Shodan, VirusTotal, Censys, SecurityTrails, DNS, WHOIS, BGP, Wayback Machine — vereint in einem einzigen MCP-Server.
Ihr KI-Agent erhält umfassendes OSINT auf Abruf, nicht 12 Browser-Tabs und manuelle Korrelation.
---
## Das Problem
Die OSINT-Erfassung ist der erste Schritt jedes Penetrationstests, jeder Bug-Bounty-Jagd und jeder Bedrohungsbewertung. Die benötigten Daten sind über ein Dutzend Plattformen verstreut — jede mit ihrer eigenen API, ihrer eigenen Authentifizierung, ihren eigenen Ratenbegrenzungen und ihrem eigenen Ausgabeformat. Heute öffnen Sie Shodan in einem Tab, VirusTotal in einem anderen, führen `dig` in einem Terminal aus, kopieren von WHOIS, wechseln zu crt.sh für Zertifikate und verbringen dann 30 Minuten damit, alles manuell zu korrelieren.
```
Traditioneller OSINT-Workflow:
DNS-Einträge auflösen → dig / nslookup CLI
WHOIS-Registrierung prüfen → whois CLI oder Web-Tool
Subdomains aufzählen → crt.sh + SecurityTrails + VirusTotal (3 verschiedene UIs)
Nach offenen Ports/Diensten → Shodan Web-Oberfläche
Domain-Reputation prüfen → VirusTotal Web-Oberfläche
IP-Infrastruktur kartieren → Censys + BGP-Lookups
Archivierte Seiten finden → Wayback Machine Web-UI
E-Mail-Sicherheit überprüfen → Manuelle MX/SPF/DMARC-Lookups
Alles korrelieren → Kopieren-Einfügen in Tabellenkalkulation
─────────────────────────────────
Gesamt: 45+ Minuten pro Ziel, meistens mit Kontextwechseln
```
**osint-mcp-server** gibt Ihrem KI-Agenten 37 Tools über 12 Datenquellen via [Model Context Protocol](https://modelcontextprotocol.io). Der Agent fragt alle Quellen parallel ab, korreliert Daten, identifiziert Risiken und präsentiert ein einheitliches Intelligence-Bild — in einer einzigen Konversation.
```
Mit osint-mcp-server:
Sie: "Mache eine vollständige Aufklärung von target.com"
Agent: → DNS: 4 A-Einträge, 3 MX (Google Workspace), 2 NS
→ WHOIS: Registriert 2019, läuft 2025 ab, GoDaddy
→ crt.sh: 47 eindeutige Subdomains aus CT-Logs
→ HackerTarget: 23 Hosts mit IPs
→ E-Mail: SPF Soft-Fail (~all), DMARC p=none, kein DKIM
→ Shodan: 3 IPs, 12 offene Ports, Apache 2.4.49 (CVE-2021-41773)
→ VirusTotal: Saubere Reputation, 0 Erkennungen
→ "target.com hat 47 Subdomains, schwache E-Mail-Sicherheit
(SPF Soft-Fail, DMARC nur Überwachung), und eine IP
mit Apache 2.4.49 mit bekannter Path-Traversal-CVE.
Priorität: Apache patchen, SPF auf -all upgraden, DMARC auf p=reject setzen."
```
---
## Wie es sich unterscheidet
Bestehende OSINT-Tools geben Ihnen Rohdaten von jeweils einer Quelle. osint-mcp-server gibt Ihrem KI-Agenten die Fähigkeit, **über alle Quellen gleichzeitig zu schlussfolgern**.
