Blackbird sucht digitale Spuren auf über 600 Websites

Was Blackbird tatsächlich macht

Im Kern geht es nicht um einen „KI-Detektiv“, sondern um die Automatisierung hunderter gewöhnlicher Web-Prüfungen. Anfang November 2026 beschreibt die README des Repositorys antoniaci/blackbird Blackbird als Python-CLI zur Suche nach Nutzernamen und E-Mail-Adressen. Die zentrale Erkennungsschicht basiert auf dem von der Community gepflegten WhatsMyName-Regelwerk für mehr als 600 Websites.

Die Mechanik ist recht bodenständig und gerade deshalb nützlich. Das Tool normalisiert einen Identifikator, lädt Plattformdefinitionen, setzt den Nutzernamen in URL-Vorlagen ein und vergleicht die Website-Antwort mit dem erwarteten Verhalten. Die Prüfungen laufen parallel und Treffer werden gefiltert; das README erklärt jedoch weder Nebenläufigkeitsmodell noch Wiederholungen oder Transportdetails.

Blackbird ist also keine zentrale Personendatenbank und indiziert nicht vorab sämtliche Nutzerkonten. Es orchestriert Anfragen an aktive Plattformen. „600+“ steht vor allem für die Abdeckung des WhatsMyName-Katalogs, nicht für sechshundert eigenständige API-Integrationen. Ergebnisse hängen von öffentlichen Seiten, stabilen Mustern, regionalen Antworten, Rate Limits, CAPTCHAs und Anti-Bot-Schutz ab.

Die Dokumentation nennt Filter, automatische Analyse und Exporte in CSV, PDF sowie HTTP-orientierte Ausgabeformate. Außerdem wird KI-Profiling anhand gefundener Plattformen angekündigt, doch Modell, Endpoint, Datenspeicherung und Metadatenpfad sind öffentlich nicht erläutert. Eine native Anbindung an Offline-Modelle ist ebenfalls nicht bestätigt; die Suche selbst kann nicht offline funktionieren, weil sie Websites abfragt.

Auch das Geschwindigkeitsversprechen sollte man vorsichtig bewerten. Das Projekt bezeichnet die Suche als schnell, liefert aber keine reproduzierbaren Messwerte für mehr als 600 Prüfungen, keine Angaben zu Requests pro Sekunde, Speicherverbrauch oder Fehlerquote. Netzwerk, Plattformlimits und die langsamsten Antworten sind wichtiger als die Leistung des Laptops.

Warum ein gefundenes Konto nichts beweist

Blackbird sammelt Hinweise gut, eignet sich aber schlecht als Identitätsnachweis. Derselbe Nutzername kann verschiedenen Personen gehören. Ein negatives Ergebnis kann zudem ein privates Profil, eine defekte Regel, eine erforderliche Anmeldung oder eine blockierte Anfrage bedeuten und nicht das Fehlen eines Kontos.

Für Engineers ist der Nutzen real: Prüfung wiederverwendeter Nutzernamen, erste Einschätzung digitaler Spuren, Incident Response und Vorbereitung einer Liste zur manuellen Prüfung. E-Mail-Adressen sind jedoch sensibler als Nutzernamen. Die Dokumentation bestätigt diese Suche, erklärt aber weder die Abdeckung je Plattform noch Adressnormalisierung oder Alias-Behandlung.

Es gibt eine unangenehme Symmetrie. Derselbe Anfragefluss kann Forschenden die eigene Exposition zeigen, aber ebenso Profiling, Doxxing oder Belästigung ermöglichen; Exportfunktionen erleichtern den Transfer sensibler Ergebnisse. Das technische Fazit ist einfach: Blackbird ist ein leistungsfähiger Aufzähler öffentlicher Signale, keine Maschine zur Identitätsfeststellung. Der gefährlichste Fehler ist nicht ein übersehenes Profil, sondern Vertrauen in einen falschen Treffer.

Wir haben außerdem untersucht, wie Unicode-Homoglyphen Nutzernamen und Links als ähnlich aussehende Varianten tarnen können. Bei OSINT-Suchen nach Usernames hilft das, Duplikate und Versuche der Profilnachahmung nicht zu übersehen.