Ethisches OSINT: Den Eigenen Digitalen Fussabdruck mit Maltego und Spiderfoot Untersuchen

Du bist bereits gedoxxt worden und weisst es nicht. An einem Sonntagmorgen kuerzlich liess ich Spiderfoot HX gegen meine Hauptmail laufen und bekam 412 Treffer in 38 Minuten: Broker wie Das Oertliche und Yasni, alte Collection #1 Dumps, ein vergessenes Last.fm Profil von 2011 mit demselben Foto wie auf LinkedIn, und zwei Tech-Foren, in denen ich meine Stadt in der Bio angegeben hatte. Kein einzelner Punkt davon ist gefaehrlich. Kombiniert liefern sie eine ungefaehre Adresse, ein wahrscheinliches Gehaltsband, meinen Tech-Stack und sogar meine ueblichen Schlafzeiten. Genau diesen blinden Fleck loest ethisches Self-OSINT, und deshalb lohnt es sich, vor dem Angreifer anzufangen.

Warum zuerst OSINT gegen dich selbst

Self-OSINT ist Aufklaerung vom Stuhl des Angreifers mit dem ethischen Vorteil, dass das Ziel eingewilligt hat: du selbst. Ziel ist, alles aufzuzaehlen, was ein Gegner aus offenen Quellen sammeln und korrelieren kann, und es dann bewusst zu verkleinern. Halte die Uebung ethisch und legal, indem du strikt auf deine eigenen Konten und Daten begrenzt bleibst; schwenke nie in fremde Postfaecher, nur weil ein geteilter Leak sie listet. Arbeite aus einer sauberen VM oder einem dedizierten Browserprofil, damit die Abfragen deine Konten nicht mit neuen Login-Warnungen zupflastern. Diese Selbstbewertung ist der praktische Test des Modells aus OPSEC fuer Security-Researcher: Persoenliches Bedrohungsmodell: wenn das Papiermodell deine Hausadresse als geschuetzt ausweist und ein Zehn-Minuten-Scan das Gegenteil beweist, war das Modell Fiktion.

Maltego Community Edition: der lehrreiche Einstieg

Maltego Community Edition bleibt 2026 der lehrreichste Einstieg. Installiere Version 4.6, lege einen kostenlosen Account an und aktiviere die Standard-Transforms im Hub: Have I Been Pwned, Shodan Free Tier, DNS und WhoisXML. Erzeuge eine Email-Address-Entity mit deiner primaeren Adresse, Rechtsklick, dann To Breaches [HIBP] ausfuehren. Anschliessend eine Phrase mit deinem vollen Namen einfuegen und To Websites [using Search Engine] starten. Der Graph waechst schnell, und der Trick ist der Collections-Tab, um Knoten zu kollabieren, bevor visuelles Chaos entsteht. Markiere jeden neuen Knoten farblich: rot fuer echte PII, gelb fuer Pseudonyme, gruen fuer wegwerfbar. Diese fruehe Disziplin haelt die Karte lesbar und macht aus einem wuchernden Graph ein Inventar, mit dem du wirklich arbeiten kannst.

Spiderfoot: den muehsamen Sweep automatisieren

Spiderfoot ergaenzt Maltego dort, wo manuelle Arbeit ermuedet. Nutze den offiziellen Container: docker run -p 5001:5001 spiderfoot/spiderfoot und oeffne http://localhost:5001. Lege einen Footprint-Scan mit Mail, persoenlicher Domain und Telefon an, aktiviere All modules ausser den kostenpflichtigen, und lass das Ganze 30 bis 90 Minuten laufen. Das Modul sfp_haveibeenpwned listet historische Leaks, sfp_hunter liefert sekundaere Mails zu deiner Domain, und sfp_spider crawlt deine persoenliche Seite nach alten HTML-Kommentaren mit Adressen. Ich fand ein Teilstueck meiner Ausweisnummer in einem Konferenz-PDF von 2018, das Google immer noch indexierte, ein klassisches Problem, das die Techniken aus Metadaten-Hygiene: EXIF, PDF und Office vor der Veroffentlichung saubern rueckwirkend loesen. Exportiere den Scan als CSV, um ihn gegen den naechsten Quartalslauf zu diffen.

