Kein Rätselraten.
Ihr nächster Schritt steht hier.
So kann eine Persönliche digitale Risikoanalyse aussehen: mit verifizierten Befunden, der Frage, was Fremde damit anfangen könnten, Maßnahmen mit Zuständigkeit und einer Nachprüfung, die Ergebnis und Restrisiko festhält. Vollständig fiktiver Fall, reale Struktur.
Persönliche Exposition.
Verständlich eingeordnet.
Zugänge zuerst. Sichtbarkeit danach.
Im fiktiven Szenario hat Befund 02 höchste Priorität: Zugangsdaten zum privaten Haupt-E-Mail-Konto in einem Infostealer-Log. Darüber ließen sich private Nachrichten lesen, weitere Konten per „Passwort vergessen“ übernehmen und eine Identität glaubwürdig vortäuschen. Danach folgen öffentlich sichtbare Kontaktdaten und die Verknüpfung privater und beruflicher Profile.
Vier Befunde. Jeder mit Verifizierung, möglicher Folge und Ergebnis.
01 · Hohe Priorität · FiktivPrivate Kontaktdaten öffentlich sichtbar
Ein fiktives, veraltetes Verzeichnis enthält private Telefonnummer und Anschrift, über den Namen auffindbar.
Quelle: archiviertes Verzeichnis (erfunden)
Datenart: private Telefonnummer und Anschrift
Abbildung im Report: redigiert, keine realen Werte
Warum das relevant ist
Eine auffindbare Adresse macht aus einer Online-Drohung eine Haustür-Situation und aus einem Betrugsversuch einen glaubwürdigen Brief. Daraus folgt noch keine konkrete Bedrohung, aber ein unnötiger Angriffspunkt.
Was jetzt zu tun ist
Verzeichnisbetreiber um Korrektur oder Entfernung ersuchen. Geschäftliche Kontaktmöglichkeit als Ersatz prüfen. Suchergebnisse nach der Bearbeitung erneut kontrollieren.
Zuständigkeit / Nachweis
Betroffene Person, im vereinbarten Umfang Preemity. Dokumentierte Anfrage und erneute Prüfung nach Rückmeldung.
02 · Hohe Priorität · Priorität 1 · FiktivZugangsdaten zum privaten Haupt-E-Mail-Konto in einem Infostealer-Log
Ein Infostealer-Log (fiktiv) enthält E-Mail-Adresse, Passwort und Browser-Sitzungsdaten des privaten Haupt-E-Mail-Kontos, laut Metadaten von einem privaten Laptop erfasst. Der Identitätsbezug ist plausibilisiert. Ein Fremdzugriff ist nicht nachgewiesen, aber auch nicht ausgeschlossen.
Quelle: Infostealer-Log (erfunden)
Datenart: E-Mail-Adresse, Passwort (maskiert), Sitzungs-Cookies, Browserprofil
Erfassung: privater Laptop laut Log-Metadaten · Zeitpunkt: wenige Wochen alt
Identitätsbezug: plausibilisiert · Fremdzugriff: nicht nachgewiesen
Warum das relevant ist
Das Postfach ist der Schlüssel zu fast allem. Wer es lesen kann, sieht private Nachrichten, setzt über „Passwort vergessen“ weitere Konten zurück, von Cloud bis Bank, und kann sich gegenüber Familie, Freunden und Geschäftspartnern glaubwürdig als die betroffene Person ausgeben. Gestohlene Sitzungs-Cookies können einen Zugang ermöglichen, ohne dass ein Passwort eingegeben wird.
Was jetzt zu tun ist
Gerät prüfen und bereinigen lassen. Danach von einem sicheren Gerät aus das Passwort erneuern, aktive Sitzungen widerrufen, Mehrfaktor-Authentifizierung aktivieren, Weiterleitungen und Wiederherstellungswege kontrollieren. Anschließend weitere Datenlecks, Stealer-Logs und Identitätsspuren untersuchen.
Zuständigkeit / Nachweis
Betroffene Person und IT für Gerät und Konten; Preemity für Einordnung und ergänzende Recherche. Bestätigung der Änderungen und Sitzungsprüfung, ohne Passwörter an Preemity zu übermitteln.
Der Fall im Detail: Abschnitt 0303 · Mittlere Priorität · FiktivPrivate und berufliche Profile verknüpft
Ein wiederverwendeter Benutzername verbindet im Beispielszenario ein berufliches Profil mit einem privaten Community-Profil.
