Bevor ein Angreifer eine Phishing-Mail schreibt oder eine Schwachstelle ausnutzt, schaut er sich in Ruhe Ihre Angriffsfläche an: alles, was Ihr Unternehmen ins Internet stellt. Dafür braucht er keinen Zugang und kein Insiderwissen, sondern nur öffentlich verfügbare Werkzeuge wie die Suchmaschine Shodan. Dieser Beitrag zeigt, was dabei typischerweise sichtbar wird, warum vergessene Systeme das größte Risiko sind und wie Sie das regelmäßig selbst prüfen. Er richtet sich an IT-Verantwortliche und Geschäftsführer, die wissen möchten, wie ihr Unternehmen von außen aussieht.
Was „Angriffsfläche“ bedeutet
Mit externer Angriffsfläche ist alles gemeint, was aus dem Internet erreichbar ist und zu Ihrem Unternehmen gehört: Webseiten, Mailserver, VPN-Zugänge, Remote-Desktop-Gateways, Kundenportale, Testsysteme, Cloud-Dienste, aber auch Informationen wie E-Mail-Adressen und geleakte Zugangsdaten. Jeder dieser Punkte ist eine mögliche Tür. Die meisten sind bekannt und gepflegt. Gefährlich sind die, die niemand mehr auf dem Schirm hat.
Im Englischen heißt das Attack Surface. Die laufende Erfassung und Bewertung dieser Punkte wird als Attack Surface Management bezeichnet, beim reinen Blick von außen als External Attack Surface Management.
Was Angreifer typischerweise finden
Offene Ports und Dienste
Ein Port ist vereinfacht gesagt eine Tür an einer IP-Adresse, hinter der ein Dienst wartet, etwa ein Webserver auf Port 443 oder ein Remote-Desktop-Dienst auf Port 3389. Spezialisierte Suchmaschinen wie Shodan oder Censys durchsuchen laufend das gesamte Internet nach solchen offenen Diensten und speichern, welche Software in welcher Version antwortet. Die Ergebnisse lassen sich nach IP-Adresse, Netzbereich, Organisationsnamen oder Produkt filtern. Ein Angreifer muss Ihr Netz also gar nicht selbst scannen. Er sucht einfach nach Ihren IP-Adressen oder nach einer bestimmten verwundbaren Softwareversion und bekommt eine Liste.
Typische Funde sind direkt erreichbare Remote-Desktop-Zugänge, Verwaltungsoberflächen von Firewalls, Druckern oder NAS-Systemen, Datenbankports und veraltete Webserver.
Alte VPN-Portale und Fernzugänge
VPN-Gateways und Fernzugriffslösungen sind ein häufiges Einfallstor, weil sie per Definition aus dem Internet erreichbar sind. Problematisch wird es, wenn ein altes Gerät nach einer Umstellung weiterläuft, wenn Sicherheitsupdates fehlen oder wenn ein Anmeldeportal ohne Mehrfaktor-Anmeldung auskommt. Welche Fernzugriffsvarianten sinnvoll sind, beschreiben wir im Beitrag VPN-Fernzugriff sicher gestalten.
Vergessene Subdomains
Über die Jahre entstehen Subdomains wie test.firma.de, alt.firma.de, shop2.firma.de oder webmail-alt.firma.de. Ein Projekt endet, die Agentur wechselt, das System läuft weiter, ohne Updates und ohne Verantwortlichen. Manchmal zeigt eine Subdomain auch noch auf einen Cloud-Dienst, der längst gekündigt ist. Dann kann im ungünstigen Fall ein Fremder diesen Dienst neu anlegen und Inhalte unter Ihrer Domain ausliefern. Angreifer können solche Subdomains finden, ohne Ihr Netz zu berühren: über öffentliche DNS-Datenbanken, Suchmaschinen und vor allem über die Zertifikatslogs.
Zertifikatstransparenz-Logs
Für verschlüsselte Webseiten braucht jede Adresse ein TLS-Zertifikat. Seit 2018 verlangt Google Chrome, dass öffentlich vertrauenswürdige Zertifikate in sogenannten Certificate-Transparency-Logs eingetragen werden. Das sind öffentliche, durchsuchbare Verzeichnisse aller ausgestellten Zertifikate. Sie dienen eigentlich dazu, falsch ausgestellte Zertifikate aufzudecken. Angreifer nutzen sie aber auch, um in Sekunden eine Liste aller Subdomains zu bekommen, für die je ein Zertifikat ausgestellt wurde, einschließlich interner Namen, die eigentlich nie jemand sehen sollte.
