Flugzeuge, Satelliten, Shodan – ShadowBroker selbst gehostet
OSINT-Quellen grafisch korrelieren und in einer einzigen Karte darstellen.
Moderne OSINT-Aggregatoren bündeln längst mehr als nur IP-Ranges und Portscans – sie verweben Flugzeug-Transponder, Schiffstelemetrie, Satellitenbahnen und Wetterdaten zu einem einzigen Lagebild. Genau diesen Ansatz verfolgt das quelloffene Projekt ShadowBroker, das über 60 öffentliche Datenquellen in einer Karten-Oberfläche zusammenführt. Der folgende Artikel zeigt Architektur, Installation und die wichtigsten Funktionsblöcke, inklusive der Anbindung eines eigenen Shodan-Accounts.
Was ShadowBroker eigentlich ist
ShadowBroker ist eine dezentrale Intelligence-Plattform, die Echtzeit-OSINT-Telemetrie aus über 60 Live-Feeds in einer einzigen Karten-Oberfläche zusammenführt – von Flugzeugen und Schiffen über Satelliten bis zu seismischen Ereignissen, CCTV-Netzwerken, GPS-Jamming-Zonen und Polizeifunk. Das Backend basiert auf FastAPI und Python, das Frontend auf Next.js mit MapLibre GL, und die Oberfläche bietet 35 umschaltbare Datenebenen sowie mehrere Ansichtsmodi wie SATELLITE, FLIR, NVG und CRT. Interessant für den Security-Kontext: per Rechtsklick auf einen beliebigen Punkt der Erde liefert das Tool ein Länderdossier, das Staatsoberhaupt und das aktuellste Sentinel-2-Satellitenbild.
Wichtig für die Einordnung ist der Anspruch des Projekts selbst: es führt keine neuen Überwachungsfähigkeiten ein, sondern aggregiert und visualisiert ausschließlich bereits öffentlich zugängliche Datensätze, und ist vollständig quelloffen, sodass jeder nachvollziehen kann, welche Daten wie abgerufen werden. Eigene API-Keys bleiben im lokalen Deployment, allerdings senden aktivierte Live-OSINT-Funktionen zwangsläufig ausgehende Anfragen an die jeweils konfigurierten öffentlichen Datenanbieter. Das deckt sich mit dem Betriebsmodell, das aus vorherigen Selfhosting-Artikeln bereits bekannt ist: Die Datenhoheit bleibt beim Betreiber, nur die eigentlichen Abfragen verlassen zwangsläufig das Netz.
Architektur und Datenquellen im Überblick
Die Plattform gliedert sich in drei Schichten. Die Operator-UI rendert Karte, Newsfeed und Chat-Panels im Next.js-Frontend. Die Backend Service Plane enthält einen APScheduler-basierten Data Fetcher, der die einzelnen Quellen in schnellen und langsamen Zyklen abfragt, sowie den sogenannten Agentic-AI-Channel. Darüber liegt optional das experimentelle InfoNet, eine dezentrale Mesh-Kommunikationsschicht mit eigener Governance-Logik. Eine vierte, quer liegende Komponente ist der Privacy Core, eine Rust-Crate, die kryptografische Primitive für die Mesh-Funktionen bereitstellt.
Bei den Datenquellen zeigt sich ein deutlicher Unterschied im Key-Bedarf: Flugdaten über OpenSky Network und AIS-Schiffsdaten über aisstream.io benötigen zwingend einen eigenen API-Key, während Quellen wie adsb.lol für Militärflugzeuge, CelesTrak für Satellitenbahnen oder die USGS-Erdbebendaten ohne jeden Key funktionieren. Der Shodan-Layer, den ich hier kurzerhand schnell aktiviert habe, läuft ebenfalls ausschließlich mit eigenem Key und wird laut Projekt als separate, lokale Überlagerung dargestellt, nicht in die Kernfeeds gemischt.
Installation per Docker
Für den Selfhosting-Betrieb – analog zum eigenen Proxmox-Setup – ist der Docker-Weg der praktikabelste:
# ShadowBroker per Docker Compose starten
# M. Meister
git clone https://github.com/BigBodyCobain/Shadowbroker.git
cd Shadowbroker
docker compose pull
docker compose up -d
Das Frontend leitet dabei alle API-Aufrufe über den Next.js-Server an die konfigurierte BACKEND_URL weiter, die standardmäßig auf das interne Docker-Netzwerk http://backend:8000 zeigt. Nach dem Start ist das Dashboard unter http://[IP_OF_THE_HOST]:3000 erreichbar. Der Backend-Port 8000 wird zwar zusätzlich auf dem Host veröffentlicht, dient aber laut Dokumentation nur der lokalen Diagnose und lässt sich bei Portkonflikten über die Variable BACKEND_PORT verlegen, ohne dass BACKEND_URL angepasst werden muss.