Datenart: gleicher Benutzername
Zuordnung: im fiktiven Szenario bestätigt
Private Inhalte: nicht wiedergegeben
Warum das relevant ist
Verknüpfte Profile liefern Kontext: Interessen, Kontakte, Routinen. Genau diese Details machen eine gefälschte Nachricht an Kollegen oder Familie glaubwürdig. Interessen sind keine Aussage über Beziehungen oder intime Vorlieben.
Was jetzt zu tun ist
Sichtbarkeit und Profilverknüpfungen prüfen. Bei Bedarf Benutzernamen trennen, nicht benötigte öffentliche Informationen entfernen und Kontaktmöglichkeiten begrenzen.
Zuständigkeit / Nachweis
Profilinhaberin. Erneute Sichtbarkeitsprüfung ohne Anmeldung nach den Änderungen.
04 · Niedrige Priorität · FiktivVeraltetes Profil bleibt auffindbar
Ein im Beispiel nicht mehr genutztes Profil nennt eine frühere berufliche Rolle. Es enthält keine Zugangsdaten.
Quelle: altes Community-Profil (erfunden)
Datenart: Name und frühere Funktion
Aktuelle Auswirkung: begrenzt
Was jetzt zu tun ist
Profil aktualisieren oder schließen. Vor einer Löschung Wiederherstellungsmöglichkeiten prüfen. Nach Abschluss Suchtreffer erneut kontrollieren.
Zuständigkeit / Nachweis
Profilinhaberin. Bestätigung des Plattformbetreibers und dokumentierte Nachprüfung.
Ein Passwort ist weg.
Was jetzt alles offen ist.
Befund 02 zeigt, warum ein einzelner Datensatz mehr bedeuten kann als ein Konto, und warum die Untersuchung nicht beim Treffer endet. Alle Angaben sind Teil des fiktiven Szenarios.
1. Ausgangslage und fiktiver Datenfund
Die betroffene Person (fiktiv) nutzt ein privates Haupt-E-Mail-Konto seit vielen Jahren: für Bank, Cloud, Onlineshops, Behördenpost, Vereinsarbeit und als Wiederherstellungsadresse für berufliche Zugänge. In einem Infostealer-Log tauchen E-Mail-Adresse, Passwort und Sitzungs-Cookies dieses Kontos auf. Laut Metadaten wurde der Datensatz wenige Wochen zuvor auf einem privaten Laptop erfasst, vermutlich durch eine Schadsoftware aus einem manipulierten Download.
2. Verifizierung und Grenzen der Zuordnung
Geprüft wurde, ob der Datensatz echt und aktuell ist, ob die E-Mail-Adresse der Person gehört und ob die weiteren Merkmale (Browserprofil, gespeicherte Logins) zum Alltag der Person passen. Ergebnis: Identitätsbezug plausibilisiert, Datensatz bestätigt. Nicht belegbar ist, ob der Datensatz bereits genutzt oder weitergegeben wurde. Ein bestätigter Fund heißt: Die Daten existieren und gehören zu Ihnen. Er heißt nicht automatisch, dass jemand sie bereits verwendet hat.
3. Mögliche Auswirkungen auf private und verknüpfte Konten
Mit gültigem Passwort oder gültigem Sitzungs-Cookie ließe sich das Postfach lesen. Von dort aus wären weitere Konten über „Passwort vergessen“ erreichbar: Cloud-Speicher mit Fotos und Dokumenten, Onlineshops mit hinterlegten Zahlungsmitteln, Social-Media-Profile, je nach Einstellung auch Bank- oder Zahlungsdienste. Sitzungs-Cookies können einen Zugang ermöglichen, ohne dass ein Passwort eingegeben wird; ein Passwortwechsel allein beendet eine solche Sitzung nicht immer.
4. Mögliche Folgen für Identität und Privatsphäre
Wer ein Postfach kontrolliert, kann im Namen der Person schreiben: an Familie, Freunde, Vermieter, Geschäftspartner. Daraus entstehen Betrugsversuche („Ich brauche kurz Geld“), Identitätsmissbrauch bei Verträgen und Bestellungen, die Offenlegung privater Nachrichten und Fotos sowie Erpressungsversuche mit gestohlenen Inhalten. Nicht jede Folge tritt ein. Aber jede ist mit diesem einen Datensatz möglich.
