wenn ich weiß, dass zwischen 06:00 und 07:00 Uhr das Tor für die Anlieferung dauerhaft offen steht, ist das mein Zeitfenster.

Das Risiko: Wir investieren massiv in Sichtschutz und blickdichte Zäune an der Straße, vergessen aber, dass der virtuelle Blick von oben und die digitale Zeitreise freie Sicht auf kritische Infrastruktur gewähren, die wir längst vergessen glaubten.

2. Der „stolze Architekt“ und das PDF-Problem

Transparenz ist in der Architektur ein Qualitätsmerkmal, in der Sicherheit jedoch ein Risiko. Es ist verständlich: Architekten, Bauunternehmen, Fensterbauer und Sicherheitstechniker sind stolz auf ihre Arbeit. Sie wollen Referenzen zeigen, um neue Kunden zu gewinnen. Auf vielen Websites von Dienstleistern finde ich deshalb detaillierte „Success Stories“.

Das Problem dabei ist die Detailtiefe, die hier oft unbedarft veröffentlicht wird:

• Hochauflösende Fotos: Man sieht nicht nur das schöne Foyer, sondern im Hintergrund auch die Position der Bewegungsmelder, die Marke der Vereinzelungsanlagen und manchmal sogar die Bildschirme des Empfangspersonals.

• Grundrisse und Schnittzeichnungen: In „Best Practice“-Broschüren oder Architektur-Awards werden oft die kompletten Layouts veröffentlicht – inklusive Fluchtwegen, Serverräumen und der Lage des Chefbüros.

• Technische Spezifikationen: Wenn ein Errichter stolz berichtet, dass er „System XY der Marke Z“ für die Zutrittskontrolle verbaut hat, muss ich als Angreifer nicht mehr raten. Ich lade mir das Handbuch herunter und suche gezielt nach bekannten Exploits (Schwachstellen) oder Standard-Passwörtern für genau dieses System.

Besonders kritisch sind öffentliche Ausschreibungen. Bei staatlichen oder kommunalen Objekten sind Leistungsverzeichnisse oft öffentlich einsehbar. Dort steht exakt, welches Widerstandsglas (z.B. P4A) gefordert ist oder welches Schließsystem ausgeschrieben wurde. Ein Einbrecher weiß also genau, welches Werkzeug er mitbringen muss – und welches nicht.

3. Der Faktor Mensch: Selfies aus der Sicherheitszone

Ihre Mitarbeiter sind Ihre größte Ressource – und ungewollt oft Ihre größten Verräter. In einer Zeit, in der „Employer Branding“ und Social Media zum Alltag gehören, verschwimmen die Grenzen zwischen privat und beruflich. Ein unbedachtes Selfie aus dem Büro, gepostet auf LinkedIn, Instagram oder TikTok, kann für einen OSINT-Analysten Gold wert sein.

Was sieht ein Experte (oder Krimineller) auf solchen Bildern, was Sie vielleicht übersehen?

• Mitarbeiterausweise: Oft hängen sie gut sichtbar am Schlüsselband oder liegen auf dem Tisch. Ein hochauflösendes Foto reicht oft, um den Ausweis zu klonen. Barcodes oder QR-Codes auf den Ausweisen lassen sich direkt vom Foto scannen und entschlüsseln. Selbst wenn der Ausweis nicht kopiert wird: Ich kenne nun das Design und kann mir einen täuschend echten Besucherausweis basteln.

• Post-its am Monitor: Der Klassiker stirbt nicht aus. WLAN-Passwörter, Telefonnummern der IT-Hotline oder interne Codes kleben oft gut sichtbar am Bildschirmrand.

• Software im Hintergrund: Welche Versionen laufen auf den Bildschirmen? Sehe ich veraltete Windows-Versionen? Sehe ich interne Fehlermeldungen? Das sind Einfallstore für Cyberangriffe, die dann physische Folgen haben können (z.B. Lahmlegen der Zutrittskontrolle).

• Metadaten (Exif): Wenn Bilder original hochgeladen werden, enthalten sie oft GPS-Koordinaten. Ein Foto aus dem „geheimen“ neuen Labor verrät dessen exakte Position im Gebäudekomplex.

4. Wenn KI die Puzzleteile zusammensetzt

Hier kommt meine Rolle als KI-Consultant ins Spiel: Die Gefahr durch OSINT hat sich durch Künstliche Intelligenz potenziert. Früher war OSINT mühsame Handarbeit. Ein Mensch musste Foren durchsuchen und Bilder manuell auswerten. Das skalierte nicht.

