Subdomain-Finder
Passive Enumeration via Certificate Transparency Logs — kein Brute-Force, kein Anfassen des Ziels.
So funktioniert dieses Tool
Wie viele Subdomains hat eine Domain wirklich? Eine belastbare Antwort liefern die Certificate-Transparency-Logs (CT-Logs). Jedes von einer öffentlichen CA ausgestellte Zertifikat — Let's Encrypt, DigiCert, Sectigo, GlobalSign — wird in CT-Logs publiziert. Wir fragen drei unabhängige Quellen nacheinander ab: crt.sh und certspotter (sslmate) durchsuchen die CT-Logs, die HackerTarget-Hostsuche ergänzt Hostnamen aus deren eigenem Bestand — fällt eine aus, liefern die anderen weiter Treffer. Damit ist die Subdomain-Enumeration vollständig passiv: Wir fassen Ihren Server nicht an, kein Brute-Force, keine Wordlist, keine DNS-Anfragen gegen Ihren Nameserver. Das Ergebnis enthält Subdomains, die jemals zertifiziert oder von HackerTarget erfasst wurden — auch wenn sie heute nicht mehr aktiv sind.
Typische Anwendungsfälle
- Inventur Ihrer eigenen Domains — manchmal vergisst man dev.staging.api.foo.invalid
- Vor einem SSL-Audit den vollständigen Bestand identifizieren
- Nach M&A: welche Subdomains hat das übernommene Unternehmen alle?
- Bei Marken-Schutz prüfen ob fremde Akteure Subdomains auf der Domain zertifiziert haben
Häufige Fragen
Wieso ist das passiv und nicht "Recon"?
CT-Logs sind eine öffentliche, transparente Datenbank, die per Browser/CA-Standard publiziert wird. Wir lesen nur dort, ohne den Ziel-Host zu kontaktieren. Jeder kann das tun.
Warum erscheinen Subdomains, die es nicht mehr gibt?
CT-Logs enthalten ALLE jemals ausgestellten Zertifikate. Wenn vor 3 Jahren staging.example.com ein Cert hatte und seitdem abgeschaltet ist, taucht sie hier trotzdem auf.
Wieso nutzt ihr nicht Wordlist-Brute-Force?
Brute-Force ist juristisch heikel (kann als Angriffsversuch gewertet werden) und liefert für Standard-Wordlists vor allem Hits, die CT-Logs sowieso schon haben. CT ist sauberer und vollständiger.
Welche Quellen werden abgefragt?
Drei unabhängige Quellen nacheinander: crt.sh (klassischer CT-Search), certspotter von sslmate.com und die HackerTarget-Hostsuche. Damit bleibt das Tool funktional auch wenn eine Quelle gerade down oder rate-limited ist. Antwort enthält "sources_used"/"sources_failed" zur Transparenz.
Warum fehlt eine Subdomain die ich kenne?
Wenn die Subdomain nie ein öffentliches Zertifikat hatte (interner Service auf interner CA, keine TLS, oder selbstsigniert), erscheint sie nicht in CT.
Werden die Ergebnisse gecacht?
Ja, 1 Stunde pro Domain — die CT-Quellen sind teils langsam, der Cache spart 10-15 Sekunden bei wiederholten Anfragen.
Verwandte Tools
Daueraufsicht statt Stichprobe?
XICTRAQ überwacht Uptime, SSL, Security-Header, DSGVO und Performance 24/7. Free-Plan, keine Kreditkarte.