5. Zusätzliche Risiken bei beruflichem Bezug
Im Szenario ist das private Postfach Wiederherstellungsadresse für berufliche Zugänge. Damit wird aus einem privaten Fund ein Unternehmensrisiko: Missbrauch beruflicher Zugangsdaten, glaubwürdige Zahlungsanweisungen im Namen der Unternehmerin (CEO-Fraud), Einblick in geschäftlich sensible Unterlagen. Bei entsprechend exponierten Personen können auch gezielte Informationsgewinnung durch Mitbewerber oder Wirtschaftsspionage relevant werden; das wird nur dort bewertet, wo es sachlich begründet ist.
6. Ergänzende OSINT-Recherche nach weiterer Exposition
Ein Infostealer-Fund ist selten allein. Deshalb wurde im Szenario über den Treffer hinaus recherchiert:
- Zusätzlich exponierte E-Mail-Adressen und Nutzernamen der Person
- Relevante Identitätsmerkmale (Geburtsdatum, Anschrift, Telefonnummer) in bekannten Datenlecks
- Weitere bekannte Datenleckfunde und verfügbare Infostealer-Hinweise
- Öffentlich zugängliche Archive und relevante Webveröffentlichungen
- Verknüpfungen zwischen den gefundenen Informationen
Fiktives Ergebnis: zwei weitere, ältere Leak-Funde derselben E-Mail-Adresse (2023 und 2025, jeweils mit Passwort, eines davon bis vor kurzem wiederverwendet), ein in beiden Profilen genutzter Nutzername, keine weiteren Infostealer-Hinweise. Was das nicht bedeutet: Ein fehlender Treffer heißt nicht, dass keine weiteren Daten existieren. Die Recherche findet auffindbare Spuren, nicht sämtliche privaten Datenbestände, unbekannte Kopien oder geheime Verkäufe.
7. Priorisierte Schutzmaßnahmen
- Gerät prüfen und bereinigen (IT), bevor neue Passwörter eingegeben werden.
- Postfach absichern: Passwort von einem sicheren Gerät aus erneuern, alle aktiven Sitzungen widerrufen, Mehrfaktor-Authentifizierung aktivieren, Weiterleitungen, Filter und Wiederherstellungswege kontrollieren.
- Verknüpfte Konten: überall dort neue, eindeutige Passwörter, wo das alte Passwort wiederverwendet wurde oder das Postfach als Wiederherstellung dient; Zahlungsmittel und Bestellhistorien prüfen.
- Berufliche Zugänge: IT informieren, Wiederherstellungsadresse ändern, Freigabeprozesse für Zahlungen für eine Übergangszeit verschärfen.
- Umfeld vorbereiten: Familie und engste Kontakte wissen, dass Nachrichten mit Geld- oder Datenanfragen unabhängig bestätigt werden.
- Nachprüfung vereinbaren: neue Funde, verbliebene Sitzungen, Auffälligkeiten.
8. Dokumentation der im Szenario umgesetzten Maßnahmen
| Maßnahme | Wer | Stand | Nachweis |
|---|---|---|---|
| Laptop geprüft, Schadsoftware entfernt | IT-Dienstleister | Erledigt | Prüfprotokoll der IT |
| Passwort erneuert, Sitzungen widerrufen, MFA aktiv, Weiterleitungen geprüft | Betroffene Person | Erledigt | Screenshots der Sicherheitsübersicht, ohne Passwörter |
| Verknüpfte Konten mit neuen Passwörtern, Zahlungsmittel geprüft | Betroffene Person | Erledigt | Checkliste abgehakt |
| Berufliche Wiederherstellungsadresse geändert, Freigabeprozess verschärft | Unternehmens-IT | Erledigt | Bestätigung der IT |
| Ergänzende Expositionsrecherche durchgeführt und bewertet | Preemity | Erledigt | Befunde E-05 bis E-07 im Anhang (fiktiv) |
9. Verbleibende Unsicherheiten und Restrisiken
Restrisiko: erhöht. Die gestohlenen Informationen können weiterhin kopiert, weitergegeben oder auf kriminellen Marktplätzen verkauft werden. Dass dies möglich ist, ist kein Nachweis, dass es geschehen ist; dass es nicht nachweisbar ist, ist keine Entwarnung. Die umgesetzten Maßnahmen schließen die bekannten Zugänge und verringern die Folgen. Sie holen abgeflossene Daten nicht zurück. Deshalb bleibt erhöhte Aufmerksamkeit bei unerwarteten Nachrichten im Namen der Person sinnvoll, und die Nachprüfung wurde vereinbart.
