Das Expositionsaudit: 2 Stunden, um zu kartieren, was leckt

Ein M&A-Anwalt fragt mich zwischen zwei Kaffees, was man in zwei Stunden über ihn finden könnte. Ich stelle eine Stoppuhr. Zwei Stunden später hat er seine Wohnadresse von 2019, drei alte Handynummern, die vollständige Liste seiner Mandate seit 2012 und einen Dump vor Augen, der sein damaliges Gmail-Passwort im Klartext enthält. Er ist blass geworden. Er wusste es nicht. Niemand weiß es, bevor er hinschaut.

Die übliche Falle

Der Reflex, wenn man sich um seine Online-Sichtbarkeit sorgt, ist, seinen Namen bei Google einzutippen und drei Ergebnisseiten durchzuscrollen. Man stößt auf sein LinkedIn-Profil, einen alten Presseartikel, vielleicht ein Partyfoto. Man beruhigt sich: „Letztlich gibt es nicht viel”. Genau das ist das falsche Sicherheitsgefühl, das Sie teuer zu stehen kommt. Google zeigt Ihnen nur einen winzigen Bruchteil dessen, was existiert — den Oberflächenindex, jenen, der öffentlich, legal und indexierbar ist. Alles Übrige — die Leak-Datenbanken, die Datenbroker, die Rechtsregister, die Archive, die Metadaten — erscheint nie auf dieser ersten Seite.

Die zweite Falle ist zu glauben, dass ein einziges Werkzeug genügt. „Ich habe HIBPKostenloser öffentlicher Dienst von Troy Hunt, der in öffentlichen Datenpannen kompromittierte E-Mails indexiert.Zum Glossar geprüft, ich bin sauber.” Nein. Have I Been PwnedKostenloser öffentlicher Dienst von Troy Hunt, der in öffentlichen Datenpannen kompromittierte E-Mails indexiert.Zum Glossar indexiert öffentliche und bestätigte Lecks. Es sieht nicht die privaten Dumps, die in geschlossenen Foren zirkulieren, noch die von DatenbrokernUnternehmen, das personenbezogene Daten in großem Maßstab sammelt, aggregiert und weiterverkauft.Zum Glossar verkauften Aggregate, noch die Datenbanken, die manche Akteure für sich behalten. Ein einziges Werkzeug gibt eine einzige Sicht. Ihre tatsächliche Exposition ist die Summe Dutzender heterogener Quellen, und keine hat das vollständige Bild.

Die dritte Falle ist methodisch. Die improvisierte Recherche — „ich tippe meinen Namen ein und sehe, was herauskommt” — produziert Rauschen, kein Intelligence. Sie wissen nicht, wann Sie fertig sind, Sie können in sechs Monaten nicht vergleichen, Sie vergessen die Hälfte Ihrer alten Adressen. Ein Audit ist das Gegenteil: eine reproduzierbare, zeitlich begrenzte Methode, die definierte Schichten abdeckt und ein Ergebnis produziert — eine Expositionstabelle. Der Unterschied zwischen „googeln” und „auditieren” ist der Unterschied zwischen aus dem Fenster schauen und das Inventar des Hauses erstellen.

Warum „auditieren” und nicht nur „googeln”

Setzen wir eine Zahl, um die Größenordnung festzulegen: Was Google Ihnen zurückgibt, entspricht bei einem mäßig aktiven Profil etwa einem Tausendstel dessen, was ein entschlossener Ermittler rekonstruieren kann. Das ist keine Paranoia, das ist Oberflächen-Arithmetik. Die Suchmaschine indexiert, was öffentlich, lebendig und zum Crawling freigegeben ist. Sie indexiert nicht die Leak-Datenbanken (illegal zu verbreiten, also versteckt), noch die Register, die eine strukturierte Suche nach Identifikator erfordern, noch die toten Seiten, die nur die Wayback MachineWeb-Archiv des Internet Archive, das Seiten seit 1996 aufzeichnet.Zum Glossar bewahrt hat, noch die in Ihren Dateien versteckten Metadaten. Sie googeln das Schaufenster. Das Audit öffnet das Hinterzimmer.