Leak-Daten und Credential-Exposition

Leak-Daten sind der schnellste Weg von einer Mail zu einem Klartext- oder Hash-Passwort, und Gegner starten dort. Pruefe jede Adresse gegen Have I Been Pwned und sichte dann, im legalen Rahmen und nur fuer eigene Konten, Credential-Aggregatoren, um zu sehen, welche Passwoerter im Klartext leakten. Die richtige Reaktion ist nicht Panik, sondern Rotation: jedes wiederverwendete Passwort aendern, das Konto auf einen Passkey oder eine eindeutige Passphrase im Manager umstellen und phishing-resistente zweite Faktoren aktivieren. Behandle ein geleaktes Passwort, das du irgendwo noch nutzt, als aktiven Vorfall. Achte besonders auf alte Konten, weil ein zehn Jahre altes Passwort oft das Muster verraet, aus dem du noch heute neue Passwoerter baust, und genau diese Vorhersagbarkeit knacken Angreifer mit regelbasierten Angriffen. Notiere pro Leak Datum, betroffene Felder und deine Reaktion, damit spaeter nachvollziehbar bleibt, welche Kombination aus Mail und Passwort bereits verbrannt ist und nie wieder auftauchen darf.

Fotos, Reverse Image Search und EXIF

Der unglamouroese Teil ist der wertvollste: Fotos abgleichen. Nutze PimEyes mit Vorsicht oder besser FaceCheck.ID self-hosted via Docker und jage dein Bewerbungsfoto durch die Basis. Parallel exiftool auf jedes oeffentliche Bild von dir loslassen: exiftool -a -G1 -s portrait.jpg verraet GPS-Breite, Kameramodell und teilweise Seriennummern, wenn du Metadaten vergessen hast zu strippen. Ich bewahrte einen Mandanten vor aktivem Stalking, weil sein Instagram noch praezise GPS-Daten seines Hauses in Fotos von 2019 trug, die nie bereinigt wurden. Der vollstaendige Workflow zur Kompartmentierung kuenftiger visueller Identitaeten steht in Digitale Kompartimentierung: Getrennte Identitaeten ohne Metadaten zu lecken, und den solltest du lesen, bevor du irgendein neues Profil mit deinem Gesicht anlegst.

Telefonnummern: der unterschaetzte Vektor

Telefonnummern sind der am meisten unterschaetzte Vektor. Lass PhoneInfoga gegen deine Nummer laufen: phoneinfoga scan -n +4915112345678. Das Tool fragt NumVerify, OVH und Google Dorks ab, die die Nummer in Kleinanzeigen, oeffentlichen WhatsApp-Gruppen und vergessenen Google Sheets sichtbar machen. Pruefe dann in Truecaller ueber eine saubere App in einer Android-VM, wie Dritte dich sehen, oft mit einem Spitznamen, den eine Lieferapp geleakt hat. Kombiniere das mit regionalen Telefonbuchsuchen und du haeltst denselben Datensatz, den ein Betrueger fuer wenige Euro im Dark Web kaufen wuerde. Fuer das regionale Broker-Playbook ist Personliche Anti-Doxxing-Sicherheit: Daten von brasilianischen Data Brokers entfernen die naechste Referenz, weil die Opt-out-Mechanik uebertragbar ist.

Benutzernamen und soziale Enumeration

Benutzernamen sind Bindegewebe: wiederverwende ein Handle ueber Plattformen und du reichst dem Gegner einen einzelnen Faden, der alles aufdroeselt. Lass Sherlock oder die WhatsMyName-Liste gegen deine ueblichen Handles laufen, um zu sehen, wo derselbe Name aufloest, von GitHub ueber Nischenforen bis zu vergessenen Gaming-Profilen. Jeder Treffer ist ein Knoten zum Korrelieren: ein altes Profil kann einen frueheren Arbeitgeber, eine Schule oder einen Klarnamen in einem Anzeigefeld exponieren. Die Remediation ist entweder Loeschung oder bewusste Divergenz, jede kuenftige Identitaet bekommt ein frisches, unverbundenes Handle. Hier hoert Self-OSINT auf, ein Report zu sein, und aendert, wie du Konten fuer den Rest deiner Laufbahn registrierst. Ergaenze eine kurze Regel im Bedrohungsmodell: kein Handle wandert je von einer Forschungsidentitaet in die private, und jedes neue Konto bekommt einen per Zufallsgenerator erzeugten Namen, damit kuenftige Enumeration ins Leere laeuft.