Traditionelles OSINT
osint-mcp-server
Schnittstelle
12 verschiedene Web-UIs, CLIs und APIs
MCP — KI-Agent ruft Tools im Gespräch auf
Datenquellen
Eine Plattform nach der anderen
12 Quellen parallel abgefragt
Subdomain-Enum
crt.sh ODER SecurityTrails ODER VirusTotal
Agent vereint alle drei + HackerTarget, dedupliziert
Korrelation
Manuelles Kopieren-Einfügen zwischen Tabs
Agent referenziert übergreifend: "Diese IP von Shodan erscheint auch in Censys mit abgelaufenem Zertifikat"
E-Mail-Sicherheit
Separate SPF/DMARC/DKIM-Lookups
Kombinierte Analyse mit Risikobewertung und umsetzbaren Empfehlungen
Infrastruktur
GeoIP + BGP + WHOIS separat
Agent kartiert vollständige Infrastruktur: ASN, Präfixe, Geolokation, Besitz
API-Schlüssel
Für fast alles erforderlich
21 Tools funktionieren kostenlos, 16 weitere mit optionalen API-Schlüsseln
Einrichtung
Jedes Tool installieren, jede Konfiguration verwalten
npx osint-mcp-server — ein Befehl, keine Konfiguration
---
## Schnellstart
### Option 1: npx (keine Installation)
```bash
npx osint-mcp-server
```
21 öffentliche OSINT-Tools funktionieren sofort. Keine API-Schlüssel erforderlich.
### Option 2: Klonen
```bash
git clone https://github.com/badchars/osint-mcp-server.git
cd osint-mcp-server
bun install
```
### Umgebungsvariablen (optional)
```bash
# Premium OSINT-Quellen — alle optional
export SHODAN_API_KEY=your-key # Aktiviert 4 Shodan-Tools
export VT_API_KEY=your-key # Aktiviert 4 VirusTotal-Tools
export ST_API_KEY=your-key # Aktiviert 3 SecurityTrails-Tools
export CENSYS_API_ID=your-id # Aktiviert 3 Censys-Tools
export CENSYS_API_SECRET=your-secret # Erforderlich mit CENSYS_API_ID
```
Alle Premium-API-Schlüssel sind optional. Ohne sie erhalten Sie immer noch 21 Tools für DNS, WHOIS, crt.sh, GeoIP, BGP, Wayback Machine, HackerTarget und Microsoft 365 Tenant-Discovery.
### Mit Ihrem KI-Agenten verbinden
Claude Code
```bash
# Mit npx
claude mcp add osint-mcp-server -- npx osint-mcp-server
# Mit lokalem Klon
claude mcp add osint-mcp-server -- bun run /path/to/osint-mcp-server/src/index.ts
```
Claude Desktop
Hinzufügen zu `~/Library/Application Support/Claude/claude_desktop_config.json`:
```json
{
"mcpServers": {
"osint": {
"command": "npx",
"args": ["-y", "osint-mcp-server"],
"env": {
"SHODAN_API_KEY": "optional",
"VT_API_KEY": "optional",
"ST_API_KEY": "optional",
"CENSYS_API_ID": "optional",
"CENSYS_API_SECRET": "optional"
}
}
}
}
```
Cursor / Windsurf / andere MCP-Clients
Gleiches JSON-Konfigurationsformat. Verweisen Sie den Befehl auf `npx osint-mcp-server` oder Ihren lokalen Installationspfad.
### Abfragen starten
```
Sie: "Was kannst du über example.com herausfinden?"
```
Das war's. Der Agent übernimmt DNS, WHOIS, Subdomains, E-Mail-Sicherheit und mehr automatisch.
---
## Was die KI tun kann
### Domain-Aufklärung
```
Sie: "Mache eine vollständige Aufklärung von target.com"
Agent: → osint_domain_recon {domain: "target.com"}
→ DNS: A-Einträge zeigen auf 3 IPs (AWS us-east-1)
→ WHOIS: Registriert 2018 über Namecheap, läuft 2026 ab
→ crt.sh: 62 Subdomains entdeckt
→ HackerTarget: 31 Hosts mit aufgelösten IPs
→ E-Mail: SPF Hard-Fail, DMARC p=reject, DKIM gefunden (selector1)
→ "target.com ist gut für E-Mail-Sicherheit konfiguriert.
62 Subdomains gefunden — bemerkenswert: staging.target.com,
admin-portal.target.com, api-v2.target.com.
Infrastruktur läuft auf AWS (us-east-1)."