Für Aktualisierungen genügt danach ein einfacher Pull-Zyklus, da die Container aus vorgebauten Images gezogen werden und kein lokaler Build nötig ist:
# ShadowBroker aktualisieren
# M. Meister
docker compose pull
docker compose up -d
Den Shodan-Connector einrichten
Der Shodan-Layer wird ausschließlich über eine Umgebungsvariable im Backend aktiviert. In der .env-Datei neben der docker-compose.yml genügt ein Eintrag:
# Shodan-Overlay aktivieren
# M. Meister
SHODAN_API_KEY=dein_shodan_api_key
Nach einem Neustart des Backends taucht der Layer „Shodan Overlay" in der linken Ebenenliste auf – standardmäßig deaktiviert, da er im Gegensatz zu den meisten anderen Quellen nicht kontinuierlich, sondern On-Demand abgefragt wird.
Über diesen Layer lässt sich direkt aus ShadowBroker heraus nach Stichwort, CVE, Port oder Dienst suchen, wobei die Treffer als Marker mit anpassbarer Form, Farbe und Größe auf der Karte erscheinen. Da nur dieser eine Key hinterlegt ist, bleiben Layer wie Flugverkehr (OpenSky), zivile Schifffahrt (AIS) oder Singapur-CCTV (LTA) leer beziehungsweise fallen auf die kostenlosen Alternativquellen zurück – etwa Militärflugzeuge über adsb.lol, die ohne Key funktionieren.
Seit Version 0.9.7 gibt es dafür ein eigenes Diagnose-Panel: unter Settings → API Keys zeigt ShadowBroker den absoluten Pfad zur Backend-.env-Datei sowie ein binäres CONFIGURED/NOT-CONFIGURED-Badge pro Key, ohne die Schlüsselwerte selbst jemals an den Browser zu übertragen. Dieses Panel eignet sich hervorragend, um den eigenen Konfigurationsstand zu dokumentieren, ohne versehentlich den Key selbst offenzulegen.
Die wichtigsten Datenebenen im praktischen Einsatz
Für die tägliche Nutzung als Security-affiner Betreiber sind vor allem folgende Bereiche relevant:
Netzwerk- und Geräte-Recon – Der bereits erwähnte Shodan-Layer erlaubt gezielte Suchen nach exponierten Diensten, SCADA-Systemen oder Kameras und lässt sich damit als visuelle Ergänzung zu klassischen Shodan-Dashboards nutzen.
SAR-Bodenveränderungserkennung – der SAR-Layer erkennt Bodenveränderungen durch Wolkendecke hindurch und auch nachts, in einem kostenlosen Katalog-Modus über die Alaska Satellite Facility ganz ohne Account sowie in einem erweiterten Modus mit Echtzeit-Anomalien von NASA OPERA und Copernicus EGMS, der einen kostenlosen NASA-Earthdata-Account voraussetzt. Für Monitoring-Zwecke – etwa an einem selbst definierten Standort – lassen sich eigene Areas of Interest direkt auf der Karte anlegen.
Infrastruktur-Layer – Stromkraftwerke, Rechenzentren und Internet-Ausfälle werden automatisch miteinander verknüpft; die Internet-Ausfallüberwachung von Georgia Tech IODA nutzt dabei ausschließlich verlässliche Datenquellen wie BGP-Routing-Tabellen und aktive Ping-Messungen, keine interpolierten Schätzwerte.
Time Machine – die Snapshot-Wiedergabe erlaubt es, die live gesammelte Telemetrie wie eine Aufzeichnung zu scrubben, zu pausieren und wiederzugeben, wobei sämtliche Snapshots ausschließlich lokal im Backend gespeichert werden. Für einen Blog-Artikel oder eine interne Auswertung lassen sich damit vergangene Zustände reproduzierbar dokumentieren, ohne einen Live-Feed erneut abwarten zu müssen.
