Grundlagen der operativen Sicherheit (OPSEC)

Operational Security (OPSEC) bezeichnet den Prozess, sensible Informationen vor Gegnern zu schützen, indem kritische Informationen identifiziert, Bedrohungen analysiert und Gegenmaßnahmen umgesetzt werden. Ursprünglich ein militärisches Konzept, ist OPSEC heute für Sicherheitsexperten, Journalisten und Aktivisten unverzichtbar.

Der formale OPSEC-Prozess:

1. Kritische Informationen identifizieren — Was muss geschützt werden?
2. Bedrohungen analysieren — Wer möchte diese Informationen?
3. Schwachstellen analysieren — Wie könnten sie offengelegt werden?
4. Risiko bewerten — Wie hoch sind Wahrscheinlichkeit und Auswirkungen?
5. Gegenmaßnahmen anwenden — Das Risiko auf ein akzeptables Maß reduzieren

Einzelne, scheinbar harmlose Informationen können kombiniert werden und sensible Details offenlegen. Wenn Sie separat Ihr Café, Ihren Arbeitsplan, Ihr Viertel und Ihr Automodell veröffentlichen, entsteht daraus ein Zielprofil. Gegner führen Open-Source-Daten zusammen, um verwertbare Erkenntnisse zu gewinnen.

So reduzieren Sie Ihren digitalen Fußabdruck:

• Verwenden Sie für unterschiedliche Zwecke Pseudonyme und separate E-Mail-Adressen
• Minimieren Sie Ihre öffentliche Präsenz in sozialen Medien
• Verwenden Sie datenschutzfreundliche Suchmaschinen (DuckDuckGo, Brave)
• Widersprechen Sie der Aufnahme in Datenbroker-Websites
• Überprüfen Sie App-Berechtigungen regelmäßig

Trennung von Bereichen separiert Identitäten, Tools und Aktivitäten, um eine gegenseitige Vermischung zu begrenzen. Ein Sicherheitsforscher könnte für verschiedene Personas oder Kundenaufträge separate Geräte, Browser und E-Mail-Konten verwenden.

Auswahl sicherer Kommunikationskanäle:

• Signal — Ende-zu-Ende-verschlüsselte Nachrichten mit selbstlöschenden Nachrichten
• ProtonMail — verschlüsselte E-Mail
• Vermeiden Sie nach Möglichkeit E-Mails für sensible Gespräche
• Beachten Sie, dass Metadaten (mit wem Sie wann sprechen) oft ebenso viel verraten wie der Inhalt

Maßnahmen für physische OPSEC:

• Bildschirmschutzfilter für Laptops in der Öffentlichkeit
• Deaktivieren Sie Mikrofon und Kamera, wenn sie nicht verwendet werden
• Achten Sie in öffentlichen Räumen auf Blicke über die Schulter
• Verwenden Sie Festplattenverschlüsselung (BitLocker, FileVault, LUKS)
• Vernichten Sie sensible Dokumente sicher

Bekannte OPSEC-Fehler:

• Sabu (LulzSec): vergaß einmal, Tor zu verwenden → IP-Adresse offengelegt → verhaftet
• Ross Ulbricht (Silk Road): verwendete denselben Benutzernamen auf mehreren Websites, Jahre bevor er Silk Road gründete
• APT-Gruppen: Wiederverwendung von Malware-Code oder Infrastruktur, die mit früheren Operationen verknüpft war

Bei Aufträgen praktizieren Pentester OPSEC, um echte Gegner zu simulieren und zu vermeiden, Kundensysteme versehentlich echten Angreifern auszusetzen:

• Verwenden Sie VPNs oder anonymisierende Infrastruktur
• Variieren Sie Tool-Signaturen
• Beseitigen Sie nach dem Testen alle Artefakte
• Dokumentieren Sie alle Aktionen für die Berichterstattung

Ihre OPSEC-Ausrichtung hängt von Ihrem Bedrohungsmodell ab:

• Durchschnittliche Person: grundlegende Passwortsicherheit plus MFA
• Sicherheitsexperte: Trennung von Bereichen plus starke Verschlüsselung
• Journalist/Aktivist: umfassende Tor-Nutzung plus vom Netzwerk getrennte Geräte für sensible Arbeiten

Übermäßige OPSEC ohne ein entsprechendes Bedrohungsmodell erzeugt kontraproduktive Reibung.

Effektive OPSEC ist keine Checkliste, sondern eine Denkweise: Sie fragen sich fortlaufend: "Welche Informationen gebe ich preis, wem gegenüber und was kann diese Person damit tun?" Durch Übung wird diese gegnerorientierte Selbstprüfung zur Gewohnheit.

Ein Analyst verwendet denselben Benutzernamen in einem privaten Gaming-Forum, den er auch beim Vorbereiten einer verdeckten Operation verwendet hat. Gegen welches OPSEC-Prinzip hat er verstoßen?

OPSEC schützt sensible Informationen durch einen fünfstufigen Prozess: kritische Informationen identifizieren, Bedrohungen und Schwachstellen analysieren, Risiken bewerten und Gegenmaßnahmen anwenden. Zu den wichtigsten Maßnahmen gehören die Trennung von Bereichen, die Reduzierung des digitalen Fußabdrucks, sichere Kommunikation (Signal, ProtonMail) und physische Sicherheit. Die OPSEC-Ausrichtung sollte dem tatsächlichen Bedrohungsmodell entsprechen.