OSINT- und Darknet-Monitoring-Tools

OSINT steht für „Open Source Intelligence“: das systematische Gewinnen von Erkenntnissen aus öffentlich zugänglichen Quellen. Im Darknet-Kontext nutzen Sicherheitsteams, Journalisten und Forschende OSINT, um gestohlene Daten, Angriffsankündigungen oder Trends in kriminellen Märkten früh zu erkennen. Dieser Artikel stellt die wichtigsten Werkzeuge vor – und die Regeln, ohne die solche Recherchen riskant werden.

Werkzeuge nach Einsatzzweck#

Leak-Prüfdienste#

Der schnellste Einstieg: Have I Been Pwned zeigt, ob eine E-Mail-Adresse in bekannten Datenlecks vorkommt. Mit der Domain-Suche prüfen Unternehmen nach dem Nachweis, dass ihnen die Domain gehört, alle Adressen einer Firmendomain. Der Identity Leak Checker des Hasso-Plattner-Instituts prüft ebenfalls E-Mail-Adressen gegen bekannte Leaks.

Ahmia: Suche im Tor-Netzwerk#

Ahmia wurde 2014 von Juha Nurmi im Rahmen des Google Summer of Code mit Unterstützung des Tor Project entwickelt. Die Suchmaschine ist sowohl im normalen Web als auch als Onion-Dienst erreichbar. Sie verfolgt eine strikte Politik gegen Missbrauchsdarstellungen von Kindern und filtert seit Oktober 2023 alle sexuellen Suchanfragen. Wie Darknet-Suchmaschinen allgemein funktionieren und wo ihre Grenzen liegen, erklärt Darknet-Suchmaschinen erklärt.

SpiderFoot: OSINT automatisieren#

SpiderFoot ist ein quelloffenes Werkzeug, das OSINT-Abfragen automatisiert – etwa zu einer Domain, einer E-Mail-Adresse oder einem Benutzernamen. Es verfügt über mehr als 200 Module für unterschiedliche Datenquellen, darunter Tor-Integration und Module für Onion-Suchmaschinen wie Ahmia. Ergebnisse werden verknüpft dargestellt, sodass Zusammenhänge sichtbar werden.

Kommerzielle Darknet-Überwachung#

Kommerzielle Threat-Intelligence-Anbieter beobachten zusätzlich geschlossene Foren, Marktplätze, Leak-Seiten von Ransomware-Gruppen und Messenger-Kanäle, oft mit eigenen Analysten. Sie liefern Warnungen, wenn ein Unternehmen, eine Marke oder Zugangsdaten erwähnt werden. Worauf Unternehmen bei der Auswahl achten sollten, beschreibt Darknet-Monitoring für Unternehmen.

Die Arbeitsumgebung#

Wer im Darknet recherchiert, muss sich selbst schützen:

1. Abgeschottete Umgebung: Eine eigene virtuelle Maschine, besser Whonix oder ein eigener Rechner – nie das Firmen- oder Privatsystem. Siehe Virtuelle Maschinen für mehr Privatsphäre.
2. Keine Downloads im Arbeitssystem: Dateien nur isoliert und offline öffnen.
3. Getrennte Recherche-Identitäten: Keine Konten, Benutzernamen oder Geräte, die auf dich oder dein Unternehmen verweisen.
4. Dokumentation: Datum, Uhrzeit, Fundstelle und Screenshots festhalten – wichtig für Anzeigen und interne Entscheidungen.
5. Datenschutz: Gefundene personenbezogene Daten nur so weit verarbeiten, wie es für den Zweck nötig ist.

Rechtliche und ethische Grenzen#

• Kein Kauf von Daten: Wer gestohlene Daten kauft, um sie „zurückzuholen“, finanziert die Täter und kann sich nach § 202d StGB (Datenhehlerei) strafbar machen.
• Keine verbotenen Inhalte: Herunterladen oder Speichern bestimmter Inhalte ist auch zu Recherchezwecken strafbar.
• Keine Täuschung ohne Rechtsgrundlage: Sich mit falscher Identität Zugang zu geschlossenen Bereichen zu verschaffen, ist für Unternehmen rechtlich heikel. Das ist Sache von Ermittlungsbehörden.
• Abstimmung: Unternehmen sollten Recherchen mit Rechtsabteilung und Datenschutzbeauftragten abstimmen.

Die Grundlagen der Bedrohungsanalyse erklärt Threat Intelligence: Grundlagen.