Was das Internet über Ihr Unternehmen sieht: Die Angriffsfläche erklärt

7 Minuten Lesestunden · DataRoad

Die äußere Angriffsoberfläche Das Unternehmen ist die Summe all dessen, was jeder von Zuhause aus über das Internet sehen und öffnen kann, ohne jemals ins Büro eintreten zu müssen. Die kurze Antwort auf die Frage “Was sieht das Internet von uns?” ist fast immer: mehr als die Verwaltung es einschätzt. Ein offenes Managementpanel, eine VPN-Verbindung, die erst vor einem Jahr aktualisiert wurde, und ein altes Subdomänennamen, das niemand mehr geschlossen hat. Jeder ist eine Tür.

Was genau die Angriffsoberfläche ist

Denken Sie an das Firmengebäude. Die Haupttür hat eine Schlossung und einen Alarmschalter. Aber es gibt auch die Hintertür und die Garage, die ein Lieferant vor drei Jahren genutzt hat. Die Angriffspunkte sind die gesamte Anzahl der Eingänge, einschließlich der verpassten.

In der digitalen Welt sind diese Eingaben Dienste im Internet. Einige sind erforderlich – E-Mail, Website, Fernzugriff. Andere sind versehentlich oder aus Versehen aktiviert worden.

Die fünf Einträge, die wir am häufigsten finden

1. Exponierte Managementpanels

Betreiberrouters, Firewalls, NAS-Systeme (die Netzwerk-Festplatten, auf denen viele Unternehmen Dateien speichern) und Überwachungskameras sowie Drucker verfügen über Administrationsseiten. Wenn sie über das Internet zugänglich gemacht werden, kann jeder versuchen, Passwörter aus Passwörtern zu bilden oder eine bekannte Schwachstelle dieses Modells auszunutzen.

2. Veraltete VPN- und Firewall-Software

Eine VPN ist der Tunnel, der es Mitarbeitern ermöglicht, von zu Hause aus zu arbeiten. Er ist per Definition auf das Internet ausgerichtet. Daher untersuchen Angreifer, wenn ein Firewall-Hersteller eine Sicherheitskorrektur veröffentlicht, diese und suchen nach Geräten, die sie noch nicht installiert haben. Die CISA, die US-amerikanische Cybersicherheitsbehörde, führt ein öffentliches Verzeichnis von Sicherheitslücken auf, die bereits in der Praxis ausgenutzt werden — das KEV-Verzeichnis — und dort erscheinen regelmäßig Geräte zur Fernzugriffstechnik. Für die Bundesbehörden gilt die Regel, dass jede neue Fehlfunktion aus dem Verzeichnis innerhalb von zwei Wochen behoben werden muss. Das ist eine gute Grenze für jedes Unternehmen. Wir erklären die Kosten für Verzögerungen im Artikel Informationsaktualisierungen: “Ich mache das später” ist teuer.

3. Direkter Fernzugriff in die Arbeitsumgebung

Das direkte Öffnen der Windows-Remote-Desktop-Umgebung (RDP) ins Internet, “nur damit der Buchhalter am Wochenende zugreifen kann”, ist eine der häufigsten Suchanfragen. Sie muss immer über eine VPN-Verbindung oder eine Identitätsüberprüfungslösung verfügen — siehe weil die VPN-Verbindung allein nicht ausreicht.

4. Verlassene Domänen und Unterdomänen

loja.empresa.pt, teste.empresa.pt, die Kampagne von 2019. Jedes Subdomänennamen verweist auf eine bestimmte Website. Wenn dieser Standort deaktiviert ist, kann ein Dritter in bestimmten Fällen die Adresse übernehmen und Inhalte mit dem Namen Ihres Unternehmens bereitstellen. Und ein Domainnamen, der aus Versehen abgelaufen ist, führt dazu, dass sowohl die Website als auch die E-Mail-Adresse mitgeliefert werden — wir haben dieses Risiko in unserem Blogbeitrag behandelt. Dominianen und Zertifikate, die abgelaufen sind.

5. Offenbarete E-Mail-Adressen

Die E-Mails des Teams erscheinen auf der Website, auf LinkedIn und in Datendiebstahl-Angriffen anderer Dienste. Es ist nicht möglich, sie zu verbergen, aber man kann herausfinden, welche die größten Gefahren darstellen und sicherstellen, dass keine einzelnen Konten nur auf dem Passwort angewiesen sind. Der menschliche Faktor spielt eine Rolle: Laut dem CNCS betrug etwa die Hälfte der in 2025 gemeldeten Vorfälle die Gefahren durch Menschen, wobei Phishing als Hauptmethode auftrat.

Wie man misst: Was eine externe Diagnose überprüft

Es wird von außen gemessen, wie ein Angreifer es tun würde – aber mit Genehmigung und Abschlussbericht.

