Angriffsflächen-Monitoring: Was Angreifer über Ihr Unternehmen wissen
Die Kurzantwort
Angriffsflächen-Monitoring prüft laufend, was ein Angreifer von außen über Ihr Unternehmen findet.
- Was es zeigt: Subdomains, offene Dienste, Zertifikate, Software-Versionen, vergessene Test-Systeme und geleakte Zugangsdaten. Alles ohne Passwort auffindbar.
- Warum laufend: Ihre Angriffsfläche ändert sich mit jedem Release, jeder neuen Cloud-Ressource und jedem Dienstleister. Ein einmaliger Scan ist nach Wochen veraltet.
- Was es nicht ist: kein Pentest und kein 24/7-SOC. Es meldet neue Risiken früh, der Pentest prüft sie in der Tiefe.
- Selbst anfangen: Drei Prüfungen weiter unten können Sie heute in einer halben Stunde selbst machen.
KostenlosWas sieht ein Angreifer von Ihrer Domain? Zweiseitiger Bericht in drei Werktagen, komplett kostenlos und unkompliziert.
Check anfordern →Die Frage, die selten jemand stellt
Wie viele Subdomains hat Ihr Unternehmen? Die meisten Geschäftsführer und IT-Leiter, die wir fragen, schätzen zu niedrig. Nicht weil sie ihre IT nicht kennen, sondern weil die Angriffsfläche nicht in einer Liste steht. Sie entsteht nebenbei: ein Testserver für ein Projekt, eine Landingpage der Marketing-Agentur, ein VPN-Zugang für einen Dienstleister.
Ein Angreifer braucht diese Liste nicht von Ihnen. Er baut sie sich selbst, aus öffentlichen Quellen, in wenigen Minuten. Angriffsflächen-Monitoring dreht das um: Sie sehen dieselbe Liste zuerst, und zwar jedes Mal, wenn sich etwas ändert.
Was ein Angreifer ohne Zugangsdaten findet
Alles in dieser Liste lässt sich von außen finden, ohne ein System anzugreifen.
Aufklärung von außen
Vier öffentliche Quellen, eine Liste
- Zertifikats-Logsz. B. crt.sh
- Gerätesuchmaschinenz. B. Shodan, Censys
- DNS und WebseitenEinträge, Header, Fehlerseiten
- Code und DatenlecksRepositories, Leak-Datenbanken
Die Liste des Angreifers
- www.ihre-firma.exampleWebsitebekannt
- shop.ihre-firma.exampleOnlineshopbekannt
- staging.ihre-firma.exampleTestumgebung, öffentlichvergessen
- test-2019.ihre-firma.exampleZertifikat abgelaufenungepflegt
- vpn.ihre-firma.exampleVersion mit bekannter Lückekritisch
- 203.0.113.17:3389Fernwartung aus dem Internetkritisch
- github.com/…/configZugangsdaten in der Historiekritisch
Subdomains
Jedes TLS-Zertifikat wird in öffentlichen Certificate-Transparency-Protokollen eingetragen. Wer dort nach Ihrer Domain sucht, sieht test., staging., vpn. und jede andere Subdomain, für die jemals ein Zertifikat ausgestellt wurde, auch Jahre alte.
Offene Ports und Dienste
Fernwartung, Datenbanken, Admin-Oberflächen: Was im Internet erreichbar ist, finden Suchmaschinen für Geräte wie Shodan oder Censys, oft lange bevor es intern jemandem auffällt.
Zertifikate
Abgelaufene oder selbst ausgestellte Zertifikate zeigen, welche Systeme niemand mehr pflegt. Für Angreifer ist das ein Hinweis darauf, wo auch die Updates fehlen.
Software-Versionen
Viele Server nennen ihre Version im Header oder auf der Fehlerseite. Steht dort eine Version mit bekannter Lücke, ist der nächste Schritt für einen Angreifer automatisiert.
Vergessene Test-Systeme
Die Demo für einen Kunden, die alte Staging-Umgebung, das Projekt einer Agentur: Systeme, die niemand mehr auf dem Zettel hat, haben oft schwache Passwörter und echte Daten.
Öffentliche Repositories und Leaks
Code auf GitHub mit Zugangsdaten in der Historie, Mitarbeiter-Passwörter aus fremden Datenlecks. Beides lässt sich von außen finden, ohne ein einziges Ihrer Systeme zu berühren.
Warum ein einmaliger Scan nicht reicht
Einmal im Jahr ein Pentest, dazwischen 50 Releases. In dieser Zeit kommen neue Systeme dazu, und andere werden vergessen, ohne abgeschaltet zu werden.
Ein Jahr in Ihrer IT
Was zwischen zwei Pentests passiert
- 1MärzNeue Subdomain staging2 für ein KundenprojektJährlicher Pentest:im Dezember, nach 9 MonatenMonitoring:✓ beim nächsten Lauf
- 2JuniFernwartung für einen Dienstleister freigegebenJährlicher Pentest:im Dezember, nach 6 MonatenMonitoring:✓ beim nächsten Lauf
- 3SeptemberZertifikat der alten Test-Seite läuft abJährlicher Pentest:im Dezember, nach 3 MonatenMonitoring:✓ beim nächsten Lauf
- 4OktoberKritische Lücke in Ihrer VPN-Software wird bekanntJährlicher Pentest:im Dezember, nach 2 MonatenMonitoring:✓ beim nächsten Lauf
Woher die neuen Einträge kommen:
Neue Releases
Eine neue API, ein geöffneter Port für die Fehlersuche, eine Admin-Seite, die nur „kurz“ online sein sollte.