Heute scannen KI-gestützte Tools das Netz automatisiert und permanent nach Ihrer Firma. Sie leisten Erschreckendes:

• Pattern of Life Analyse: KI verknüpft Geodaten von Fitness-Trackern (z.B. Strava) mit Mitarbeiterprofilen. Laufen Ihre Sicherheitsleute mit Fitnessuhren Patrouille? Dann sind ihre Routen und vor allem die Lücken in den Routen oft öffentlich im Netz einsehbar.

• Stimmungsbarometer: KI analysiert die Stimmung in der Belegschaft auf Plattformen wie Kununu oder Glassdoor. Hohe Unzufriedenheit in der IT-Abteilung? Das ist ein Risiko für Innentäter (Insider Threats) oder ein Ansatzpunkt, um frustrierte Mitarbeiter zu bestechen.

• Deepfake-Vorbereitung: Aus YouTube-Videos von Pressemitteilungen oder Podcasts lernt eine KI die Stimme Ihres CEOs. In Kombination mit dem Wissen über interne Abläufe (aus den oben genannten Quellen) wird ein Anruf beim Werkschutz („Hier ist der Chef, lassen Sie den Techniker sofort rein!“) extrem glaubwürdig (Vishing).

Was Sie tun müssen: Der digitale Perimeterschutz

Sicherheit ist nicht mehr teilbar. Objektschutz ohne den Blick auf den digitalen Fußabdruck ist wie ein Tresor ohne Rückwand. Sie müssen die Hoheit über Ihre Daten zurückgewinnen. Hier sind drei Schritte, die Sie sofort umsetzen sollten:

1. Führen Sie einen „Digital Footprint Check“ durch Wechseln Sie die Perspektive. Beauftragen Sie jemanden (oder machen Sie es selbst), Ihre Firma „anzugreifen“, ohne das Gelände zu betreten.

• Suchen Sie gezielt nach Bildern Ihrer Liegenschaft über die Bildersuche (auch Rückwärts-Bildersuche von Fassadenfotos).

• Prüfen Sie Google Maps, Bing Maps und Apple Maps auf kritische Details.

• Fordern Sie Dienstleister auf, Referenzfotos zu verpixeln oder offline zu nehmen, wenn diese sicherheitskritische Details zeigen.

2. Sensibilisieren Sie für „Background Awareness“ Arbeitssicherheit und IT-Sicherheit gehen hier Hand in Hand. Eine Unterweisung darf sich nicht nur auf Helmpflicht oder Phishing-Mails beschränken.

• Schulen Sie Ihre Mitarbeiter auf den physischen Hintergrund bei Fotos und Videocalls. Was hängt an der Wand? Was steht auf dem Whiteboard?

• Führen Sie eine strikte „No-Photo-Policy“ in sensiblen Bereichen (Serverräume, Pforten, F&E, Archive) ein – und setzen Sie diese auch durch.

• Erklären Sie das „Warum“. Verbote erzeugen Widerstand, Verständnis erzeugt Sicherheit.

3. Integrieren Sie OSINT in Ihre Risikoanalyse Ein modernes Sicherheitsgutachten muss den digitalen Blickwinkel enthalten. Wenn wir Risiken bewerten, dürfen wir nicht so tun, als ob das Internet nicht existiert. Fragen Sie sich bei jeder baulichen Maßnahme: „Wie sieht das online aus?“ Bevor Sie ein neues Gebäude einweihen oder eine neue Sicherheitszentrale in Betrieb nehmen: Prüfen Sie, was Architekten und Presse darüber veröffentlichen wollen, bevor es online geht.

Fazit

Wir müssen aufhören, Objektschutz und IT-Sicherheit in Silos zu denken. Für den Angreifer ist es ein und dasselbe Ziel. Er nimmt den Weg des geringsten Widerstands. Warum sollte er den Zaun überwinden und einen Alarm riskieren, wenn er durch das digitale Fenster schauen kann, das Sie auf Instagram offen gelassen haben? Warum sollte er das Schloss knacken, wenn er den Schlüssel auf einem hochauflösenden Foto nachbauen kann?

Sicherheit entsteht heute durch das Zusammenspiel von physischer Härte, organisatorischer Klarheit und digitaler Wachsamkeit.

Bleiben Sie sicher – analog und digital.