```
### Angriffsflächen-Kartierung
```
Sie: "Kartiere die Angriffsfläche für 203.0.113.50"
Agent: → shodan_host {ip: "203.0.113.50"}
→ geoip_lookup {ip: "203.0.113.50"}
→ bgp_ip {ip: "203.0.113.50"}
→ whois_ip {ip: "203.0.113.50"}
→ dns_reverse {ip: "203.0.113.50"}
→ "203.0.113.50 (Hetzner, DE, AS24940)
Offene Ports: 22/SSH, 80/HTTP, 443/HTTPS, 8080/HTTP-Proxy
Apache 2.4.51, OpenSSH 8.9, nginx Reverse-Proxy auf 8080
Reverse-DNS: web1.target.com
3 bekannte CVEs von Shodan markiert"
```
### Subdomain-Enumeration (Mehrere Quellen)
```
Sie: "Finde alle Subdomains von target.com mit jeder verfügbaren Quelle"
Agent: → crtsh_search {domain: "target.com"} → 62 Subdomains
→ st_subdomains {domain: "target.com"} → 84 Subdomains
→ vt_subdomains {domain: "target.com"} → 41 Subdomains
→ hackertarget_hostsearch {domain: "target.com"} → 31 Hosts
→ dns_wildcard_check {domain: "target.com"} → Keine Wildcard
→ "127 eindeutige Subdomains nach Deduplizierung über 4 Quellen.
Bemerkenswerte Funde: staging.target.com, dev-api.target.com,
jenkins.target.com (CI/CD-Expositionsrisiko),
old-admin.target.com (potenzielles Legacy-System)"
```
### E-Mail-Sicherheitsaudit
```
Sie: "Analysiere die E-Mail-Sicherheitslage von target.com"
Agent: → dns_email_security {domain: "target.com"}
→ dns_spf_chain {domain: "target.com"}
→ m365_tenant {domain: "target.com"}
→ "E-Mail-Sicherheit: HOHES RISIKO
SPF: ~all (Soft-Fail — fälschbar)
DMARC: p=none (nur Überwachung — nicht durchgesetzt)
DKIM: Gefunden für selector1 (2048-Bit, gut)
SPF-Kette: 7 Includes, 2 Dienste (Google Workspace, SendGrid)
M365: Kein Microsoft-Tenant
Empfehlungen:
1. SPF von ~all auf -all upgraden
2. DMARC von p=none auf p=quarantine, dann p=reject ändern
3. rua= zu DMARC für aggregierte Berichte hinzufügen"
```
### Historische Intelligenz
```
Sie: "Was lief auf target.com vor 3 Jahren?"
Agent: → wayback_urls {domain: "target.com", limit: 500}
→ st_dns_history {domain: "target.com", type: "a"}
→ wayback_snapshots {url: "https://target.com/robots.txt"}
→ "DNS-Historie: target.com wechselte von 198.51.100.1 (DigitalOcean)
zu 203.0.113.50 (AWS) in 2023.
