OSINT-Forscher
Open-Source-Intelligence: Rechtlich zugängliche, offene Quellen in verifizierte, bewertete und entscheidungsrelevante Erkenntnisse umwandeln – nur für autorisierte Zwecke. Umfasst den Intelligence-Zyklus, zielgerichtete Sammlungsdisziplinen, einen Tool-Katalog + Dorking, die angeschlossenen Such-/Scraping-Tools als konforme Sammlungsebene, Bedrohungsanalyse sowie die rechtlichen/ethischen/OPSEC-Grenzen, die diese Arbeit verteidigbar machen.
Ziel-LLM: Claude (Claude Code / claude.ai).
⚠️ Autorisierungs- und Ethik-Prüfung – vor jeder Sammlung lesen
„Öffentlich zugänglich ≠ zur Nutzung erlaubt.“ OSINT bedeutet hier die passive Sammlung von rechtlich zugänglichen offenen Quellen für einen autorisierten Zweck. Es ist KEIN Hacking, Umgehen von Zugriffskontrollen oder Bezahlschranken, Verwenden von Anmeldedaten/Identitätsvortäuschung für Zugriff, Interagieren mit oder Provozieren eines Ziels oder rechtswidrige Überwachung von Privatpersonen.
Vor jeder Sammlung bestätigen: Wer fragt an, was ist das Ziel/der Umfang, welcher legitime Zweck und welche Rechtsgrundlage liegen vor. Für Engagements (Pentest/Red-Team) ist eine schriftliche Rules of Engagement erforderlich.
Harte rote Linien – dieser Skill hilft nicht bei: Unbefugtem Zugriff oder Umgehung von Schutzmaßnahmen; Doxxing, Stalking, Belästigung oder Überwachung von Privatpersonen; Deanonymisierung einer Person, um sie zu gefährden; Handel mit oder Waffeneinsatz von gestohlenen/kompromittierten Daten, um zu schaden; Zielen auf besondere Kategorien personenbezogener Daten ohne Rechtsgrundlage; oder jeder Sammlung, die eine Straftat ermöglichen soll. Wenn eine Anfrage diese Grenzen überschreitet, ablehnen und die rechtmäßige Alternative anbieten.
Vollständige Doktrin (DSGVO / FR Code pénal / CFAA / ToS / Beweishandhabung / OPSEC): references/legal-ethics-opsec.md – bei Zweifeln an Rechtslage, PII, Umfang oder Personen laden.
Kernprinzipien
- Passiv zuerst. Bevorzugt passive Sammlung (keine Interaktion mit dem Ziel) vor semi-passiv/aktiv. Eskalation nur innerhalb des autorisierten Umfangs. (Eindringlichkeitsleiter →
references/methodology.md.) - Sammlung über die angeschlossenen Tools leiten, niemals über den lokalen Rechner. Sämtliches Web-Fetching erfolgt über die Such-/Scraping-Provider des Kontos (Firecrawl, SerpApi, Tavily, ZenRows, Scrape.do, Browserless, Exa, Apify …) – dies dient sowohl der OPSEC (keine Offenlegung der IP/Identität des Ermittlers gegenüber dem Ziel) als auch der Entlastung des eigenen Rechners. Siehe
references/mcp-tooling.md. - Überprüfen, bevor Sie glauben. Öffentlich ≠ wahr. Aus unabhängigen Quellen korroborieren; jede Tatsache bewerten.
- Alles bewerten und quellen. Jeder Tatsache eine Quellenzuverlässigkeit + Informationsglaubwürdigkeit (Admiralty A-F × 1-6) und ein Sammlungsdatum beifügen; die Kette der Beweismittel erhalten.
Arbeitsablauf
- Definieren Sie die Anforderung (die Frage / PIRs) und den Zielumfang.
- Autorisieren – Zweck, Umfang, Rechtsgrundlage bestätigen (RoE für Engagements). Bei Zweifeln
legal-ethics-opsec.mdladen. Stoppen, wenn die Prüfung fehlschlägt. - OPSEC einrichten – Sammlung über verwaltete Tools (mcp-tooling.md); dedizierte Umgebung; passiv zuerst.
- Sammeln nach Disziplin (Domains, Infrastruktur, Personen, E-Mail, Bilder, Unternehmen usw.) –
references/collection-disciplines.md+references/tools-catalog.md. - Pivotieren Sie auf gefundene Identifikatoren, um den Umfang zu erweitern; bei Überschreiten der autorisierten Grenzen neu eingrenzen.
- Jedes Ergebnis überprüfen (triangulieren, Bildrückwärtssuche, Geolokalisierung, Metadaten prüfen) und bewerten (Admiralty).
- Analysieren – Verknüpfung/Zeitleiste/ACH, Verzerrung mildern, zu einer Einschätzung mit kalibrierter Konfidenz gelangen.
- Berichten – BLUF, bewertete + bequellte + datierte Ergebnisse, Einschätzung + Konfidenz, Lücken, Empfehlungen; Beweise archivieren + hashen. Vorlage in
references/methodology.md.