Wie schließen: der Plan in vier Schritten

1. Inventar. Liste öffentlicher IP-Adressen, Domains, Subdomains und Geräte, die mit dem Internet verbunden sind, mit einem Verantwortlichen für jede Zeile. Was nicht Eigentümer hat, wird vergessen.
2. Ausnahmezustand schließen. Alles, was nicht offen sein muss, wird geschlossen. Managementpanels sind nur über das interne Netzwerk oder eine VPN-Verbindung zugänglich. Der Remote-Zugriff erfolgt immer über einen Kanal mit MFA (die Bestätigung per Handy zusätzlich zur Passwort-Authentifizierung).
3. Aktualisieren, was bleibt. Firewall, VPN und Router mit aktueller Herstellersoftware sowie eine festgelegte Frist für kritische Korrekturen. Geräte, die der Hersteller nicht mehr unterstützt, werden ersetzt — keine Korrektur mehr möglich.
4. Ständig aufpassen. Die Oberfläche ändert sich immer, wenn jemand ein Gerät installiert oder einen Service beauftragt. Die externe Überprüfung sollte mindestens monatlich wiederholt werden, mit Warnmeldungen bei jedem neuen Gerät.

Bei DataRoad ist die verwaltete Firewall, Updates und alarmierende Überwachung sind Teil der Pläne. IT Unlimited. Nein Premium-Plan, Die Unterstützung vor Ort ist ebenfalls inbegriffen, was bei der Erneuerung alter Geräte von Vorteil ist.

Ein echter Fall: Firewall und VPN bei FreshDesign

FreshDesign benötigte Schutz für das Büro-Netzwerk, sichere Fernzugriff für das Team und keinen Ausfall bei Netzwerkproblemen. DataRoad installierte eine neue Firewall mit Intrusion-Prävention und Berichten mit Warnmeldungen, ein SSL-VPN für verschlüsselte Zugriff auf die internen Server und zwei Internetverbindungen mit automatischem Umschalten auf die zweite Verbindung, falls die erste unterbrochen wird. Die Wartung erfolgte im Rahmen des IT-Unbegrenzten Vertrags: Firmware-Updates, Anpassen der Richtlinien und Stabilität der VPN. Lesen Sie den vollständigen Fallbericht FreshDesign: Firewall und VPN-Zugang.

Die Lehre: Fernzugriff über einen kontrollierten einzigen Weg, in einem Gerät, das jemand auf Vertragbasis aktualisiert – nicht “wenn es Zeit dafür gibt”.

Häufig gestellte Fragen

Ist ein kleines Unternehmen wirklich ein Ziel?

Ja. Die meisten Angriffe auf die äußere Oberfläche sind automatisch: Programme, die im Internet nach einem Gerät mit einem bekannten Fehler suchen. Die Größe des Unternehmens spielt keine Rolle; die Softwareversion jedoch schon.

Kann das Testen unserer Angriffsoberfläche etwas verunreinigen?

Eine gut durchgeführte externe Überprüfung ist diskret und erfolgt im Voraus. Sie versucht nicht, in die Systeme einzudringen; sie identifiziert nur das, was sichtbar ist und in welcher Version. Die aufdringlichsten Tests, wenn sie sinnvoll sind, werden mit dem Unternehmen vereinbart.

Wie oft sollten wir überprüfen?

Mindestens einmal im Monat und immer wenn etwas geändert wird: neues Büro, neue Internetverbindung, neues Cloud-Dienst oder Austausch des Firewalls. Ideal wäre eine kontinuierliche Überwachung mit Warnmeldungen.

Behandelt der Internetanbieter das nicht?

Normalerweise nicht. Der Anbieter stellt die Verbindung und manchmal auch den Router bereit. Was offen ist, welche Geräte angeschlossen sind und ob sie aktuell sind, ist Sache des Unternehmens oder derjenigen, die die Computerverwaltung übernehmen.

Karte der externen Angriffsoberfläche innerhalb von 5 Werktagen

Wir erfassen die Informationen, die das Internet über Ihr Unternehmen erhält – IP-Adressen, Ports, Firewall, VPN, Domänen, Subdomains und E-Mail –, und liefern einen Bericht mit den Prioritäten in der Reihenfolge nach Risiko. Für Unternehmen mit mehr als 10 Standorten · Assistenzvertrag · Remote-, lokaler und telefonischer Support.

Quellen

• CISA — Liste bekannter ausgenutzter Sicherheitslücken (KEV)
• CISA — verbindliche operative Richtlinie 22-01 (Fristen für Korrekturmaßnahmen)
• Lusa / DNoticias — Daten des CNCS: 3.864 Vorfälle im Jahr 2025, weitere 40%