Wayback fand 342 eindeutige URLs inkl.:
- /admin/ (2024 entfernt, war zugreifbar)
- /api/v1/docs (Swagger UI, immer noch gecacht)
- /wp-content/ (war WordPress, migriert)
Alte robots.txt sperrte /internal/ und /debug/"
```
---
## Tools-Referenz (37 Tools)
DNS (6) — Kein API-Schlüssel
| Tool | Beschreibung |
|------|-------------|
| `dns_lookup` | A, AAAA, MX, TXT, NS, SOA, CNAME, SRV-Einträge auflösen |
| `dns_reverse` | Reverse-DNS (PTR) Lookup für eine IP-Adresse |
| `dns_email_security` | SPF + DMARC + DKIM-Analyse mit Risikobewertung und Empfehlungen |
| `dns_spf_chain` | Rekursive SPF-Include-Kettenauflösung mit Service-Erkennung |
| `dns_srv_discover` | SRV + CNAME Service-Discovery (Autodiscover, LDAP, SIP, Kerberos, etc.) |
| `dns_wildcard_check` | Wildcard-DNS-Erkennung via Zufalls-Subdomain-Probe |
WHOIS / RDAP (2) — Kein API-Schlüssel
| Tool | Beschreibung |
|------|-------------|
| `whois_domain` | RDAP-Domain-Lookup — Registrar, Daten, Nameserver, Kontakte |
| `whois_ip` | RDAP-IP-Lookup — Netzwerkname, CIDR, Land, Entitäten |
Zertifikatstransparenz (1) — Kein API-Schlüssel
| Tool | Beschreibung |
|------|-------------|
| `crtsh_search` | CT-Logs via crt.sh durchsuchen — Subdomain-Discovery + Zertifikatsdetails |
Shodan (4) — Benötigt SHODAN_API_KEY
| Tool | Beschreibung |
|------|-------------|
| `shodan_host` | IP-Details: Offene Ports, Dienste, Banner, Schwachstellen, OS, ASN |
| `shodan_search` | Shodan-Abfragesprache durchsuchen (z.B. `apache port:443 country:US`) |
| `shodan_dns_resolve` | Bulk-Hostname-zu-IP-Auflösung via Shodan |
| `shodan_exploits` | Öffentliche Exploit-Datenbank durchsuchen (PoC, Metasploit-Module) |
VirusTotal (4) — Benötigt VT_API_KEY
| Tool | Beschreibung |
|------|-------------|
| `vt_domain` | Domain-Reputation, Erkennungsstatistiken, Kategorien, DNS-Einträge |
| `vt_ip` | IP-Reputation, Erkennungsstatistiken, ASN, Netzwerk |
| `vt_subdomains` | Subdomain-Enumeration via VirusTotal |
| `vt_url` | URL-Scan + Malware/Phishing-Analyse |
SecurityTrails (3) — Benötigt ST_API_KEY
| Tool | Beschreibung |
|------|-------------|
| `st_subdomains` | Subdomain-Enumeration (gibt FQDNs zurück) |
| `st_dns_history` | Historische DNS-Einträge mit Erst-/Letzt-Gesehen-Daten |
| `st_whois` | Erweitertes WHOIS mit Registrant/Admin/Tech-Kontakten |
Censys (3) — Benötigt CENSYS_API_ID + CENSYS_API_SECRET
| Tool | Beschreibung |
|------|-------------|
| `censys_hosts` | Host-Suche — IPs, Dienste, Ports, Standort, ASN |
| `censys_host_details` | Einzelner Host mit vollständigen Details aller Dienste |
| `censys_certificates` | Zertifikatssuche nach Domain, Fingerprint, Aussteller |
GeoIP (2) — Kein API-Schlüssel
| Tool | Beschreibung |
|------|-------------|
| `geoip_lookup` | IP-Geolokation: Land, Stadt, ISP, ASN, Proxy/Hosting/VPN-Erkennung |
| `geoip_batch` | Batch-IP-Geolokation (bis zu 100 IPs auf einmal) |
BGP / ASN (3) — Kein API-Schlüssel
| Tool | Beschreibung |
|------|-------------|
| `bgp_asn` | ASN-Details + alle angekündigten IPv4/IPv6-Präfixe |
| `bgp_ip` | IP-Präfix/ASN-Routing-Lookup mit RIR-Zuweisung |
| `bgp_prefix` | Präfix-Details + ankündigende ASNs |
Wayback Machine (2) — Kein API-Schlüssel
| Tool | Beschreibung |
|------|-------------|
| `wayback_urls` | Archivierte URL-Discovery — alte Endpunkte, versteckte Pfade, entfernte Inhalte finden |
| `wayback_snapshots` | Snapshot-Historie mit Zeitstempeln und direkten Archiv-Links |
HackerTarget (3) — Kein API-Schlüssel
| Tool | Beschreibung |
|------|-------------|
| `hackertarget_hostsearch` | Host/Subdomain-Discovery mit aufgelösten IPs |
| `hackertarget_reverseip` | Reverse-IP-Lookup — alle Domains auf einer IP finden |
