Einfallstor: Öffentliche Informationen

Warum Ihre Stellenanzeigen Hackern mehr verraten, als Ihnen lieb ist

Die meisten Unternehmen glauben, sie hätten im Griff, welche Informationen nach außen dringen. Kommunikation wird abgestimmt, Inhalte werden geprüft, sensible Daten geschützt. Und trotzdem entsteht an einer Stelle ein erstaunlich klares Bild des Unternehmens — in den eigenen Stellenanzeigen.

Das liegt daran, dass Stellenanzeigen zwangsläufig konkreter sind als jede andere Form der Außenkommunikation. Sie müssen beschreiben, womit tatsächlich gearbeitet wird, welche Herausforderungen existieren und welche Kompetenzen fehlen. Genau diese Ehrlichkeit macht sie für Bewerber wertvoll. Und für Angreifer interessant.

Was sich aus Stellenanzeigen ableiten lässt

Denn eine Stellenanzeige wird nicht nur gelesen, sondern interpretiert. Sie liefert selten einzelne kritische Informationen, aber sie gibt Hinweise. Hinweise darauf, welche Technologien im Einsatz sind, welche Systeme gerade verändert werden, wo Engpässe bestehen und wie ein Unternehmen organisiert ist. Für sich genommen wirkt das unproblematisch. In der Kombination entsteht jedoch ein Bild, das deutlich mehr Aussagekraft hat. Typischerweise lassen sich aus Stellenanzeigen unter anderem folgende Dinge ableiten:

• eingesetzte Technologien und Plattformen
• laufende Transformations- oder Migrationsprojekte
• organisatorische Strukturen und Zuständigkeiten
• Bereiche mit erhöhtem Ressourcenbedarf oder Unsicherheiten

Das sind keine Sicherheitslücken im klassischen Sinne. Aber sie helfen, eine andere Frage zu beantworten: Wo lohnt sich ein genauerer Blick?

Wie Angreifer diese Informationen nutzen

Genau hier unterscheidet sich die Perspektive. Ein Bewerber interessiert sich dafür, ob die Rolle zu ihm passt. Ein Angreifer interessiert sich dafür, was sich daraus über das Unternehmen ableiten lässt. Wenn beispielsweise mehrere Positionen im Bereich Cloud-Migration ausgeschrieben sind, deutet das auf eine Phase erhöhter Komplexität hin. Systeme werden umgebaut, Prozesse angepasst, Abhängigkeiten verschoben. In solchen Phasen entstehen naturgemäß mehr Unsicherheiten als im stabilen Betrieb. Ähnlich verhält es sich, wenn gezielt Security-Rollen aufgebaut werden. Das kann darauf hinweisen, dass Sicherheitsprozesse noch nicht vollständig etabliert sind.

Warum die Kombination entscheidend ist

Der eigentliche Effekt entsteht jedoch erst durch Verknüpfung. Stellenanzeigen stehen nie isoliert. Sie werden kombiniert mit öffentlich sichtbaren Mitarbeiterprofilen, technischen Spuren im Internet, Domains, Zertifikaten und organisatorischen Hinweisen. Werkzeuge wie Maltego helfen dabei, genau diese Verbindungen sichtbar zu machen und aus einzelnen Fragmenten ein zusammenhängendes Bild zu erzeugen. Dieses Bild ist selten vollständig, aber es ist präzise genug, um Entscheidungen zu treffen.

Was Unternehmen dabei übersehen

Viele Unternehmen unterschätzen diesen Mechanismus, weil sie Sicherheit vor allem aus einer internen Perspektive betrachten. Sie schützen Systeme, kontrollieren Zugriffe und härten ihre Infrastruktur. Was dabei oft fehlt, ist der Blick von außen. Dort entsteht ein anderes Bild — eines, das nicht bewusst gestaltet wurde, sondern sich aus vielen einzelnen Informationen zusammensetzt. Stellenanzeigen spielen dabei eine besondere Rolle, weil sie gleichzeitig aktuell, konkret und realitätsnah sind. Sie zeigen nicht, wie ein Unternehmen wahrgenommen werden möchte, sondern woran es tatsächlich arbeitet.

Fazit

Das bedeutet nicht, dass Stellenanzeigen ein Sicherheitsproblem sind oder vermieden werden sollten. Ohne sie funktioniert Recruiting nicht. Die entscheidende Frage ist eine andere: Was lässt sich daraus ableiten? Denn genau an dieser Stelle verschiebt sich das Risiko — weg von einzelnen Informationen hin zum Gesamtbild, das daraus entsteht. Cyberrisiken entstehen heute nicht nur durch technische Schwachstellen. Sie entstehen auch durch Transparenz, durch Verknüpfbarkeit und durch die Möglichkeit, ein Unternehmen von außen zu verstehen. Und genau dieser Prozess beginnt oft an einem Ort, der kaum als sicherheitsrelevant wahrgenommen wird: auf der Karriereseite.