Aus Erkenntnis wird Handlung.
Die Zeitfenster sind Vorschläge für dieses fiktive Szenario. Bei einer konkreten Bedrohung ist individuelle Priorisierung erforderlich.
| Priorität | Maßnahme | Wer | Erfolgskriterium |
|---|---|---|---|
| Jetzt | Gerät prüfen; Postfach und verknüpfte Konten absichern, Sitzungen widerrufen (Befund 02) | Betroffene Person + IT | Gerät bereinigt; keine unbekannten Sitzungen; MFA aktiv |
| Diese Woche | Ergänzende Recherche nach weiterer Exposition; Entfernung privater Kontaktdaten beantragen (Befund 01) | Preemity (Risikoanalyse; Löschbegleitung im vereinbarten Umfang) | Weitere Funde bewertet; Anfrage dokumentiert |
| Innerhalb 30 Tagen | Profile trennen und Altprofile bereinigen (Befunde 03, 04) | Profilinhaberin | Öffentliche Verknüpfbarkeit reduziert |
| Zum Folgetermin | Veränderungen, neue Funde und Restrisiken prüfen | Preemity + Mandantin | Vorher/Nachher-Vergleich und offene Punkte |
Was sich verändert hat.
Und was bleibt.
Im fiktiven Szenario wurde sechs Wochen nach dem Bericht eine vereinbarte Nachprüfung durchgeführt. Sie zeigt je Befund den Bearbeitungsstand, das tatsächliche Ergebnis und das verbleibende Risiko. Ein erkanntes Risiko ist nicht automatisch ein behobenes; deshalb werden beide Zustände getrennt dokumentiert.
| Befund | Maßnahme | Bearbeitungsstand | Ergebnis | Verbleibendes Risiko |
|---|---|---|---|---|
| 01 · Private Kontaktdaten | Entfernungsanfrage an Verzeichnisbetreiber; Suchtreffer separat geprüft | Erledigt | Eintrag entfernt; Suchtreffer nach 14 Tagen nicht mehr sichtbar | Gering · Kopien auf Drittseiten möglich |
| 02 · Infostealer-Fund E-Mail-Konto | Gerät bereinigt, Zugänge erneuert, Sitzungen widerrufen, MFA aktiv; ergänzende Recherche durchgeführt | Abgeschlossen | Keine unbekannten Sitzungen; Wiederverwendung beendet; weitere Funde geprüft und bewertet | Erhöht Gestohlene Daten bleiben im Umlauf; Weitergabe nicht ausschließbar |
| 03 · Verknüpfte Profile | Benutzernamen getrennt, Sichtbarkeit reduziert | In Bearbeitung | Berufliches Profil bereinigt; privates Profil noch über alten Namen auffindbar | Mittel · Folgetermin vereinbart |
| 04 · Veraltetes Profil | Löschung beim Plattformbetreiber beantragt | Offen | Bestätigung des Betreibers ausständig | Niedrig · keine Zugangsdaten enthalten |
Ein Score braucht eine Erklärung.
Zur Demonstration werden vier Teilwerte gewichtet. Höhere Werte bedeuten hier mehr Exposition. Das Modell ist illustrativ und ersetzt keine validierte Bewertungsmethodik für ein reales Mandat.
| Dimension | Demo-Wert | Gewichtung | Beitrag |
|---|---|---|---|
| Zugangsexposition (Befund 02) | 90 / 100 | 40 % | 36 |
| Private Erreichbarkeit (Befund 01) | 70 / 100 | 30 % | 21 |
| Verknüpfbarkeit (Befund 03) | 60 / 100 | 20 % | 12 |
| Veraltete Profile (Befund 04) | 30 / 100 | 10 % | 3 |
| Gesamt | 100 % | 72 / 100 |
Keine vollständige Internetabdeckung, keine technischen Systemtests und keine Auswertung realer Zugangsdaten. Ein fehlender Befund beweist keine Sicherheit. Ein Datenfund beweist keine aktuelle Kompromittierung. Dass gestohlene Daten weitergegeben oder verkauft werden können, ist kein Nachweis, dass dies im konkreten Fall geschehen ist.
Sie möchten wissen, wie ein solcher Bericht für Ihre Situation aussehen würde? Im Erstgespräch kläre ich mit Ihnen Anlass und sinnvollen Umfang.
Thomas Schartner, MSc · Inhaber von Preemity