GitHub OSINT — Profile analysieren und Intelligence gewinnen
GitHub enthält weit mehr als nur Code. Vestigo extrahiert E-Mail-Adressen aus der Commit-Historie, kartiert Contributor-Netzwerke und legt Organisationszugehörigkeiten offen — alles über die öffentliche GitHub-API, ohne Authentifizierung.
Was ein öffentliches GitHub-Profil verrät
Entwickler hinterlassen bei jedem Commit eine E-Mail-Adresse im Git-Metadaten-Header. Selbst wenn diese Adresse auf GitHub nicht öffentlich angezeigt wird, ist sie über die Commit-API abrufbar. Vestigo durchsucht die gesamte öffentliche Commit-Historie eines Profils und extrahiert alle verwendeten E-Mail-Adressen — inklusive privater und geschäftlicher Adressen, die der Nutzer möglicherweise vergessen hat zu verbergen.
Neben E-Mail-Adressen liefert ein GitHub-Profil: geografische Informationen aus der Profilbeschreibung, Unternehmens- oder Organisationszugehörigkeiten, Aktivitätsmuster (wann wird wann committed?), Technologie-Stack und bevorzugte Programmiersprachen sowie das Netzwerk aus Followern und geforkten Repositories.
Was Vestigo aus einem GitHub-Profil extrahiert
E-Mail-Adressen
Alle E-Mail-Adressen aus der Commit-Historie — oft mehrere Adressen pro Nutzer (privat, geschäftlich, alt)
Organisations-Mapping
Mitgliedschaft in öffentlichen GitHub-Organisationen und Contributor-Rolle in Unternehmens-Repositories
Netzwerk-Analyse
Follower, Following, gemeinsame Contributor und gegenseitige Verknüpfungen zwischen Profilen
Aktivitätsmuster
Commit-Zeiten, Sprachen, Repositories — liefern Hinweise auf Arbeitszeiten, Standort und berufliche Ausrichtung
Anwendungsfälle in der Praxis
Sicherheitsforscher nutzen GitHub OSINT, um Entwickler von Malware oder Open-Source-Projekten mit fragwürdiger Herkunft zu identifizieren. Die E-Mail-Extraktion aus Commits ermöglicht es, einen GitHub-Benutzernamen mit einer echten Identität zu verknüpfen — selbst wenn das Profil ansonsten anonym gehalten wird.
Recruiters und HR-Teams nutzen das Modul für technisches Due-Diligence: Welche Unternehmen hat ein Kandidat tatsächlich beliefert? Welche Open-Source-Beiträge sind verifizierbar? Journalisten verwenden die Netzwerkanalyse, um Verbindungen zwischen Entwicklern und staatlichen Institutionen oder privaten Gruppen aufzudecken.