Open Source Intelligence, kurz OSINT, bezeichnet die Auswertung öffentlich zugänglicher Informationen. Für Studios, Publisher und technische Dienstleister kann diese Recherche zeigen, welche Domains, Zertifikate, Cloud-Dienste und Projektspuren von außen sichtbar sind. Ziel ist nicht, fremde Systeme zu testen, sondern die eigene Angriffsfläche zu verstehen und zu reduzieren.
Passive Recherche vor jedem Sicherheitstest
Eine Bestandsaufnahme beginnt mit den eigenen Unternehmensnamen, Domains und öffentlich bekannten Marken. DNS-Einträge, Zertifikatsdatenbanken, Registrierungsinformationen und veröffentlichte Dokumente können Hinweise auf alte Systeme oder vergessene Subdomains liefern. Für Spieleunternehmen gehören dazu auch Testserver, Community-Portale, Build-Dienste und Schnittstellen zu externen Plattformen.
Die NIST-Leitlinie für technische Sicherheitsprüfungen trennt Informationsgewinnung, Bewertung und eigentliche Tests. Diese Trennung ist wichtig: Passive OSINT-Recherche verursacht keine Last auf fremden Systemen, während Portscans oder Verzeichnisabfragen eine ausdrückliche Beauftragung benötigen.
Werkzeuge und Grenzen
Werkzeuge wie SpiderFoot bündeln öffentliche Quellen und helfen, Beziehungen zwischen Domains, IP-Adressen, Zertifikaten und bekannten Datenlecks zu erkennen. Die Ergebnisse sind Hinweise, keine Beweise für eine aktive Schwachstelle. Jede Zuordnung muss von einem zuständigen Team geprüft werden.
Besonders kritisch sind alte Cloud-Ressourcen, öffentlich erreichbare Administrationsoberflächen und Dokumente mit internen Kontaktdaten. Ein Fund sollte mit Quelle, Zeitpunkt, Verantwortlichem und geplanter Maßnahme dokumentiert werden. Zugangsdaten oder persönliche Daten gehören nicht in frei zugängliche Reports.
OSINT als Teil der Entwicklerprozesse
Die Ergebnisse können in Onboarding, Release-Checklisten und Incident-Response-Pläne einfließen. Vor einem großen Spieltest oder einer Messe sollten Teams beispielsweise prüfen, ob alte Staging-Domains noch öffentlich auf interne Systeme verweisen. Wiederholte, autorisierte Bestandsaufnahmen machen sichtbar, ob abgeschaltete Services tatsächlich aus dem Netz verschwunden sind.
OSINT ersetzt keinen Penetrationstest. Es liefert jedoch eine kostengünstige Sicht von außen und schafft eine gemeinsame Grundlage für Entwicklung, IT-Betrieb und Geschäftsführung. So wird aus einer Sammlung öffentlicher Spuren ein planbarer Teil der Sicherheitsarbeit.