ADVANCED GOOGLE DORKING

DIFFICULTY: BEGINNER UPDATED: DECEMBER 2025

EINFÜHRUNG

Google Dorking (Google Hacking) nutzt erweiterte Suchoperatoren, um exponierte sensible Daten, verwundbare Systeme und fehlkonfigurierte Websites zu finden. Dies ist eine mächtige OSINT-Technik, die sowohl von Sicherheitsforschern als auch Angreifern verwendet wird.

🔍

Google Dorking Ergebnisse Beispiel

Visuelles Beispiel für Google Dork Suchergebnisse mit exponierten Verzeichnissen und sensiblen Dateien

site:beispiel.de intitle:"index of"

Ergebnisse: /backup, /admin, /config, etc.

WICHTIGE OPERATOREN

`filetype:`

Suche nach bestimmten Dateierweiterungen

filetype:pdf "vertraulich"

`site:`

Suche auf bestimmte Domain oder Subdomain beschränken

site:example.com inurl:admin

`intitle:`

Seiten mit Keywords im Titel finden

intitle:"index of" "backup"

`inurl:`

Keywords im URL-Pfad finden

inurl:wp-admin site:gov

MÄCHTIGE DORK-BEISPIELE

Exponierte Datenbanken finden

filetype:sql "MySQL dump" (pass|password|passwd|pwd)

intitle:"index of" "database.sql"

ext:log "password" | "username"

Konfigurationsdateien

filetype:env "DB_PASSWORD"

ext:config intext:db_password

intitle:"index of" ".git"

Verwundbare Kameras & IoT

inurl:/view/index.shtml

intitle:"Network Camera NetworkCamera"

inurl:8080 intitle:"Wi-Fi Router"

E-Mail-Harvesting

@domain.com filetype:xls

site:linkedin.com "email" site:target.com

AUTOMATISIERUNGSTOOLS

GHDB (Google Hacking Database): exploit-db.com Datenbank mit Dorks
LeakLooker: Automatisiertes Dorking für exponierte Datenbanken
Photon: Schneller Web-Crawler mit eingebautem Dorking

ETHISCHE ÜBERLEGUNGEN

Das Finden exponierter Daten gibt dir KEINE Berechtigung, darauf zuzugreifen. Melde Schwachstellen immer verantwortungsvoll und greife niemals ohne autorisierte Erlaubnis auf Systeme zu.

FAQ / PROBLEMLÖSUNG

⚠️ Häufige Fragen zu Google Dorking

❌ Ist Google Dorking illegal?

Die Technik selbst ist nicht illegal — sie nutzt nur öffentliche Suchoperatoren. Allerdings kann der Zugriff auf gefundene Daten (z.B. Download exponierter SQL-Dumps) nach §202a/c StGB oder vergleichbaren Gesetzen illegal sein. Nur ansehen, niemals ausnutzen.

❌ Google zeigt mir ein CAPTCHA — was nun?

Google rate-limited automatisierte Abfragen. Nutze DuckDuckGo, Bing oder Brave Search als Alternative — sie unterstützen die gleichen Operatoren und drosseln weniger aggressiv.

❌ Meine Dorks liefern keine Treffer

Entweder ist die Seite gut gesichert (gut!), oder die Operator-Syntax ist falsch. Teste deinen Dork zuerst breit auf Google und grenze dann ein. Beachte: site: schließt Subdomains aus, außer du nutzt site:*.example.com.

❌ Wie schütze ich meine eigene Seite vor Dorks?

Füge Disallow: / in robots.txt für sensitive Pfade ein (Anm.: das stoppt nur kooperative Crawler), aktiviere Authentifizierung auf Admin-Seiten, committe niemals .env oder .git in öffentliche Repos, und nutze noindex auf internen Seiten.

❌ Kann ich das Dark Web durchsuchen?

Nein — Google indexiert keine .onion-Seiten. Nutze Ahmia.fi oder den Tor Browser mit eingebauter Suche. Das Bedrohungsmodell ist anders: gehe davon aus, dass alles auf Tor potenziell feindlich ist.

❌ Wie melde ich gefundene Daten auf einer Drittanbieter-Seite?

Suche nach security.txt unter /.well-known/security.txt. Wenn nicht vorhanden, kontaktiere das Security-Team der Firma über deren Hauptdomain oder nutze eine Disclosure-Plattform wie HackerOne / Bugcrowd, falls dort gelistet.

❓ Brauchst du Hilfe?

→ Die Google Hacking Database (GHDB) hat 6000+ kuratierte Dorks nach Kategorie sortiert.