Alles dokumentieren und Remediation treiben

Dokumentiere alles in einer Markdown-Datei nach Kategorien: Mail, Telefon, Name, Foto, Adresse, Arbeitgeber, Familie, Benutzernamen. Schreibe fuer jeden exponierten Eintrag eine Remediation-Aktion mit Deadline: Opt-out-Antrag beim Broker, wiederkehrendes Foto austauschen, alten Post loeschen, Passkeys einfuehren wo noch SMS laeuft. Wiederhole den vollstaendigen Scan alle 90 Tage und mache ein Diff der Ergebnisse, dann siehst du die echte Wirkung deiner Arbeit. Der digitale Fussabdruck verschwindet nicht, er schrumpft nur unter Disziplin. Speichere die Datei verschluesselt neben dem Bedrohungsmodell, damit beide Dokumente zusammen altern und keines in Fiktion abdriftet. Priorisiere die Remediation nach Schaden: zuerst alles, was direkt auf deine Wohnadresse, deine Finanzen oder deine Klaridentitaet zeigt, danach die kosmetischen Treffer, die zwar nerven, aber niemanden an deine Tuer bringen. Vergib pro Eintrag einen Status offen, in Arbeit oder erledigt, damit das Dokument beim naechsten Lauf zeigt, was tatsaechlich verschwand und was der Broker wieder aufgenommen hat.

Innerhalb der ethischen und rechtlichen Linie bleiben

Ethisches OSINT hat harte Grenzen. Untersuche nur deine eigenen Identifier und Konten; in dem Moment, in dem eine Abfrage einen Dritten ohne Autorisierung beruehrt, hoere auf. Versuche nie, dich in ein aufgetauchtes Konto einzuloggen, kaufe keine gestohlenen Credential-Dumps und bevorzuge Tools, die oeffentliche Indizes abfragen, gegenueber solchen, die abgeschottete Daten scrapen. Dieselben Techniken werden illegal, sobald das Ziel nicht du bist, also halte eine schriftliche Scope-Notiz fuer deine Unterlagen. Die Disziplin, die du an dir selbst uebst, ist genau die Disziplin, die ein bezahltes Engagement rechtmaessig haelt, wenn das Ziel ein Kunde mit unterschriebenem SOW ist.

FAQ: ist es legal, diese Tools auf mich anzuwenden?

Deine eigenen Konten, Mails, Telefonnummern und den oeffentlichen Fussabdruck zu untersuchen ist in praktisch jeder Jurisdiktion legal, weil du die betroffene Person bist. Graubereiche entstehen, wenn ein Leak-Datensatz auch andere enthaelt, wenn eine Reverse-Image-Suche Fremde zurueckgibt oder wenn du versuchst, dich in ein Konto einzuloggen, um Zugriff zu bestaetigen. Bleibe read-only, bleibe auf deine eigenen Identifier begrenzt und handle nie auf Daten ueber andere. Willst du denselben Sweep fuer einen Kunden fahren, hole zuerst eine schriftliche Autorisierung ein, genau wie bei einem Pentest. Halte ausserdem fest, welche Datenquellen du abgefragt hast, damit du spaeter belegen kannst, dass keine Abfrage den vereinbarten Scope verlassen hat und niemand Drittes unbeabsichtigt erfasst wurde.

FAQ: wie weit zurueck soll ich schauen?

So weit zurueck, wie sich das Internet erinnert, und das ist weiter als du denkst. Vergessene Forenkonten von vor zehn Jahren, archivierte Versionen geloeschter Seiten und alte Konferenz-PDFs tragen regelmaessig die schaedlichsten Korrelationen, weil du nicht mehr an sie denkst. Frage Archivdienste und alte Benutzernamen explizit ab, weil Tools des heutigen Web verpassen, was nur in Caches ueberlebt. Die aeltesten Daten sind oft die gefaehrlichsten, gerade weil sie deiner OPSEC-Disziplin vorausgehen und du die Konten, die sie leakten, nicht mehr kontrollierst.

Praktischer Takeaway: blockiere jetzt vier Stunden im Kalender, installiere Maltego CE und Spiderfoot diese Woche und behandle deinen eigenen Namen wie ein Bug-Bounty-Ziel, dessen Payout deine eigene Ruhe ist. Fahre den Sweep einmal fuer eine Baseline, repariere die schlimmsten Expositionen und plane denselben Scan jedes Quartal. Bewahre die Roh-Exporte auf, damit du dir selbst beweisen kannst, dass ein bestimmter Opt-out einen Eintrag wirklich entfernt hat und nicht nur versprach, denn Broker nehmen dieselben Daten Monate spaeter routinemaessig wieder auf. Der Fussabdruck, den du nicht siehst, ist der, den ein Gegner zuerst nutzt, also ist der einzige gewinnende Zug, ihn vor ihnen zu sehen.