Das Expositionsaudit ist im Grunde eine OSINTNachrichtengewinnung aus offenen (öffentlichen) Quellen: soziale Netzwerke, Register, Archive.Zum Glossar-Übung, gegen sich selbst gerichtet. Sie nehmen die Haltung des Gegners ein: ein allzu neugieriger Recruiter, ein Konkurrent, ein Journalist, ein Ex-Partner mitten im Konflikt oder ein Angreifer, der ein gezieltes Spear-PhishingKartierung der Akteure, Motivationen, Fähigkeiten und potenziellen Auswirkungen gegen ein Ziel.Zum Glossar vorbereitet. Das Ziel ist nicht, alles zu löschen — das ist unmöglich und sogar an sich ein Signal. Das Ziel ist, präzise zu wissen, was draußen ist, seit wann, und Punkt für Punkt zu entscheiden, was Sie damit machen. Man verteidigt keinen Perimeter, den man nicht kartiert hat.

Sein BedrohungsmodellKartierung der Akteure, Motivationen, Fähigkeiten und potenziellen Auswirkungen gegen ein Ziel.Zum Glossar vor dem Beginn zu definieren, ändert alles. Ohne Gegner im Kopf zu auditieren, heißt Informationen zufällig zu sammeln und vor der Menge in Panik zu geraten. Die richtige Frage lautet nie „was existiert über mich?” — die Antwort ist immer „enorm viel” —, sondern „wer sucht mich, mit welchen Mitteln und wozu?”. Eine Privatperson, die einen Recruiter fürchtet, hat nicht dasselbe Modell wie eine von einem Betrug anvisierte Führungskraft, noch wie ein Journalist unter dem Druck eines Staates. Das Modell bestimmt, was zählt: für den einen ein schlecht aufgenommenes Partyfoto; für den anderen eine leckende Wohnadresse; für den dritten das geringste Metadatum, das eine Quelle verrät. Ohne diese Rahmung werden Sie Ihre Funde falsch einordnen und Ihre Energie an Rauschen verschwenden. Formulieren Sie es in einem geschriebenen Satz, bevor Sie die Stoppuhr starten.

Die Methode passt in zwei Stunden für einen ersten Durchgang, sofern man sie strukturiert. Vier Phasen von je dreißig Minuten, jede auf eine Schicht ausgerichtet: öffentliche Oberflächen, Lecks und Identifikatoren, Rechtsregister, soziale Netzwerke und Metadaten. Dann eine Formalisierung. Die zeitliche Aufteilung ist nicht kosmetisch: Sie hindert Sie daran, in endlose Erkundung einer einzigen Spur zu verfallen, und garantiert eine homogene Abdeckung. Die Versuchung, wenn man anfängt, an einem Faden zu ziehen, ist, eine Stunde mit einem einzigen faszinierenden Fund zu verbringen und die drei anderen Schichten zu vergessen. Die Stoppuhr ist dafür da: dreißig Minuten, Sie notieren, was Sie haben, Sie gehen zur nächsten über. Sie werden die kritischen Spuren danach vertiefen, sobald die Kartierung vollständig ist.

Bevor Sie die Stoppuhr starten, bereiten Sie Ihr Rohmaterial vor. Das ist der Schritt, den alle überspringen, und es ist der, der die Qualität des Ergebnisses bestimmt. Listen Sie alle Ihre historischen E-Mail-Adressen auf: die aktuelle private, aber auch die alte Provider-Adresse von 2008, den Alias, den Sie für Foren verwendeten, das Wegwerf-Postfach, das für eine vergessene Anmeldung erstellt wurde, die berufliche Adresse Ihres vorherigen Arbeitgebers. Listen Sie alle Ihre Nummern der letzten fünf Jahre auf — jeder Anbieterwechsel hat eine Nummer hinterlassen, an Konten geknüpft. Listen Sie Ihre alten Pseudonyme auf: das aufgegebene Twitter-Handle, das Gaming-Pseudonym, das Forenkonto Ihrer technischen Jugend. Diese Sekundär-Identifikatoren sind genau jene, die in den alten Dumps herumliegen, weil Sie sie vergessen und daher nie abgesichert hatten. Öffnen Sie schließlich eine isolierte Browser-Sitzung — neues Profil, keine Erweiterung, von allem abgemeldet, idealerweise in einem anderen Netz als Ihrem. Sie suchen, was ein Fremder sieht, nicht, was Ihre angemeldete und personalisierte Sitzung Ihnen zurückgibt. Google, LinkedIn, Facebook passen ihre Ergebnisse an, wer Sie sind; ein von Ihrem Konto aus durchgeführtes Audit lügt durch Auslassung.

