DEF
DEF
Was ohnehin schon offenliegt.
Wir tragen zusammen, was über Ihr Unternehmen frei auffindbar ist, bevor es jemand anderer tut. Vollständig passiv – Ihre Systeme fassen wir dabei nicht an.
Kurzfassung
- Die Frage, die beantwortet wirdWas kann jemand über Ihr Unternehmen zusammentragen, bevor er überhaupt angreift?
- Warum das zähltJeder gezielte Angriff beginnt mit Recherche. Was hier offenliegt, bestimmt, wie glaubwürdig ein Betrugsversuch später wirkt.
- Was Sie danach habenEine belegte Liste Ihrer öffentlich sichtbaren Angriffsfläche mit Quellenangabe - und was davon abgeschaltet gehört.
Die Auswertung frei verfügbarer Quellen. Wir tragen zusammen, was über Ihr Unternehmen ohnehin im Netz steht – so, wie es ein Angreifer zu Beginn täte. Das Kürzel steht für „Open Source Intelligence“ und hat nichts mit quelloffener Software zu tun.
Wir senden zu keinem Zeitpunkt eine Anfrage an Ihre Systeme. Alles stammt von Dritten, die diese Informationen ohnehin vorhalten. Deshalb gibt es kein Ausfallrisiko, keine Alarme und keinen Abstimmungsbedarf mit Ihrer IT.
Wenn ein Anbieter gehackt wurde, tauchen Adressen und Passwörter oft in Sammlungen auf, die gehandelt werden. Wir prüfen, ob Ihre Adressen dort vorkommen – und vor allem, ob das heute noch ein Risiko ist oder ein alter Fund ohne Folgen.
Ein Testsystem oder eine alte Projektseite, um die sich niemand mehr kümmert, die aber weiterhin aus dem Internet erreichbar ist. Weil sie niemand vermisst, fällt dort auch kein Einbruch auf.
Jedes Mal, wenn für eine Ihrer Adressen ein Verschlüsselungszertifikat ausgestellt wird, landet der Name dauerhaft in einem öffentlichen Verzeichnis. Das ist so gewollt und dient der Sicherheit – hat aber eine Nebenwirkung: Auch ein Testsystem, das nur zwei Wochen laufen sollte, steht dort für immer. Löschen lässt sich der Eintrag nicht.
Unsichtbare Zusatzangaben in Dateien. Ein Word-Dokument oder PDF auf Ihrer Website enthält oft den Benutzernamen der Person, die es erstellt hat, die verwendete Software samt Version und manchmal den Netzwerkpfad, unter dem es gespeichert war. Aus einer Handvoll solcher Dateien lässt sich ableiten, wie Ihre Benutzerkonten aufgebaut sind – nützlich für jeden, der sich anmelden will.
Was ohnehin schon offenliegt.
Jeder Angriff beginnt mit Recherche. Weil OSINT rein passiv arbeitet, braucht es dafür keinen Zugriff auf Ihre Systeme – und es ist deshalb auch der Teil, den Sie ohne technisches Risiko sofort prüfen lassen können.
- Bericht über die öffentlich sichtbare Angriffsfläche
- Liste der Funde mit Quellenangabe
- Empfehlungen zur Entfernung
- Optional als wiederkehrende Prüfung
Wie wir dabei arbeiten.
01
Perimeter
Domains, Subdomains, Zertifikate, exponierte Dienste, Cloud-Speicher.
02
Menschen
Öffentliche Profile, Rollen, Erreichbarkeiten – Grundlage für Pretexting und CEO-Fraud.
03
Leaks
Abgleich gegen bekannte Datenlecks und einschlägige Handelsplätze.
04
Bewertung
Was davon ist wirklich ein Risiko, was nur Rauschen – und was gehört entfernt.
Wie das konkret aussieht.
Kein Verkaufstext, sondern das, was wir tatsächlich tun – mit den Techniken und Werkzeugen dahinter.
Der technische Fußabdruck
Certificate-Transparency-Logs protokollieren dauerhaft jedes ausgestellte Zertifikat. Auch das für „vpn-test“.
Diese Logs lassen sich nicht zurücknehmen. Wir werten sie vollständig aus und gleichen ab, was davon heute noch erreichbar ist – interne Hostnamen wie backup, staging oder altsystem tauchen dort regelmäßig auf.
Dazu kommen Suchmaschinen für vernetzte Geräte: Shodan und Censys indizieren fortlaufend offene Dienste samt Banner, Softwareversion und Zertifikat. Regelmäßig finden wir dort Systeme, die niemand mehr auf dem Schirm hatte – eine Kameraanlage mit Weboberfläche, ein Netzwerkdrucker mit Administrationszugang, eine Firewall ohne Wartungsvertrag.
