Operational Security (OPSEC) ist die Praxis, Informationen zu erkennen, die einem Gegner nützen könnten, und sie zu schützen, indem kontrolliert wird, was Menschen, Systeme und Prozesse preisgeben.
Wie OPSEC funktioniert
OPSEC entstand im US-Militär während des Vietnamkriegs: Die Studie „Purple Dragon“ von 1966 zeigte, dass der Gegner aus nicht geheimen, vorhersehbaren Aktivitäten von geplanten Operationen erfuhr. Meist wird OPSEC als Prozess in fünf Schritten beschrieben:
- kritische, schützenswerte Informationen identifizieren;
- Bedrohungen analysieren – wer diese Informationen haben will;
- Schwachstellen analysieren – wie sie abfließen könnten;
- das Risiko bewerten;
- Gegenmaßnahmen umsetzen.
Der Kerngedanke: Kleine, harmlos wirkende Details – Reisepläne, Jobtitel, Fotos, Metadaten – lassen sich zu sensiblem Wissen kombinieren, genau wie Angreifer es mit Open Source Intelligence tun.
Warum OPSEC relevant ist
Schwache OPSEC liefert Angreifern das Material für Social Engineering: Organigramme auf LinkedIn, Technologie-Stacks in Stellenanzeigen, interne Details in sozialen Netzwerken. 2018 enthüllte die globale Heatmap der Fitness-App Strava anhand der Laufdaten von Soldaten die Lage von Militärbasen und Patrouillenrouten.
OPSEC wirkt in beide Richtungen. Auch Kriminelle und staatliche Hacker machen Fehler, die sie verraten: Silk-Road-Gründer Ross Ulbricht wurde unter anderem identifiziert, weil er einmal unter seiner eigenen Gmail-Adresse gepostet hatte. Solche Ausrutscher im digitalen Fußabdruck von Angreifern sind oft entscheidend für die Attribution von Cyberangriffen.
Best Practices für OPSEC
- Festlegen, welche Informationen sensibel sind und wer sie weitergeben darf.
- Mitarbeiter schulen, Arbeitsdetails in sozialen Netzwerken zu begrenzen und ungewöhnliche Anfragen zu verifizieren.
- Metadaten aus veröffentlichten Dokumenten und Fotos entfernen.
- Für sensible Tätigkeiten getrennte Konten, Geräte und Kommunikationskanäle nutzen.
- Die eigene öffentliche Präsenz regelmäßig aus Sicht eines Angreifers prüfen.