Die vier Phasen — die Zwei-Stunden-Routine

Phase 1 — Öffentliche Oberflächen (30 min). Sie beginnen mit dem, was indexiert ist, aber mit Suchoperatoren, nicht von Hand. Die Google-DorksNachrichtengewinnung aus offenen (öffentlichen) Quellen: soziale Netzwerke, Register, Archive.Zum Glossar verwandeln eine Suchmaschine für die breite Masse in ein Ermittlungswerkzeug. Setzen Sie in Serie ab: site:linkedin.com "Vorname Nachname", um die Profile zu isolieren, "Vorname Nachname" filetype:pdf für Dokumente (Präsentationen, Protokolle, Gästelisten), site:handelsregister.de "Nachname" und site:unternehmensregister.de "Nachname" für indexierte Unternehmensspuren. Variieren Sie die Anführungszeichen, testen Sie auf Google und Bing und Yandex — die Indizes unterscheiden sich stark. Schicken Sie dann jede Ihrer alten persönlichen Domains oder Blogs durch die Wayback MachineWeb-Archiv des Internet Archive, das Seiten seit 1996 aufzeichnet.Zum Glossar: Eine Website von 2010, die Sie für tot halten, ist dort oft eingefroren, Impressum, Adresse und Telefon inklusive. Schließen Sie mit einer umgekehrten Bildsuche zu Ihrem Hauptprofilfoto ab — Yandex ist Google bei der Gesichtserkennung deutlich überlegen, TinEye, um alte Kontexte wiederzufinden. Erwartete Ergebnisse: vollständiges Profil, frühere Adressen, Mandate, Presseartikel, anderswo wiederverwendete Fotos.

Phase 2 — Lecks und Identifikatoren (30 min). Sie tauchen unter die Oberfläche. Prüfen Sie jede historische E-Mail-Adresse auf HIBPKostenloser öffentlicher Dienst von Troy Hunt, der in öffentlichen Datenpannen kompromittierte E-Mails indexiert.Zum Glossar — nicht nur die aktuelle, das ist der klassische Fehler. Notieren Sie die Anzahl der Lecks, ihr Alter und vor allem die Art der exponierten Daten (Passwort, Adresse, Nummer). Ein Leck von 2014 in einem verschwundenen Forum mag harmlos scheinen, bis Sie feststellen, dass das exponierte Passwort eine Variation jenes ist, das Sie noch verwenden. Die Gegner wissen das: Sie bauen personalisierte Wörterbücher aus Ihren alten Passwörtern, um die neuen zu erraten. Um weiterzugehen, zeigt DeHashed (teils kostenlos, ~5 $/Monat für die Details) Klartext-Passwörter aus bestimmten Dumps — gegebenenfalls die Ihren. Intelligence X indexiert Archive verschwundener Foren (RaidForums, Breached) und bietet eine Dark-Web-Suche. Für ein sensibles Profil decken Constella Intelligence oder Snusbase Leak-DatenbankenDienst, der Daten aus öffentlichen oder halb-öffentlichen Datenpannen indexiert.Zum Glossar ab, die bei HIBP fehlen. Gleichen Sie auch Ihre Telefonnummer ab: ohne Anführungszeichen eingegeben, dann mit, in mehreren Formaten (national, international, mit und ohne Leerzeichen), enthüllt sie oft vergessene Anmeldungen. Was Sie suchen: ein irgendwo noch aktives wiederverwendetes Passwort, eine leckende Telefonnummer, eine an ein vergessenes Konto geknüpfte Postadresse, einen Identifikator, der die Brücke zwischen zwei Identitäten schlägt, die Sie für getrennt hielten.

Phase 3 — Register und Rechtsquellen (30 min). In Deutschland ist Ihr Leben als Führungskraft konstruktionsbedingt öffentlich. Das Handelsregister und das Unternehmensregister listen Ihre Gesellschaftsmandate, Jahresabschlüsse und Insolvenzverfahren auf. Die Insolvenzbekanntmachungen und der Bundesanzeiger veröffentlichen Rechtsbekanntmachungen und Erwähnungen in Verfahren. Das DPMA erfasst die auf Ihren Namen angemeldeten Marken und Patente. Für ein internationales Profil: das Firmenbuch (AT), Zefix (CH), Companies House (UK), OpenCorporates (länderübergreifend), PACER (US-Bundesverfahren). Eine „vertrauliche” Wohnadresse wurde oft zehn Jahre zuvor im Klartext in einer Gründungsbekanntmachung einer Gesellschaft hinterlegt — und bleibt dort.