| `hackertarget_aslookup` | ASN-Informations-Lookup |
Microsoft 365 (2) — Kein API-Schlüssel
| Tool | Beschreibung |
|------|-------------|
| `m365_tenant` | M365-Tenant-ID, Region und OpenID-Konfiguration entdecken |
| `m365_userrealm` | Auth-Typ erkennen (Managed/Federated), Föderations-Brand, Auth-Endpunkte |
Meta (2) — Kein API-Schlüssel
| Tool | Beschreibung |
|------|-------------|
| `osint_list_sources` | Alle OSINT-Quellen, API-Schlüssel-Status und Tool-Anzahlen auflisten |
| `osint_domain_recon` | Schnellaufklärung mit allen kostenlosen Quellen kombiniert (DNS + WHOIS + crt.sh + HackerTarget + E-Mail-Sicherheit) |
---
## Datenquellen (12)
| Quelle | Auth | Ratenbegrenzung | Was sie liefert |
|--------|------|-----------------|-----------------|
| [DNS](https://nodejs.org/api/dns.html) | Keine | Keine | A, AAAA, MX, TXT, NS, SOA, CNAME, SRV, PTR-Einträge |
| [RDAP](https://rdap.org/) | Keine | 1 Req/s | Domain & IP WHOIS-Daten (Registrar, Daten, Kontakte, CIDR) |
| [crt.sh](https://crt.sh/) | Keine | 0,5 Req/s | Certificate Transparency Logs, Subdomain-Discovery |
| [ip-api.com](http://ip-api.com/) | Keine | 45 Req/min | IP-Geolokation, ISP, ASN, Proxy/VPN/Hosting-Erkennung |
| [BGPView](https://bgpview.io/) | Keine | 0,5 Req/s | ASN-Details, angekündigte Präfixe, IP-Routing-Info |
| [HackerTarget](https://hackertarget.com/) | Keine | 2 Req/s | Host-Suche, Reverse-IP, ASN-Lookup (50/Tag kostenlos) |
| [Wayback Machine](https://web.archive.org/) | Keine | 1 Req/s | Archivierte URLs, Snapshot-Historie, historischer Inhalt |
| [Microsoft 365](https://login.microsoftonline.com/) | Keine | Keine | Tenant-Discovery, Föderationserkennung, Auth-Typ |
| [Shodan](https://www.shodan.io/) | `SHODAN_API_KEY` | 1 Req/s | Internet-weites Port/Service/Banner-Scanning |
| [VirusTotal](https://www.virustotal.com/) | `VT_API_KEY` | 4 Req/min | Domain/IP/URL-Reputation, Malware-Erkennung |
| [SecurityTrails](https://securitytrails.com/) | `ST_API_KEY` | 1 Req/s | DNS-Historie, Subdomain-Enumeration, erweitertes WHOIS |
| [Censys](https://censys.io/) | `CENSYS_API_ID` | 1 Req/s | Host-Suche, Zertifikatstransparenz, Service-Discovery |
---
## Architektur
```
src/
├── index.ts Einstiegspunkt, Env-Konfiguration, MCP stdio
├── types/
│ └── index.ts ToolDef, ToolContext, ToolResult
├── protocol/
│ ├── tools.ts 37 Tool-Definitionen (Zod-Schemas)
│ └── mcp-server.ts MCP-Server + stdio-Transport
├── dns/
│ └── index.ts 6 Funktionen — Lookup, Reverse, E-Mail, SPF-Kette, SRV, Wildcard
├── whois/
│ └── index.ts 2 Funktionen — Domain-RDAP, IP-RDAP
├── crtsh/
│ └── index.ts CT-Log-Suche mit Deduplizierung + Caching
├── shodan/
│ └── index.ts Host, Suche, DNS-Auflösung, Exploits
├── virustotal/
│ └── index.ts Domain, IP, Subdomains, URL-Scan
├── securitytrails/
│ └── index.ts Subdomains, DNS-Historie, WHOIS
├── censys/
│ └── index.ts Host-Suche, Host-Details, Zertifikate
├── geoip/
│ └── index.ts Einzel- + Batch-IP-Geolokation
├── bgp/
│ └── index.ts ASN, IP-Präfix, Präfix-Details
├── wayback/
│ └── index.ts URL-Suche + Snapshot-Historie
├── hackertarget/
│ └── index.ts Host-Suche, Reverse-IP, ASN
├── m365/
│ └── index.ts Tenant-Discovery, User-Realm/Föderation
├── meta/
│ ├── sources.ts Quellverfügbarkeitsprüfung
│ └── recon.ts Kombinierte kostenlose Quellen-Domain-Aufklärung
└── utils/
├── rate-limiter.ts Warteschlangenbasierter Ratenbegrenzer
├── cache.ts Generischer TTL-Cache
└── require-key.ts API-Schlüssel-Validierungshilfe
```
**Design-Entscheidungen:**
- **12 Anbieter, 1 Server** — Jede OSINT-Quelle ist ein unabhängiges Modul. Der Agent wählt basierend auf der Anfrage, welche Tools verwendet werden.
