Was ist OSINT? Wie Ihre öffentlichen Daten gegen Sie verwendet werden

Der Begriff stammt aus dem Nachrichtendienst-Umfeld: Schon immer stammte ein Großteil dessen, was Dienste über andere Staaten wussten, nicht aus Spionage, sondern aus Zeitungen, Registern und Rundfunk. Das Internet hat aus dieser Nische eine Disziplin gemacht und aus jeder Person mit Browser einen potenziellen Analysten.

Zwei Abgrenzungen, die wichtig sind: OSINT ist kein Hacking. Es werden keine Konten geknackt, keine Systeme angegriffen, keine Passwörter erraten. Und OSINT ist keine Detektivarbeit im klassischen Sinn: Niemand observiert, niemand folgt. Genau das macht es so zugänglich und so unterschätzt. Wer Sie über offene Quellen findet, hat zu keinem Zeitpunkt etwas getan, das nach Angriff aussieht.

Woraus ein Personenprofil entsteht: die Quellenlandschaft

In unserer Arbeit, der Expositionsanalyse, gliedern wir die Quellen in sieben Bereiche. Dieselbe Landschaft nutzt jeder, der eine Person sucht:

1. Staatliche Register: Handels-, Vereins- und Unternehmensregister, Insolvenzbekanntmachungen, Transparenzregister. Wer je gegründet hat oder Vereinsvorstand war, steht dort, oft mit historischen Privatanschriften in alten Dokumenten.
2. Melderegister: Die einfache Melderegisterauskunft nach § 44 BMG gibt gegen geringe Gebühr die aktuelle Anschrift heraus.
3. Auskunfteien und Adresshandel: kommerzielle Bestände aus Bestellungen, Gewinnspielen, Verträgen und weiterverkauften Kundendaten.
4. Suchmaschinen und Web: nicht nur die erste Ergebnisseite, sondern auch Archive, Caches, alte Vereins-PDFs, Sitzungsprotokolle, Traueranzeigen, Impressen.
5. Social Media und Bilder: eigene Profile, Profile von Angehörigen, Metadaten in Fotos, Hintergründe von Bildern, Rückwärts-Bildersuche.
6. Daten-Leaks: bei Sicherheitsvorfällen erbeutete Datensätze mit E-Mail-Adressen, Passwörtern, Telefonnummern, Anschriften. Diese Datensätze bleiben dauerhaft im Umlauf.
7. Doxxing-Ökosystem: Foren, Paste-Sites und Kanäle, in denen zusammengetragene Profile geteilt werden.

Der Aggregationseffekt: Warum harmlose Daten zusammen gefährlich sind

Ein durchgespieltes, frei erfundenes Beispiel. Nehmen wir „Dr. Anna M.", Oberärztin, die auf keine Weise ihre Adresse veröffentlicht hat:

• Die Klinik-Website nennt Namen, Titel und Abteilung. Damit sind Stadt und Arbeitgeber bekannt.
• Ein Laufportal listet ihre Ergebnisse beim Stadtlauf samt Verein und Altersklasse. Damit sind Stadtteil-Nähe und Geburtsjahr eingegrenzt.
• Das Vereinsheft des Laufvereins (PDF, 2019) dankt ihr für die Organisation des Sommerfests: „gleich bei ihr um die Ecke im Lindenweg".
• Ein Angehörigen-Profil zeigt ein Gratulationsfoto vor einer Haustür; die Hausnummer ist im Anschnitt lesbar.

Keine dieser vier Quellen enthält eine Adresse. Zusammengesetzt ergeben sie eine: mit einem Abend Zeitaufwand, ohne eine einzige Regel zu brechen. Das ist der Aggregationseffekt, und er ist der Grund, warum die Frage „Was steht über mich im Netz?" falsch gestellt ist. Die richtige Frage lautet: Was lässt sich aus allem zusammen ableiten?

Wer OSINT einsetzt

Die Methode ist neutral, ihre Anwender sind es nicht. Ermittlungsbehörden nutzen OSINT in Ermittlungsverfahren, Journalisten für Recherchen (die Aufklärung von Kriegsverbrechen durch Bellingcat ist das bekannteste Beispiel), Sicherheitsforscher für Schwachstellenanalysen, Unternehmen für Background-Checks und Wettbewerbsanalyse. Und: Stalker nutzen sie gegen Ex-Partner, Aktivisten gegen Entscheidungsträger, Betrüger für Social Engineering. Der täuschend echte „Chef-Anruf" beim CEO-Fraud funktioniert nur, weil das Umfeld des Chefs vorher ausrecherchiert wurde.

Was davon ist legal?

Die Recherche über die eigene Person ist unproblematisch. Genau darauf beschränken wir uns: Wir analysieren ausschließlich mit schriftlicher Einwilligung und nur über die eigene Person des Klienten und einwilligende Angehörige. Die systematische Recherche über Dritte ist dagegen rechtlich schnell heikel: Auch öffentlich zugängliche Daten bleiben personenbezogene Daten im Sinne der DSGVO, ihre Zusammenführung zu einem Profil braucht eine Rechtsgrundlage, und das allgemeine Persönlichkeitsrecht setzt Grenzen. Wer Daten so zusammenstellt und verbreitet, dass die betroffene Person gefährdet wird, macht sich seit 2021 nach § 126a StGB strafbar.

Was das für Sie heißt

Dreierlei. Erstens: Es bringt wenig, ein einzelnes peinliches Suchergebnis zu bekämpfen, solange die strukturellen Quellen (Register, Melderegister, Adresshandel, Angehörigen-Profile) offen sind. Zweitens: Ihre Angriffsfläche ist größer als das, was Sie selbst veröffentlicht haben; der größte Teil entsteht durch Dritte. Drittens: Auffindbarkeit lässt sich messen und gezielt reduzieren. Den Einstieg schaffen Sie selbst: mit der 90-Minuten-Anleitung Digitalen Fußabdruck selbst prüfen. Die systematische Tiefe (Leak-Datenbanken, Registerpfade, Rückwärts-Bildersuche, Priorisierung nach Angriffsnutzen) ist der Gegenstand der professionellen Expositionsanalyse.