Phase 4 — Soziale Netzwerke und Metadaten (30 min). Testen Sie Ihr LinkedIn-Profil im privaten Surfen, nicht angemeldet: Was ein Fremder sieht, unterscheidet sich von dem, was Sie sehen. Oft bleiben Beziehungen, ein detaillierter Werdegang und Kontaktdaten, die Sie für Ihr Netzwerk reserviert glaubten, standardmäßig sichtbar. Verfahren Sie ebenso bei Twitter/X, dessen öffentliche Historie bis zu zehn Jahre zurückreichen kann — und wo eine alte geolokalisierte Veröffentlichung Ihre damaligen Wohnorte verrät. Laden Sie einige von Ihnen veröffentlichte Bilder herunter und schicken Sie sie durch ExifTool: Die MetadatenDaten über Daten: wer hat was geschrieben, wann, wo, an wen.Zum Glossar EXIFMetadaten, die an Bildern hängen: Datum, GPS, Gerät, Aufnahmeparameter.Zum Glossar enthalten häufig metergenaue GPS-Koordinaten, Gerätemodell, Seriennummer und Zeitstempel. Ein in einem Netzwerk veröffentlichtes Foto Ihres Büros kann so die genaue Adresse der Wohnung verraten, von der aus Sie im Homeoffice arbeiten. Schließlich schließt eine Google-Bilder- und Yandex-Suche zu Ihrem vollständigen Namen den Kreis zwischen textlicher Identität und Gesicht — das ermöglicht es einem Gegner, ein anonymes Pseudonym mit Ihrer echten Identität zu verknüpfen oder umgekehrt.

Formalisieren: die Expositionstabelle

Ohne Ergebnis dient das Audit zu nichts: Sie können weder entscheiden noch vergleichen. Das Ergebnis ist eine einzige Tabelle mit mindestens vier Spalten: Information (das genaue Element: „Wohnadresse 2019”), Quelle („Handelsregister, Gründungsbekanntmachung Immobiliengesellschaft”), Datum (wann die Information auftauchte und/oder das Datum Ihres Funds), Kritikalität. Fügen Sie eine fünfte Spalte Aktion hinzu. Die Kritikalität ordnet sich in vier Stufen: kritisch (gefährdet direkt Ihre physische oder finanzielle Sicherheit — aktuelle Wohnadresse, aktives Passwort), sensibel (im Social Engineering ausnutzbar — alte Nummern, Mandate, Beziehungen), öffentlich (legitim bekannt, ohne Hebel — Ihre aktuelle Position), harmlos (ohne Interesse für einen Gegner).

Für jede kritische Zeile entscheiden Sie nach drei Optionen und keiner mehr. Entfernen: das Recht auf Löschung ausüben, einen Broker kontaktieren, eine Deindexierung verlangen, ein altes Konto löschen. Mutieren: Wenn die Information nicht verschwinden kann (ein veröffentlichtes Mandat bleibt öffentlich), ändern Sie, was von Ihnen abhängt — Rotation des geleakten Passworts, neue Nummer für sensible Verwendungen, KompartmentierungIdentitäten nach Verwendungszweck trennen (privat, beruflich öffentlich, beruflich sensibel, operativ), um Leak-Ausbreitung zu begrenzen.Zum Glossar der Identitäten. Akzeptieren: die Exposition zugestehen, aber mit einem schriftlichen Reaktionsplan — „wenn man mich unter Verwendung dieser Information anruft, hier das Protokoll”. Ein bewusst akzeptiertes Datum ist keine Lücke mehr, es ist ein bekannter Parameter.

Ein Wort zur Kritikalität, denn hier entgleisen die Audits. Die Versuchung ist, aus Angst alles als „kritisch” einzustufen oder aus Verleugnung alles herunterzuspielen. Weder das eine noch das andere. Die Kritikalität eines Datums ist nicht intrinsisch: Sie hängt davon ab, was ein Gegner in Ihrem Kontext damit machen kann. Ihre berufliche Adresse ist öffentlich und harmlos für einen Vertriebsmitarbeiter; dieselbe Information wird kritisch für jemanden, der Belästigung erlebt. Eine alte Telefonnummer ist sensibel, weil sie als zweiter Wiederherstellungsfaktor bei alten Konten dient — nicht, weil man Sie anrufen könnte. Denken Sie immer in Begriffen des Hebels: „womit löst man was aus?” Ein Datum, das keine Tür öffnet, bleibt harmlos, selbst wenn es Sie stört.