- **21 kostenlose Tools** — DNS, WHOIS, crt.sh, BGP, GeoIP, Wayback, HackerTarget und M365 funktionieren ohne API-Schlüssel. Premium-Quellen sind additiv.
- **Parallele Abfragen** — `osint_domain_recon` ruft 8 Quellen via `Promise.allSettled` auf. Wenn eine Quelle ein Timeout hat, geben die anderen dennoch Daten zurück.
- **Provider-spezifische Ratenbegrenzer** — Jede Datenquelle hat ihre eigene `RateLimiter`-Instanz, kalibriert auf die Limits dieser API. Kein gemeinsamer Flaschenhals.
- **TTL-Caching** — crt.sh (15min), BGP (30min), Shodan (5min), VirusTotal (10min) Ergebnisse werden gecacht, um redundante API-Aufrufe während Multi-Tool-Workflows zu vermeiden.
- **Graceful Degradation** — Fehlende API-Schlüssel lassen den Server nicht abstürzen. Tools geben beschreibende Fehlermeldungen zurück: "SHODAN_API_KEY setzen, um Shodan-Tools zu aktivieren."
- **SPF-Kettenanalyse** — Rekursive Include-Auflösung mit Loop-Erkennung, Service-Identifikation (Google Workspace, Microsoft 365, SendGrid, etc.) und RFC 7208 Lookup-Limit-Prüfung.
- **2 Abhängigkeiten** — `@modelcontextprotocol/sdk` und `zod`. Alles HTTP via natives `fetch`. Alles DNS via `node:dns/promises`.
---
## Einschränkungen
- Free-Tier-Ratenbegrenzungen gelten: HackerTarget (50/Tag), ip-api.com (45/min), VirusTotal Community (4/min)
- crt.sh kann für große Domains langsam sein (30s Timeout angewendet)
- ip-api.com erfordert HTTP (nicht HTTPS) für Free-Tier
- Wayback Machine CDX API kann für sehr populäre Domains ein Timeout haben
- WHOIS via RDAP deckt möglicherweise nicht alle TLDs ab (einige Registrare unterstützen RDAP noch nicht)
- macOS / Linux getestet (Windows nicht getestet)
---
## Teil der MCP Security Suite
| Projekt | Domain | Tools |
|---|---|---|
| [hackbrowser-mcp](https://github.com/badchars/hackbrowser-mcp) | Browser-basiertes Sicherheitstesten | 39 Tools, Firefox, Injection-Testing |
| [cloud-audit-mcp](https://github.com/badchars/cloud-audit-mcp) | Cloud-Sicherheit (AWS/Azure/GCP) | 38 Tools, 60+ Checks |
| [github-security-mcp](https://github.com/badchars/github-security-mcp) | GitHub-Sicherheitslage | 39 Tools, 45 Checks |
| [cve-mcp](https://github.com/badchars/cve-mcp) | Schwachstellen-Intelligenz | 23 Tools, 5 Quellen |
| **osint-mcp-server** | **OSINT & Aufklärung** | **37 Tools, 12 Quellen** |
---
Nur für autorisierte Sicherheitstests und Bewertungen.
Stellen Sie immer sicher, dass Sie über die erforderliche Autorisierung verfügen, bevor Sie Aufklärung gegen ein Ziel durchführen.
