Was ist eine Angriffsfläche?

Angriffsfläche einfach erklärt

Denken Sie an ein Haus. Jede Tür, jedes Fenster, die Kellerluke und das Garagentor sind mögliche Einstiegspunkte für Einbrecher. Dazu kommen der Ersatzschlüssel unter der Fußmatte und der hilfsbereite Nachbar, der jedem öffnet, der sich als Handwerker ausgibt. Alle diese Punkte zusammen bilden die Angriffsfläche des Hauses.

Im Unternehmen ist es genauso – nur sind viele „Fenster“ unsichtbar. Ein Webshop, ein Fernzugang fürs Homeoffice, ein Cloud-Speicher oder eine alte Testseite, die nach einem Projekt vergessen wurde: Jeder dieser Punkte ist von außen erreichbar und damit ein möglicher Ansatzpunkt.

Wichtig: Eine große Angriffsfläche bedeutet nicht automatisch, dass Sie verwundbar sind. Sie beschreibt, wo ein Angriff beginnen könnte. Ob er gelingt, hängt davon ab, wie gut jeder einzelne Punkt geschützt ist.

So setzt sich die Angriffsfläche zusammen

Fachleute unterscheiden meist drei Bereiche:

1. Digitale Angriffsfläche: alles, was über ein Netzwerk erreichbar ist – Websites, Schnittstellen zwischen Programmen (APIs), E-Mail-Server, VPN-Zugänge, Cloud-Dienste und vernetzte Geräte wie Kameras. Die externe Angriffsfläche ist aus dem Internet erreichbar, die interne aus dem Firmennetz, etwa nach einem ersten Einbruch.
2. Menschliche Angriffsfläche: Beschäftigte, die Angreifer per E-Mail, Telefon oder über soziale Netzwerke ansprechen können, zum Beispiel mit Phishing, also betrügerischen Nachrichten. Auch öffentliche Informationen wie Organigramme oder Stellenanzeigen zählen dazu, weil sie solche Täuschungen glaubwürdiger machen.
3. Physische Angriffsfläche: Gebäude, Serverräume, Netzwerkdosen im Besprechungsraum, Laptops und USB-Anschlüsse.

Die Angriffsfläche verändert sich ständig. Jede neue Anwendung, jeder Dienstleister mit Fernzugang und jedes zusätzliche Benutzerkonto erweitert sie. Besonders tückisch ist Schatten-IT: Systeme, die Abteilungen ohne Wissen der IT einrichten, etwa ein Cloud-Speicher für den schnellen Dateiaustausch mit einem Kunden.

Angreifer verschaffen sich übrigens zuerst einen Überblick über Ihre Angriffsfläche. Sie werten frei zugängliche Quellen aus – Fachleute sprechen von OSINT – und lassen automatisierte Scans laufen, die das Internet ständig nach erreichbaren Diensten absuchen.

Ein Beispiel aus der Praxis

Ein Logistikunternehmen hat vor einigen Jahren ein Kundenportal eingeführt. Die beauftragte Agentur richtete dafür eine Testumgebung unter einer eigenen Subdomain ein – einer Unteradresse der Firmen-Website, die mit „test.“ beginnt. Nach dem Livegang geriet sie in Vergessenheit. Sie lief aber weiter, mit veralteter Software und echten Kundendaten aus der Testphase.

Bei einer OSINT-Analyse taucht die Subdomain in öffentlichen Zertifikatsverzeichnissen auf. Dort werden öffentlich gültige Website-Zertifikate protokolliert und damit auch die Adressen, für die sie ausgestellt wurden. Auch Angreifer werten diese Verzeichnisse aus. Das Unternehmen schaltet die Testumgebung ab, löscht die Daten und führt eine Liste aller extern erreichbaren Systeme, die es regelmäßig abgleicht.

Warum ist das für Unternehmen wichtig?

Was Sie nicht kennen, können Sie nicht schützen. Angriffe beginnen oft nicht beim gut gesicherten Hauptsystem, sondern an einer vergessenen Nebenstelle: einem alten Server, einem verwaisten Benutzerkonto oder einem Fernzugang ohne zweiten Anmeldefaktor.

Jedes zusätzliche System braucht Updates, sichere Einstellungen und Überwachung. Wo das nicht gelingt, entstehen Lücken. Regelwerke wie NIS2 und ISO/IEC 27001 sehen deshalb vor, dass Unternehmen ihre Werte (Assets) verwalten und Risiken systematisch steuern. Eine aktuelle Übersicht über die eigene Angriffsfläche ist dafür die Grundlage.

So schützen Sie sich

• Inventar führen: Erfassen Sie alle Systeme, Domains, Cloud-Dienste und Zugänge – auch die, die Dienstleister für Sie betreiben.
• Überflüssiges abschalten: Entfernen Sie Testumgebungen, alte Server, ungenutzte Dienste und verwaiste Benutzerkonten konsequent.
• Systeme härten: Was bleiben muss, wird nach dem Prinzip „so wenig wie möglich“ eingerichtet – mehr dazu unter Härtung.
• Zugänge absichern: Schützen Sie Fernzugänge, Cloud-Konten und Administration mit Multi-Faktor-Authentifizierung, also einem zweiten Anmeldefaktor zusätzlich zum Passwort.
• Regelmäßig von außen prüfen: Automatisierte Schwachstellenscans und Penetrationstests zeigen, was erreichbar und angreifbar ist.
• Öffentliche Informationen steuern: Prüfen Sie, welche Details über Technik und Personal in Stellenanzeigen, auf der Website und in sozialen Netzwerken stehen.
• Freigaben regeln: Neue Systeme und Dienstleisterzugänge gehen nur nach Freigabe durch die IT in Betrieb.

Wie Rootsektor unterstützt

Mit einer OSINT-Analyse zeigen wir Ihnen, welches Bild sich ein Angreifer aus öffentlichen Quellen von Ihrem Unternehmen machen kann – von vergessenen Subdomains bis zu exponierten Informationen über Beschäftigte. Ob die gefundenen Systeme tatsächlich angreifbar sind, klärt anschließend ein Penetrationstest. Ein Festpreisangebot nach dem Scoping können Sie über die Seite Pentest-Angebot anfordern.