Das Audit ist kein One-Shot. Ihre Exposition bewegt sich permanent: neue Lecks, neue Mandate, neue Veröffentlichungen, ein irgendwo gemeldeter Umzug. Für ein Standardprofil iterieren Sie alle sechs Monate. Für ein exponiertes Profil — Führungskraft, sensible Funktion, mediale Exposition — gehen Sie auf drei Monate über und überlassen den Durchgang idealerweise einem Dritten: Ein frischer Blick findet, was Sie nicht mehr suchen, weil Sie verinnerlicht haben, dass „das bekannt ist”, und Ihr Gehirn es ausfiltert. Bewahren Sie jede datierte Tabelle auf: Der Wert entsteht aus dem Vergleich zwischen zwei Iterationen, nicht aus einem isolierten Schnappschuss. Beim Vergleichen entdecken Sie das im letzten Quartal aufgetauchte Leck, die funktionierte Deindexierung oder das Mandat, das Sie zu überwachen vergessen hatten.

Was das konkret bedeutet

Fehler, die man ständig sieht

• Nur einmal auditieren, ohne Wiederholung. Ein heute gemachtes Foto ist in sechs Monaten überholt. Ohne Iteration sehen Sie nie die neuen Lecks noch die neuen Mandate.
• Sich auf die aktuelle E-Mail-Adresse fokussieren und die alten, die Aliasse und die Wegwerf-Adressen vergessen — die genau jene sind, die in den alten Dumps herumliegen.
• Die alten Pseudonyme und Handles ignorieren. Das Forum von 2008, das Gaming-Konto, das alte Twitter: ebenso viele Brücken zwischen Ihren Identitäten, und das, was die KompartmentierungIdentitäten nach Verwendungszweck trennen (privat, beruflich öffentlich, beruflich sensibel, operativ), um Leak-Ausbreitung zu begrenzen.Zum Glossar brechen soll.
• Die Rechtsregister überspringen im Glauben, sie beträfen nur „die großen Firmen”. Eine familiäre Immobiliengesellschaft oder ein Verein genügt, um eine Wohnadresse zu exponieren.
• Die Metadaten vergessen. Ein Foto, veröffentlicht mit intakten EXIFMetadaten, die an Bildern hängen: Datum, GPS, Gerät, Aufnahmeparameter.Zum Glossar-Koordinaten, gibt Ihre Position preis, wo Sie dachten, nur ein Bild zu teilen.
• Keine Spur des Audits aufbewahren. Ohne datierte Tabelle ist kein Vergleich möglich, also kein Maß für Fortschritt oder Abdriften.
• Alles löschen wollen. Die totale Löschung ist illusorisch und signalisiert paradoxerweise etwas zu verbergen. Das Ziel ist zu entscheiden, nicht zu verschwinden.

Umsetzbare Checkliste

• N1 Alle historischen E-Mail-Adressen auf HIBP prüfen
• N1 Sich selbst mit Operatoren googeln (site:, filetype:, intitle:)
• N1 Sein LinkedIn-Profil im privaten Surfen testen — notieren, was sichtbar ist
• N2 Handelsregister / Unternehmensregister auf Gesellschaftsmandate prüfen
• N2 Eine umgekehrte Suche zu seinem Hauptprofilfoto starten
• N2 Die Wayback Machine zu seinen alten Domains oder Blogs konsultieren
• N2 Die EXIF-Metadaten einiger veröffentlichter Bilder kontrollieren
• N3 Die Ergebnisse in einer Kritikalitätstabelle formalisieren und für jeden Punkt entscheiden: mutieren, entfernen, akzeptieren
• N3 Für exponiertes Profil: einen Dritten für einen frischen Blick beauftragen (2 h, 100–300 €)
• N3 Die nächste Iteration planen (6 Monate Standard, 3 Monate exponiert) und die datierte Tabelle archivieren

Zum Weiterlesen

Beginnen Sie mit dem rentabelsten und schnellsten Schritt: Schicken Sie Ihre Adressen durch Have I Been Pwned(opens in a new tab), das ist kostenlos und unmittelbar. Um ein wiederkehrendes Audit zu strukturieren und die Verknüpfungen zwischen Ihren Identitäten zu graphen, bleibt Maltego Community Edition(opens in a new tab) die zugängliche Referenz. Beherrschen Sie die erweiterten Suchoperatoren von Google(opens in a new tab) — die Hälfte der Arbeit steckt in der richtigen Anfrage. Um Ihre alten Spuren wiederzubeleben, ist die Wayback Machine(opens in a new tab) unersetzlich. Und um das tatsächliche Ausmaß des Phänomens zu erfassen, bestätigt der Tätigkeitsbericht des BfDI sowie die Empfehlungen des BSI (Bundesamt für Sicherheit in der Informationstechnik), dass der Großteil der Verstöße bereits zugängliche Daten ausnutzt — genau jene, die dieses Audit Ihnen zu sehen beibringt.