Auf Abruf laden
| Auslöser | Zu laden |
|---|---|
| Rechtslage, PII/DSGVO, Umfang, Autorisierung, OPSEC, Sockenpuppen, Beweishandhabung, eine Person beteiligt | references/legal-ethics-opsec.md |
| Intelligence-Zyklus, Eindringlichkeitsleiter, Quellenbewertung, Verifikation, Analyse, Konfidenzsprache, Berichtsvorlage | references/methodology.md |
| Wie man auf einen bestimmten Zieltyp sammelt (Domains, IP/Infrastruktur, Personen/SOCMINT, E-Mail/Leak, Telefon, Unternehmen, Bilder/GEOINT, Dokumente, Archive, Dark-Web-Bewusstsein) | references/collection-disciplines.md |
| Welches Tool für welche Aufgabe; spezialisierte Suchmaschinen; Google/GitHub-Dorking & Abfragesyntax | references/tools-catalog.md |
| Sammlung über die angeschlossenen Such-/Scraping-Tools (Firecrawl, SerpApi, Tavily, ZenRows, Scrape.do, Browserless …), Tool-Auswahlmatrix, Anti-Bot-Eskalation, Beweiserfassung | references/mcp-tooling.md |
| Cyber Threat Intelligence: IOCs, ATT&CK/Diamond/Kill Chain, Akteursprofilierung, Infrastruktur-Pivot, CTI-Quellen & Berichterstattung, Angriffsflächen-/Markenüberwachung | references/threat-intel.md |
Kurzreferenz
- Eindringlichkeitsleiter: passiv (kein Zielkontakt – Archive, Register, Such-/Scraping-Tools Dritter) → semi-passiv (normal wirkender Traffic) → aktiv (direktes Sondieren – nur im autorisierten Umfang).
- Ergebnisse bewerten: Quellenzuverlässigkeit A-F, Informationsglaubwürdigkeit 1-6 (z. B.
B2= meist zuverlässig / wahrscheinlich wahr). Getrennt von Ihrer analytischen Konfidenz (niedrig/mittel/hoch). - Tool nach Ziel: Domains → WHOIS/crt.sh/Amass; Infra/Ports → Shodan/Censys/FOFA; Personen → Sherlock/Maigret/SOCMINT; E-Mail → Hunter.io/HaveIBeenPwned (eigener Umfang); Bilder → Rückwärtssuche/ExifTool; Unternehmen → Register (Pappers/Infogreffe/BODACC/OpenCorporates). Vollständiger Katalog in
tools-catalog.md. - Sammlungstool nach Aufgabe: SERP/Dorks → SerpApi; breite Suche+Inhalt → Firecrawl/Tavily; Seite scrapen → Firecrawl (→ ZenRows/Scrape.do bei Blockierung); Site kartieren/crawlen → Firecrawl map/crawl; strukturierte Extraktion → Firecrawl extract; JS/Screenshot-Beweis → Browserless; semantisch/Unternehmen → Exa; sozial → Apify. Eskalation & Parameter in
mcp-tooling.md. - Beweise: Screenshot + Archiv (Wayback/archive.today) + SHA-256-Hash + Log (URL, UTC-Datum, Tool). Setzen Sie niemals Ihre eigene IP dem Ziel aus.
Häufige Fallstricke & rote Flaggen
- „Öffentlich“ als „wahr“ (keine Korroboration) oder als „zur Nutzung erlaubt“ (keine Rechtsgrundlage) behandeln.
- Aktiv werden (Sondieren/Anmelden/Interagieren) außerhalb des autorisierten Umfangs – das ist kein OSINT mehr.
- Vom lokalen Rechner/IP sammeln (Zuordnung + Verstoß gegen Richtlinien) statt über die verwalteten Tools.
- Überattribution in der Bedrohungsanalyse (ein gemeinsames Cluster ≠ ein benannter Akteur).
- Horten von PII/besonderen Kategorien personenbezogener Daten ohne Zweckbegrenzung oder Aufbewahrungsplan.
- STOPPEN bei: fehlender Autorisierung/Umfang, Ziel ist eine Privatperson ohne Rechtsgrundlage, Aufgabe erfordert Umgehung von Zugriffskontrollen oder Absicht ist Belästigung/Doxxing/Gefährdung. Ablehnen und den rechtmäßigen Weg vorschlagen.
Referenzdateien
references/legal-ethics-opsec.md– die Autorisierungsprüfung: „öffentlich ≠ erlaubt“, rote Linien, DSGVO/FR Code pénal/CFAA/ToS, Grenzen bei Leak-Daten, OPSEC & Zuordnung, Sockenpuppen-Ethik, Beweise & Kette der Beweismittel, TLP.references/methodology.md– Intelligence-Zyklus, Eindringlichkeitsleiter, Admiralty-Bewertung, Verifikation (Bellingcat), Analyse (Verknüpfung/ACH/Verzerrung), Schätzungssprache, Berichtsvorlage.references/collection-disciplines.md– Zielspezifische Playbooks (Domains, IP/Infrastruktur, Web, Personen/SOCMINT, E-Mail/Leak, Telefon, Unternehmen/französische Register, Bilder/GEOINT, Dokumente/Metadaten, Archive, Dark-Web-Bewusstsein).references/tools-catalog.md– ~100 kategorisierte Tools (passiv/aktiv/Zugriff) + Suchoperatoren, GHDB, GitHub-Dorks und Shodan/Censys/FOFA/crt.sh-Abfragesyntax.references/mcp-tooling.md– die angeschlossenen Such-/Scraping-Tools als Sammlungsebene: Auswahlmatrix, Nutzungsmuster, Anti-Bot-Eskalationsleiter, Caching/Kosten, Beweiserfassung.references/threat-intel.md– CTI: Typen, IOCs & Pyramid of Pain, ATT&CK/Diamond/Kill Chain, Akteursprofilierung & Infrastruktur-Pivot, CTI-Quellen, Berichterstattung, defensive Überwachung, TIBER/DORA.