Start › So läuft eine OSINT-Analyse ab

OSINT steht für Open Source Intelligence: Informationen aus Quellen, die jeder abrufen kann. Eine gefälschte Website hinterlässt viele solcher Spuren. Einzeln sagen sie wenig, zusammengesetzt zeigen sie, wer die Seite betreibt, wo sie liegt und wohin das Geld fließen soll.

Hier sehen Sie, was zwischen Ihrer ersten E-Mail und dem fertigen Bericht passiert. Fachbegriffe erklärt das Glossar.

Der Ablauf auf einen Blick

  1. 1FallaufnahmeSie nennen die Adresse und was Ihnen aufgefallen ist.Ergebnis: Festpreisangebot
  2. 2SicherungDie Seite wird gespeichert, bevor sie verschwindet.Ergebnis: Ansichten mit Zeitstempel und Prüfsumme
  3. 3InfrastrukturDomain, Registrar, Nameserver, Hoster, Zertifikate.Ergebnis: Wer ist zuständig?
  4. 4VerknüpfungenSchwesterseiten, gleicher Quelltext, frühere Versionen.Ergebnis: Einzeltat oder Netzwerk?
  5. 5Geld und KontaktZahlungswege und Kontaktdaten der Täter.Ergebnis: Ansatzpunkte für Polizei und Bank
  6. 6BerichtAlles als nachvollziehbares Beweisprotokoll.Ergebnis: PDF mit Anhängen
  7. 7MeldungOptional: Abuse-Meldungen und Nachverfolgung über 30 Tage.Ergebnis: Dokumentierter Verlauf
Vorbereitung und Sicherung Analyse Ergebnis. Schritt 7 ist nur im Paket „Analyse und Abschaltung“ enthalten.

1. Fallaufnahme

Sie schicken uns die verdächtige Adresse und eine kurze Schilderung: Woher kennen Sie die Seite, was wurde kopiert, gibt es schon Geschädigte? Wir sehen uns die Seite an und nennen Ihnen das passende Paket mit Festpreis. Erst wenn Sie zusagen, entstehen Kosten.

2. Sicherung

Fake-Shops sind oft nur wenige Tage oder Wochen online. Deshalb sichern wir zuerst: jede relevante Unterseite als Bild und als Originaldatei, mit Datum, Uhrzeit und abgerufener Adresse. Für jede Datei berechnen wir eine Prüfsumme. Ändert jemand später auch nur ein Zeichen, passt die Prüfsumme nicht mehr. So lässt sich zeigen, dass die Sicherung unverändert ist.

3. Infrastruktur: Wer ist zuständig?

Jede Website braucht eine Domain, einen Registrar, der sie verwaltet, Nameserver und einen Hoster, auf dessen Server sie liegt. Diese Angaben sind öffentlich abrufbar, etwa über RDAP und DNS. Sie zeigen, wann die Domain registriert wurde und welche Firmen eine Abschaltung veranlassen können.

4. Verknüpfungen: Einzeltat oder Netzwerk?

Hinter Fake-Shops stehen oft Gruppen, die Dutzende Seiten nach demselben Muster betreiben. Hinweise darauf liefern gemeinsame IP-Adressen, identische Bausteine im Quelltext, Einträge in den Zertifikatsregistern und frühere Fassungen im Webarchiv. Je mehr Seiten zusammenhängen, desto eher handeln Polizei und Anbieter.

Beispiel einer Spurenkarte Die erfundene Domain musterbau-outlet.example in der Mitte. Verbunden sind Registrar, Nameserver, Hoster mit IP-Adresse, ein TLS-Zertifikat, eine Archivkopie und eine Zahlungsspur. Über dieselbe IP-Adresse hängen zwei weitere Domains mit dem Muster zusammen. RegistrarAbuse-Kontakt Nameserverns1.beispiel-dns.example HosterIP 203.0.113.42 Gleiche IP-Adressewerkzeug-lager.examplegartenmoebel-24.example TLS-Zertifikatausgestellt 3 Tage vor Start Webarchivfrühere Fassung: anderer Shop Zahlungsspurnur Vorkasse, Auslandskonto musterbau-outlet.exampleregistriert vor 9 Tagen
Beispiel mit erfundenen Daten. Gestrichelt: weitere Domains auf derselben IP-Adresse, ein Hinweis auf gemeinsame Betreiber. Im echten Bericht ist jede Verbindung mit Quelle, Abrufzeit und Sicherung belegt.

5. Geld und Kontakt

Täter wollen bezahlt werden. Bei einer Testbestellung gehen wir bis zur Zahlungsseite, ohne die Bestellung abzuschließen und ohne falsche Identität. Dort stehen oft Kontoverbindung, Zahlungsdienst oder Empfängername. Dazu kommen Kontaktdaten aus Impressum, E-Mail-Adressen und Telefonnummern. Diese Angaben helfen Polizei und Banken, Konten zu sperren und Geschädigte zu warnen.

6. Bericht

Der Bericht fasst alles zusammen: Was wurde wann wo abgerufen, was zeigt es, wie hängt es zusammen. Jede Aussage ist mit einer Sicherung belegt. Er ist so aufgebaut, dass Ihre Kanzlei, die Polizei oder die Abuse-Abteilung eines Anbieters ihn ohne Rückfragen verwenden kann. Eine rechtliche Bewertung enthält er nicht, die bleibt bei Ihrer Kanzlei.

7. Meldung und Nachverfolgung

Im Paket „Analyse und Abschaltung“ bereiten wir sachliche Meldungen an Registrar, Hoster und Zahlungsdienst vor: Tatsachen und Belege, ohne rechtliche Forderungen. Danach prüfen wir 30 Tage lang, ob die Seite noch erreichbar ist oder unter neuer Adresse wieder auftaucht, und halten das fest.

Was wir dabei nicht tun

Wir melden uns nirgends an, überwinden keine Zugangssperren, nutzen keine Daten aus Datenlecks und geben uns nicht als jemand anderes aus. Einzelheiten stehen unter Grenzen unserer Arbeit.

Fall schildern

Schicken Sie uns die Adresse der verdächtigen Seite. Sie bekommen eine Einschätzung und ein Festpreisangebot, bevor Kosten entstehen.

E-Mail schreiben

Telefon: 02403 838320

Stand: 07.11.2026