KI-Agenten über den Command-Channel anbinden
Wer – wie im eigenen Hermes-Agent-Setup bereits erprobt – KI-Agenten produktiv einsetzt, findet in ShadowBroker eine passende Schnittstelle: der Agentic-AI-Command-Channel ist eine signierte, stufenweise gesicherte Brücke, über die jeder HMAC-SHA256-signierende Agent – etwa Claude Code, GPT oder ein eigener Python-Client – vollen Lese- und Schreibzugriff auf die Plattform erhält, wobei OpenClaw lediglich als Referenzimplementierung dient. Ein einzelner Aufruf läuft über POST /api/ai/channel/command, ein Batch-Endpunkt nimmt bis zu 20 Kommandos gebündelt entgegen und verarbeitet sie parallel. Der Zugriff lässt sich über OPENCLAW_ACCESS_TIER auf einen rein lesenden oder einen vollen Modus mit Schreibrechten begrenzen – ein sinnvoller Kompromiss, wenn ein Agent zunächst nur auswerten, aber noch nicht aktiv Pins setzen oder Nachrichten versenden soll.
InfoNet und Sovereign Shell als experimentelles Testnetz
Neben den reinen Datenlagen bringt ShadowBroker mit InfoNet ein eigenes Mesh-Kommunikationsprotokoll mit, das über Tor und Reticulum läuft und mit Gate-Personas sowie Ed25519-Signaturen arbeitet. Hier lohnt ein genauer Blick, bevor man es produktiv einsetzt: die Projektbetreiber selbst stufen InfoNet klar als experimentelles Testnetz ohne Privatsphäre-Garantie ein – die Gate-Chat-Nachrichten sind zwar obfuskiert, aber nicht Ende-zu-Ende verschlüsselt, und Metadaten bleiben trotz Tor- und Reticulum-Anbindung sichtbar. Als vergleichsweise stärkste aktuelle Lane gilt Dead Drop, ein Token-basiertes Epoch-Mailbox-System mit SAS-Wort-Verifikation, das die Entwickler aber ebenfalls noch nicht als verlässlich privat einstufen.
Wer bereits mit Signal-Bots oder WireGuard-Meshes gearbeitet hat, sollte InfoNet also klar von einem produktiven Messenger abgrenzen und nichts Sensibles darüber austauschen.
Rechtliche und ethische Einordnung
Technisch betrachtet aggregiert ShadowBroker ausschließlich Daten, die ohnehin öffentlich sind – ADS-B-Transponder, AIS-Signale, Satellitenkataloge, RSS-Feeds. Problematisch wird es nicht durch die einzelnen Quellen, sondern durch die Zusammenführung: Wenn Position, Bewegungsmuster und Live-Kamerabild einer identifizierbaren Person in einer einzigen Oberfläche zusammenlaufen, entsteht faktisch ein Tracking-Werkzeug, unabhängig davon, wie offen die zugrundeliegenden Rohdaten sind. Die Layer für Privatjets und Superyachten Prominenter sind dafür ein plakatives Beispiel. Die Projektbetreiber weisen selbst darauf hin, dass ausschließlich öffentlich verfügbare OSINT-Daten verwendet werden, keine klassifizierten oder nicht-öffentlichen Datensätze, und dass Trägergruppen-Positionen lediglich Schätzungen auf Basis öffentlicher Berichterstattung sind. Lizenzrechtlich steht das Projekt unter AGPL-3.0 und wird ausdrücklich für Bildungs- und private Forschungszwecke bereitgestellt, wobei zusätzlich die Nutzungsbedingungen der einzelnen API-Anbieter gelten. Für den eigenen Betrieb heißt das konkret: Wer den CCTV- oder Polizeifunk-Layer aktiviert, sollte sich vorher mit den lokal geltenden Regeln zu Video- und Funküberwachung auseinandersetzen, statt sich allein auf die Verfügbarkeit der Quelle zu verlassen.
Fazit
ShadowBroker zeigt eindrücklich, wie viel Lagebild sich allein aus öffentlichen Feeds zusammensetzen lässt, sobald sie in einer gemeinsamen Oberfläche landen. Für den Selfhosting-Betrieb liefert das Tool einen soliden Ausschnitt an nutzbaren Layern, während rechenintensivere oder key-pflichtige Quellen wie Flug- und Schiffsverkehr optional bleiben. Wer es einsetzt, sollte sich der Tracking-Wirkung der Aggregation bewusst sein und insbesondere InfoNet weiterhin als das behandeln, was es laut den Entwicklern selbst ist – ein Testnetz ohne Privatsphäre-Garantie.