Digital Exposure Assessment: Ablauf, Ergebnisse und klare Grenzen

Ein belastbarer Auftrag beginnt mit einer Entscheidung: Welche öffentlich sichtbaren Informationen erleichtern Social Engineering? Welche Rollen sind durch Funktion und Sichtbarkeit besonders exponiert? Welche Angabe verrät vermeidbar viel über Zuständigkeiten, Beziehungen oder Routinen?

Ein Ergebnis ist nur relevant, wenn es mit einem nachvollziehbaren Szenario, einer betroffenen Rolle und einer realistischen Schutzmaßnahme verbunden werden kann. Eine allgemeine Internetsuche oder eine Liste auffälliger Fundstücke reicht nicht.

Vor der Recherche werden Auftrag, legitimer Zweck, betroffene Organisationsteile, Rollen, Zeiträume und Schutzobjekte dokumentiert. Dazu können öffentliche Strukturen, Domains, Kommunikationskanäle, Standorte, Lieferbeziehungen oder zeitlich begrenzte Veränderungen gehören.

Genauso wichtig ist die Negativliste. Sie verhindert, dass aus einem begrenzten Schutzauftrag eine unkontrollierte Personenrecherche wird.

• Welche Entscheidung soll unterstützt werden?
• Welche Rollen und Informationsarten liegen im Scope?
• Welche Quellen und Methoden sind erlaubt?
• Wer darf Ergebnisse sehen?
• Welche Aufbewahrungs- und Löschregeln gelten?

Das Grundmodell nutzt passive Recherche in rechtmäßig nutzbaren offenen Quellen: offizielle Webseiten, öffentliche Dokumente, Pressebereiche, berufliche Netzwerke, öffentliche Register und allgemein zugängliche technische Informationen.

Ohne gesonderte schriftliche Beauftragung und Prüfung werden weder Logins umgangen noch Menschen unter falscher Identität kontaktiert, private Konten aufgerufen, Systeme aktiv gescannt oder fragwürdige Datensätze angekauft. Aktive technische Prüfungen gehören in einen getrennten, ausdrücklich autorisierten Auftrag.

Öffentlich auffindbar bedeutet nicht aktuell oder korrekt. Relevante Funde werden deshalb mit Quelle, Abrufzeitpunkt und Kontext dokumentiert und nach Möglichkeit mit unabhängigen Signalen abgeglichen.

Ein belastbarer Befund trennt Beobachtung, fachliche Bewertung, verbleibende Unsicherheit und die Grenzen der zulässigen Schlussfolgerung. So wird ein gleichnamiges Profil, eine veraltete Seite oder ein einzelner Screenshot nicht zu einer scheinbar sicheren Aussage.

Praktische Relevanz entsteht oft erst in der Kette: Ein Projekt liefert Kontext, ein Profil zeigt Zuständigkeit, eine Veranstaltung den Zeitpunkt und ein bekannter Dienstleister eine glaubwürdige Absenderrolle.

Priorisiert wird qualitativ nach Belegstärke, Aktualität, Nutzbarkeit im Szenario und möglicher Wirkung. Ein undurchsichtiger Gesamtscore würde eine Genauigkeit suggerieren, die offene Quellen häufig nicht hergeben.

1. 01
   Kontext

   Welche sichtbare Information eröffnet das Szenario?

2. 02
   Rolle

   Wer könnte damit glaubwürdig angesprochen werden?

3. 03
   Handlung

   Welche Freigabe, Zahlung oder Information soll ausgelöst werden?

4. 04
   Kontrolle

   Welche bestehende Kontrolle müsste den Versuch stoppen?

Ein brauchbarer Bericht enthält Management-Zusammenfassung, vereinbarten Scope, priorisierte Szenarien, nachvollziehbare Quellen- und Zeitangaben, Unsicherheiten, kurz- und mittelfristige Maßnahmen sowie klare Verantwortlichkeiten.

Maßnahmen sind nicht automatisch Löschaufträge. Sichtbarkeit kann für Recruiting, Vertrieb, Pressearbeit oder Führung notwendig sein. Häufig sind Rückruf über einen bekannten Kanal, Vier-Augen-Prinzip, klare Meldelogik oder rollenbezogene Awareness wirksamer.

Ein Digital Exposure Assessment beweist keinen bevorstehenden Angriff, garantiert keine vollständige Erfassung und ist weder Penetrationstest noch Schwachstellenscan, Rechtsberatung oder Datenschutz-Folgenabschätzung.

Es bewertet Menschen nicht anhand geschützter Merkmale, trifft keine automatisierten Personal- oder Sicherheitsentscheidungen und ist ohne gesonderte Vereinbarung kein kontinuierliches Monitoring. Erforderlichkeit, Zweckbindung und Datenminimierung bleiben Teil des Auftrags.