OSINT, ohne dich zu verraten

Was du als Ermittler preisgibst

Die offensichtlichste Spur ist die IP-Adresse. Wer über ein Firmen-VPN oder einen regionalen ISP-Bereich recherchiert, gibt Arbeitgeber und geografische Herkunft preis. Für Ziele, die ihre Besucher-Logs auswerten (grosse Unternehmen, beobachtete Akteure, Betrüger mit eigener Logging-Infrastruktur), ist das oft das erste Anzeichen einer laufenden Recherche.

Dann kommen Cookies und Logins. Wer OSINT in einem persönlichen Chrome-Profil betreibt, recherchiert mit dem echten Google-Account im Hintergrund. Eine Google-Suche zu einer Person hängt an deiner E-Mail-Adresse, ein YouTube-Klick signalisiert der Plattform, dass dich dieses Thema interessiert, und der Weg von einer öffentlichen Quelle zurück in deinen Posteingang ist manchmal nur einen Cookie-Abgleich lang.

Den Rest erledigt der Fingerprint. Dein Browser-Fingerprint ist stabil genug, dass ein Ziel mit eigener Analytics dich über mehrere Besuche und mehrere Seiten hinweg wiedererkennt, selbst wenn du die Cookies löschst. Wie das im Detail funktioniert, steht in Browser Fingerprinting.

Sock-Puppet-Accounts richtig aufbauen

Ein Sock-Puppet ist keine Lüge. Es ist ein Arbeitsaccount, der bewusst nicht an deine Identität gekoppelt ist, damit du Plattformen nutzen kannst, ohne dass etwas auf dein Klarnamen-Profil zurückführt. Entscheidend ist die Konsistenz: Name, Geburtsdatum, E-Mail-Domain, Telefonnummer und genutztes Gerät müssen zusammenpassen. Plattformen wie Facebook und LinkedIn erkennen Widersprüche in der Signatur eines Accounts und blockieren Neuanmeldungen rigoros.

Der zweite Punkt ist die Aufwärmphase. Ein Account, der am ersten Tag nach einer bestimmten Person sucht, wirkt verdächtig. Einer, der drei Wochen lang unauffällig aktiv war, bevor er recherchiert, geht im Grundrauschen unter. Plane die Aufwärmzeit ein, bevor du den Account wirklich brauchst.

Und der dritte Punkt: Jedes Sock-Puppet lebt in seinem eigenen Browser-Profil. Sessions dürfen sich nie überlappen, weil gemeinsame Cookies, Referrer und Fingerprints sonst alle Accounts miteinander verknüpfen.

Browser-Hygiene für OSINT-Sessions

Der Browser auf dem Arbeitslaptop ist der natürliche Feind sauberer OSINT-Arbeit. Er hängt an deinem Arbeitgeber, kennt deine produktiven Logins und teilt Fingerprint-Daten mit jeder Seite, die du privat ansteuerst. Die einfachste und wirksamste Regel: OSINT läuft nie im Alltagsbrowser.

Eine saubere Umgebung hat vier Eigenschaften. Sie startet ohne gespeicherte Cookies. Sie hat keine Erweiterungen installiert, weil jede Extension ein weiteres Fingerprint-Merkmal liefert. Sie nutzt eine IP-Adresse, die sich weder deinem Arbeitgeber noch deinem Zuhause zuordnen lässt. Und sie verschwindet am Ende der Session spurlos, sodass eine spätere Kompromittierung des Geräts keinen Verlauf preisgibt.

Ein isolierter Remote-Browser erfüllt alle vier Punkte automatisch. Der Browser läuft in der Cloud, ist mit keinem deiner Accounts verbunden, zeigt eine IP-Adresse ausserhalb deines Netzwerks und wird nach der Session komplett verworfen. Für Redaktionen und Investigativ-Teams ist das die Standardinfrastruktur.

IP-, DNS- und Timing-Trennung

IP-Hygiene ist mehr als ein VPN. Die IP-Bereiche kommerzieller VPN-Anbieter sind auf vielen recherche-relevanten Seiten bekannt und werden entweder blockiert oder bevorzugt mitgeloggt. Residential Proxies, also IPs aus echten Privathaushalten, fallen weniger auf, sind aber rechtlich und ethisch ein Minenfeld, sobald ihre Herkunft unklar ist. Der pragmatische Mittelweg sind IP-Adressen aus seriösen Rechenzentren, in Ländern, die zur Recherche passen.

Die DNS-Trennung wird unterschätzt. Löst dein Gerät den DNS über den Firmenresolver auf, bevor der VPN-Tunnel steht, entsteht ein DNS-Leak, der genau die Seiten zeigt, die du gleich anonym besuchen wolltest. Ein isolierter Browser in der Cloud löst DNS ausserhalb deines Netzwerks auf und schliesst dieses Leck von vornherein aus.

Auch das Timing spielt eine Rolle. Wenn mehrere Reporter derselben Redaktion innerhalb einer Stunde dieselbe Domain ansteuern, ergibt das ein Muster, das in jeder halbwegs brauchbaren Analytics auffällt. Verteile die Besuche über den Tag, vermeide lokale Spitzen.

Ein nachhaltiger Arbeitsablauf

„Ich schau nur kurz nach" ist der häufigste Grund, warum Recherchen auffliegen. Ein nachhaltiger Ablauf sorgt dafür, dass die Rechercheumgebung schneller offen ist als dein Alltagsbrowser. Ein Lesezeichen, eine Verknüpfung auf dem Desktop oder ein Eintrag im Launcher, der direkt eine isolierte Session startet, entscheidet, ob eine Recherche sauber bleibt oder auffliegt.

Dokumentiere jede Session, egal wie kurz sie ist. Screenshots entstehen innerhalb der Session und werden von dort aus exportiert. Der Screenshot selbst trägt selten verräterische Metadaten, das Browser-Profil dahinter dagegen schon.