Ergiebig sind auch die Einträge, die den Weg Ihrer E-Mails beschreiben. Daraus lässt sich ablesen, welcher Anbieter Ihre Post annimmt, ob es daneben noch alte Server gibt, die nie abgeschaltet wurden, und ob ein Dienstleister in Ihrem Namen versenden darf, den Sie seit Jahren nicht mehr beauftragen. Jeder dieser Einträge ist eine Tür, die offensteht, obwohl niemand mehr hindurchgeht.
Ein oft unterschätzter Fundort sind alte Stellenausschreibungen und Archivseiten. Eine Ausschreibung, die Erfahrung mit einer bestimmten Firewall, einem bestimmten Warenwirtschaftssystem und einer konkreten Versionsnummer verlangt, ist für einen Angreifer eine Inventarliste Ihrer Infrastruktur. Webarchive halten zudem Seitenstände fest, die längst überarbeitet wurden – inklusive Telefonlisten, Organigrammen und Pfaden, die heute nicht mehr verlinkt, aber teils noch erreichbar sind.
Technische Vertiefung
Über gezielte Suchanfragen - Google Dorking - suchen wir zusätzlich nach indexierten Dateien, die nicht öffentlich sein sollten: Konfigurationsdateien, Backups, Verzeichnislistings und interne PDF-Dokumente.
Menschen, Metadaten und Leaks
Ein PDF auf Ihrer Website verrät oft den internen Benutzernamen des Erstellers – und damit Ihr Kontenschema.
Für Social Engineering braucht ein Angreifer drei Dinge: Namen, Rollen und Schreibstil. Alle drei sind meist öffentlich – über berufliche Netzwerke, Pressemitteilungen, Vortragsankündigungen und das Impressum. Wir erfassen, welches Bild sich daraus zeichnen lässt, insbesondere über Personen mit Zeichnungsberechtigung.
Beim Leak-Abgleich prüfen wir, ob Adressen Ihrer Domain in bekannten Datenlecks auftauchen. Entscheidend ist die Einordnung: Ein zehn Jahre alter Leak mit längst geändertem Passwort ist unkritisch. Kritisch wird es, wenn ein Passwortmuster erkennbar wiederverwendet wird oder die Adresse zu einem noch aktiven Konto gehört.
Bilder sind eine eigene Quelle. Ein Foto von der Weihnachtsfeier zeigt im Hintergrund den Ausweis am Band, ein Beitrag zum neuen Arbeitsplatz den Bildschirm mit geöffneter Anwendung, ein Baustellenbild das Whiteboard mit Zugangsdaten. Nichts davon ist böse Absicht – es ist Alltag, und genau deshalb ist es zuverlässig vorhanden. Wir dokumentieren solche Funde bewusst ohne Namensnennung und ohne Gesichter.
Über Ihr Unternehmen hinaus sehen wir uns das Umfeld an: Wer beliefert Sie, welche Dienstleister nennen Sie in Referenzen, welche Ausschreibungen und Firmenbuchdaten sind öffentlich. Daraus entsteht der Vorwand für den nächsten Schritt – bei einem Physical Pentest die Wartungsfirma, die es bei Ihnen wirklich gibt, bei einer Phishing-Simulation der Absender, dem Ihre Buchhaltung ohne Zögern glaubt.
Warum das ohne jedes Risiko läuft
Wir senden zu keinem Zeitpunkt eine einzige Anfrage an Ihre Systeme.
Alle Erkenntnisse stammen aus Quellen Dritter, die diese Informationen ohnehin vorhalten. Das hat einen praktischen Vorteil: kein Ausfallrisiko, keine Alarme in Ihrer Überwachung, kein Abstimmungsbedarf mit Ihrem IT-Dienstleister und keine Wartungsfenster.
Deshalb ist OSINT für die meisten Betriebe der sinnvollste Einstieg. In wenigen Tagen sehen Sie, was ein Angreifer über Sie zusammentragen kann – und häufig ergibt sich daraus bereits eine Liste von Dingen, die schlicht abgeschaltet gehören.
Zur Abgrenzung gehört auch, was wir bewusst nicht tun. Wir melden uns nicht bei Ihren Mitarbeitern, wir probieren keine gefundenen Zugangsdaten aus, wir legen keine falschen Profile an und wir kaufen keine Datensätze in einschlägigen Foren. Wo eine Erkenntnis nur durch Kontaktaufnahme zu holen wäre, gehört sie in eine Awareness-Simulation mit eigener Beauftragung – nicht in eine Recherche.
Weil OSINT ohne Berührung Ihrer Systeme auskommt, eignet es sich als erster Schritt und als wiederkehrende Kontrolle. Viele Kunden lassen die Recherche einmal ausführlich machen und danach jährlich wiederholen – das kostet wenig und fängt genau die Dinge ab, die sich über die Zeit ansammeln: eine neue Subdomain für ein Projekt, ein Dienstleister mehr, ein weiteres Datenleck mit Adressen Ihrer Domain.