Geleakte Zugangsdaten
Wird ein externer Dienst gehackt, landen E-Mail-Adressen und Passwörter oft in öffentlich gehandelten Datensammlungen. Nutzen Mitarbeiter ihre Firmenadresse für private Konten und dasselbe Passwort wie im Unternehmen, haben Angreifer einen fertigen Anmeldeversuch. Besonders riskant ist das in Verbindung mit einem Login-Portal ohne zweiten Faktor.
Informationen für Social Engineering
Auch Namen, Funktionen, das Schema von E-Mail-Adressen und eingesetzte Software gehören zur Angriffsfläche. Sie stammen aus Website, Stellenanzeigen und Karrierenetzwerken und werden für gezielte Phishing-Mails oder Anrufe genutzt.
So prüfen Sie Ihre Angriffsfläche selbst
Eine externe Prüfung besteht aus wenigen, wiederholbaren Schritten.
1. Inventar der eigenen Domains und IP-Adressen. Welche Domains sind auf das Unternehmen registriert? Welche festen IP-Adressen hat Ihr Internetanschluss, welche nutzen Rechenzentrum und Cloud-Dienste? Ohne diese Liste wissen Sie nicht, was Sie prüfen müssen.
2. Subdomains finden und zuordnen. Gleichen Sie Ihre DNS-Einträge mit den Einträgen in den Certificate-Transparency-Logs ab. Jede Subdomain, die dort auftaucht und niemandem bekannt ist, wird geklärt: abschalten oder einem Verantwortlichen zuordnen. Hinweise zum sauberen Betrieb von Namensdiensten finden Sie im Beitrag DNS und DHCP betreiben.
3. Offene Dienste prüfen. Schauen Sie nach, was Suchmaschinen wie Shodan zu Ihren IP-Adressen gespeichert haben, und lassen Sie einen eigenen Portscan von außen durchführen, natürlich nur auf Systeme, die Ihnen gehören. Jeder offene Port braucht eine Begründung. Verwaltungsoberflächen und Remote-Desktop gehören nicht direkt ins Internet.
4. Versionen und Updates abgleichen. Für jeden erreichbaren Dienst: Welche Version läuft, gibt es bekannte Schwachstellen, ist der Herstellersupport noch aktiv? Wie Sie gefundene Schwachstellen einordnen, erklärt der Beitrag Schwachstellen bewerten und patchen.
5. Geleakte Zugangsdaten überwachen. Dienste wie Have I Been Pwned bieten eine Domain-Suche an, mit der Sie nach Bestätigung der Domain-Inhaberschaft sehen, welche Adressen Ihrer Domain in bekannten Datenlecks auftauchen. Der Dienst ist für Domains kostenpflichtig, gestaffelt nach Größe. Betroffene Konten bekommen ein neues Passwort, und Sie prüfen, ob MFA aktiv ist.
6. Ergebnisse festhalten und wiederholen. Die Angriffsfläche ändert sich mit jedem Projekt, jeder neuen Software und jedem Dienstleisterwechsel. Eine einmalige Prüfung veraltet schnell. Sinnvoll ist eine regelmäßige, möglichst automatisierte Überwachung mit einer festen Person, die Auffälligkeiten bearbeitet.
Attack Surface Management: die Prüfung dauerhaft machen
Die sechs Schritte lassen sich weitgehend automatisieren. Werkzeuge und Dienste für Attack Surface Management erfassen Domains, Subdomains, IP-Adressen und erreichbare Dienste laufend, vergleichen den Stand mit dem letzten Durchlauf und melden, was neu hinzugekommen ist: ein frisch ausgestelltes Zertifikat für eine unbekannte Subdomain, ein neu geöffneter Port, eine Firmenadresse in einem Datenleck. Manche Anbieter von Sicherheitsüberwachung bieten das als Baustein ihrer Dienste an, es gibt aber auch eigenständige Werkzeuge.
Für den Mittelstand ist weniger die Werkzeugwahl entscheidend als zwei Fragen: Ist das Inventar aus Schritt 1 vollständig, damit das Werkzeug überhaupt weiß, was zu Ihnen gehört? Und bearbeitet jemand die Meldungen zeitnah?
Abgrenzung zum Penetrationstest
Eine Prüfung der Angriffsfläche beantwortet die Frage: Was ist von außen sichtbar und erreichbar? Sie ist breit, wiederholbar und lässt sich gut automatisieren. Ein Penetrationstest geht tiefer. Dabei versuchen Fachleute mit Ihrem Auftrag, gefundene Schwachstellen tatsächlich auszunutzen und so weit wie möglich vorzudringen. Er ist punktuell, aufwendiger und braucht einen klar abgegrenzten Auftrag.
Beides ergänzt sich. Die laufende Überwachung sorgt dafür, dass keine vergessenen Systeme entstehen. Der Penetrationstest zeigt, wie belastbar die bekannten Systeme wirklich sind. Wie Sie einen Pentest sinnvoll beauftragen, lesen Sie im Beitrag Penetrationstest beauftragen.
Typische Fehler
- Nur die Hauptwebsite prüfen und Mailserver, VPN und Testsysteme vergessen.
- Einmal prüfen und dann jahrelang nicht mehr.
- Funde ohne Verantwortlichen in einer Liste sammeln, die niemand abarbeitet.
- Systeme von Dienstleistern und Agenturen ausklammern, obwohl sie unter Ihrer Domain laufen.
- Fremde Systeme scannen, weil sie „irgendwie dazugehören“. Prüfen Sie nur, was Ihnen gehört oder wofür Sie eine Erlaubnis haben.
Checkliste: erste Schritte
- Liste aller Domains, festen IP-Adressen und extern erreichbaren Dienste anlegen.
- Subdomains aus DNS und Certificate-Transparency-Logs abgleichen und unbekannte Einträge klären.
- Offene Ports von außen prüfen und für jeden einen Zweck und Verantwortlichen festhalten.
- Verwaltungsoberflächen und Remote-Desktop aus dem Internet entfernen oder hinter VPN mit MFA legen.
- Alte VPN-Portale und Testsysteme abschalten, die nicht mehr gebraucht werden.
- Domain auf geleakte Zugangsdaten überwachen und betroffene Konten absichern.
- Prüfung als festen Termin einplanen, mindestens quartalsweise und nach größeren Änderungen.
Wie DAVINCI unterstützt
Wir erfassen mit Ihnen, was Ihr Unternehmen im Internet zeigt, und setzen die nötigen Änderungen an Firewall und Fernzugängen um. Für die laufende Überwachung und Angriffserkennung bieten wir MXDR mit SOC. Sprechen Sie uns über die Kontaktseite an.
Häufige Fragen
Was ist der Unterschied zwischen Angriffsfläche und Angriffsvektor?
Die Angriffsfläche ist die Summe aller Punkte, an denen ein Angriff überhaupt ansetzen könnte: jeder erreichbare Dienst, jede Subdomain, jedes bekannte Konto. Ein Angriffsvektor ist der konkrete Weg, über den ein Angreifer einen dieser Punkte ausnutzt, etwa eine Phishing-Mail, ein VPN-Portal ohne Updates oder ein geleaktes Passwort. Die Fläche verkleinern Sie, indem Sie Punkte entfernen; einzelnen Angriffsvektoren begegnen Sie mit Schutzmaßnahmen am jeweiligen Punkt.
Was genau ist Shodan?
Shodan ist eine Suchmaschine für Geräte und Dienste im Internet. Statt Webseiten erfasst sie die Antworten offener Ports, also die Kennungen von Webservern, Routern, Kameras, Datenbanken oder Industriesteuerungen. Sie lässt sich nach IP-Adressen, Organisation, Land oder Produktname durchsuchen, der Funktionsumfang hängt vom Konto ab. Censys arbeitet nach demselben Prinzip.
Ist es legal, Shodan-Ergebnisse zu meinen IP-Adressen anzusehen?
Die Suche in solchen Datenbanken ist ein Abruf bereits gesammelter Informationen. Eigene aktive Scans sollten Sie nur auf Systeme richten, die Ihnen gehören oder für die Sie eine ausdrückliche Erlaubnis haben. Bei Systemen von Dienstleistern stimmen Sie das vorher ab.
Wie oft sollte die Angriffsfläche geprüft werden?
Das hängt davon ab, wie oft sich Ihre IT verändert. Eine automatisierte Überwachung ist der beste Weg. Ohne Werkzeug ist eine quartalsweise Prüfung ein realistischer Mindeststandard, zusätzlich nach Umzügen, neuen Diensten oder Dienstleisterwechseln.
Wir haben nur eine Website und Microsoft 365. Betrifft uns das?
Ja, wenn auch in kleinerem Umfang. Auch dann gibt es Mail-Einträge, Anmeldeportale, eventuell einen Fernzugang und Mitarbeiteradressen, die in Datenlecks auftauchen können. Gerade kleine Umgebungen lassen sich schnell und vollständig prüfen.
Verwandte Themen: Wer hier weiterdenkt, liest bei Social-Engineering-Angriff, Penetrationstest und Phishing weiter.