Was drin ist - und was ausdrücklich nicht.
Damit Sie vor der Beauftragung wissen, worauf Sie sich einlassen. Der genaue Zuschnitt entsteht im Erstgespräch.
Typischer Umfang
Alle Domains und Marken Ihres Unternehmens, dazu die öffentlichen Spuren von Führungskräften und exponierten Rollen.
Dauer
Zwei bis fünf Arbeitstage, abhängig von der Größe der Organisation und der Anzahl der Domains.
Voraussetzung
Nur eine Beauftragung und die Liste Ihrer Domains und Marken. Kein technischer Zugang, keine Downtime, kein Risiko für den Betrieb.
Nicht enthalten
Kein Kauf von Leak-Daten, keine Kontaktaufnahme mit Dritten, kein aktives Scannen Ihrer Systeme.
OSINT zeigt, was von außen sichtbar ist – nicht, ob Ihre Systeme intern sicher konfiguriert sind. Dafür braucht es einen technischen Pentest.
Was Kunden vorher wissen wollen.
Nein, nie. OSINT arbeitet ausschließlich mit öffentlich zugänglichen Quellen – Suchmaschinen, Leak-Datenbanken, offene Verzeichnisse. Ihre Systeme bleiben unberührt.
Formal ja, auch wenn OSINT passiv ist – schon damit klar ist, was mit den Funden geschieht und damit Sie den Bericht als Nachweis verwenden können.
Wir dokumentieren Fundstelle und Umfang, laden aber keine vollständigen Datensätze herunter. Der Bericht zeigt Ihnen, was betroffen ist, ohne die Daten selbst weiterzuverbreiten.
Einmal jährlich ist ein guter Rhythmus, bei aktiven Übernahmen oder Fusionen auch häufiger – die öffentliche Angriffsfläche verändert sich ständig.
Teilweise. Bei Suchmaschinen-Treffern, veralteten Zwischenspeichern und Dateien, die versehentlich öffentlich lagen, gibt es geregelte Wege, und wir sagen Ihnen, welcher greift. Bei Datenlecks auf fremden Plattformen ist die ehrliche Antwort: Nein. Ein einmal veröffentlichtes Kennwort bekommen Sie nicht zurück – deshalb ist die Maßnahme dort nicht Löschen, sondern Ändern und Zwei-Faktor-Anmeldung.
Ja, aber nur Sie selbst über sich. Wir recherchieren ausschließlich im Auftrag der betroffenen Person und verlangen dafür einen Nachweis, dass Sie es auch wirklich sind. Recherchen über Dritte – den Ex-Partner, einen Mitbewerber, einen Nachbarn – führen wir nicht durch, unabhängig von der Begründung.
Was oft dazugehört.
Physical Pentest (Red Team)
Wir stehen im Serverraum.
Wir verschaffen uns Zutritt zu Ihrem Gebäude – mit denselben Mitteln wie ein echter Angreifer, aber mit Ihrer Unterschrift in der Tasche und einem Foto als Beleg.
Tailgating & Piggybacking · Lock Picking & Loiding · Under-the-Door-Tool · REX-Bypass · RFID-Kloning (125 kHz HID Prox/EM4100 und 13,56 MHz) · Pretexting · Alarm- und Kameraumgehung · Dumpster Diving · Rogue Devices (Raspberry Pi, LAN Turtle, USB-Drops)
IT / Cyber Pentest
Von außen wie ein Fremder.
Wir greifen Ihre Systeme kontrolliert an: von außen wie ein Unbekannter, von innen wie ein Mitarbeiter, dessen Zugang bereits in falschen Händen ist.
Extern und intern · Web-Applikationen & APIs · Netzwerk · WLAN und Perimeter · Vorgehen nach OWASP und PTES · Bewertung nach CVSS · Black-, Grey- und White-Box
Security Awareness
Der Moment der Entscheidung.
Technik lässt sich patchen, Menschen nicht. Wir trainieren die Entscheidung im Moment des Angriffs – messbar, wiederholbar und ohne jemanden vorzuführen.
Phishing-Simulationen · Social Engineering und CEO-Fraud · Multi-Faktor-Authentifizierung · Clean-Desk-Regeln · für Firmen, Schulen ab der 5. Schulstufe und Familien
Läuft es gerade schief? Dann rufen Sie an, nicht später.
Eine Lösegeldforderung am Bildschirm, ein Postfach, das plötzlich weiterleitet, ein Zugang, den niemand angelegt hat: In den ersten Stunden entscheidet sich, wie teuer der Vorfall wird.
Damit Sie wissen, woran Sie sind: DEF.S3C betreibt kein 24/7-SOC und keine dauerhafte Überwachung. Wir leisten Erstreaktion und Aufarbeitung innerhalb vereinbarter Zeitfenster.