Cloud-Ressourcen
In der Cloud ist ein öffentlich erreichbarer Speicher oder eine Datenbank in Minuten angelegt. Die Freigabe ist oft ein Häkchen, das später niemand mehr prüft.
Dienstleister
Agenturen, Hoster und Software-Partner betreiben Systeme unter Ihrem Namen. Für Angreifer gehören sie zu Ihrer Angriffsfläche, egal wer sie verwaltet.
Dazu kommen neue Lücken in Software, die Sie längst betreiben. Wenn eine kritische Schwachstelle bekannt wird, beginnen automatisierte Scans oft innerhalb von Stunden. Dann zählt, ob Sie in Minuten wissen, welche Ihrer Systeme betroffen sind, oder erst nach Tagen.
Monitoring und Pentest: Breite und Tiefe
Breite und Tiefe
Zwei Werkzeuge, zwei Richtungen
Monitoring
Alles, was von außen erreichbar ist. Laufend, aber nur an der Oberfläche.
Pentest
Ein vereinbarter Umfang, bis in angemeldete Bereiche und die Logik.
Zusammen
Das Monitoring zeigt, wo es sich lohnt, der Pentest prüft dort in der Tiefe.
| Angriffsflächen-Monitoring | Penetrationstest | |
|---|---|---|
| Leitfrage | Was ist von außen erreichbar, und was ist neu? | Was davon lässt sich ausnutzen? |
| Zeitraum | Laufend | Zu einem Zeitpunkt |
| Tiefe | Breite: alles, was Ihnen zuzuordnen ist | Tiefe: ein vereinbarter Umfang, inklusive angemeldeter Bereiche |
| Eingriff | Keiner, nur öffentliche Quellen und Erreichbarkeit | Aktive Tests mit gesonderter Freigabe |
| Kosten bei uns | Erst-Check kostenlos, Monitoring ab €249 im Monat | Ab €3.500, Festpreis nach Scoping |
Beides gehört in einen Kreislauf, den wir den Security Cycle nennen.
Security Cycle
Monitoring ist der erste Schritt im Kreislauf
- Sie sind hier01SehenAngriffsflächen-MonitoringCheck kostenlos, ab €249/Monat
- 02PrüfenPenetrationstestab €3.500
- 03AngreifenRed TeamingStarter €2.500
- 04AbsichernSecurity Audit€2.500 (2 Tage)
Neue Releases, neue Systeme: Der Kreislauf beginnt von vorn.
Den Unterschied zwischen Prüfen und Angreifen erklärt unser Artikel Red Teaming vs. Pentest, was ein Pentest kostet, steht in Pentest-Kosten 2026.
Was ein gutes Monitoring liefert
Änderungen statt endloser Listen
Ein Monitoring, das jeden Tag denselben Bestand meldet, wird nach zwei Wochen ignoriert. Gemeldet wird, was neu ist: ein neuer Dienst, eine neue Subdomain, ein neuer Treffer in einem Datenleck.
Priorisierung durch einen Menschen
Werkzeuge liefern Fehlalarme und Systeme, die gar nicht Ihnen gehören. Bevor Sie einen Fund sehen, schaut bei uns ein Mensch drüber und sagt, was zuerst zu tun ist.
Klare Zuständigkeit
Ein Fund ohne Zuständigen bleibt liegen. Unser Plattform-Modul DevShield ordnet Systeme den Teams zu, die sie verantworten, und verfolgt den Status jedes Funds. Ehrlich gesagt: DevShield ist im Early Access, und ein Teil der Auswertung läuft noch mit Unterstützung unserer Analysten.
Änderungen seit dem letzten Lauf
ihre-firma.example
- Hochneu203.0.113.17:3389
Fernwartung (RDP) aus dem Internet erreichbar
Empfehlung: Zugang schließen oder nur über VPN · Zuständig: IT-Betrieb
- Mittelneustaging2.ihre-firma.example
Neue Subdomain mit öffentlicher Login-Seite
Empfehlung: Klären, ob sie öffentlich sein muss · Zuständig: Team Web
- Niedrigneutest-2019.ihre-firma.example
Zertifikat abgelaufen
Empfehlung: Abschalten oder erneuern · Zuständig: Team Web
Selbst anfangen: drei Prüfungen für heute
Sie brauchen dafür kein Werkzeug und keinen Dienstleister. Prüfen Sie nur Ihre eigenen Domains.
- 1
Subdomains über Certificate Transparency
Öffnen Sie crt.sh und suchen Sie nach
%.ihre-domain.de. Sie sehen jede Subdomain, für die ein öffentliches Zertifikat ausgestellt wurde. Gehen Sie die Liste durch: Kennen Sie jeden Eintrag? Läuft das System noch, und braucht es noch jemand? - 2
Gibt es eine security.txt?
Rufen Sie
https://ihre-domain.de/.well-known/security.txtauf. Die Datei sagt Sicherheitsforschern, wohin sie eine gefundene Lücke melden sollen (RFC 9116). Fehlt sie, landet ein Hinweis im allgemeinen Postfach oder nirgends. Für Hersteller ist eine Meldeadresse seit dem Cyber Resilience Act ohnehin Pflicht. - 3
Abgelaufene Zertifikate
Öffnen Sie die Subdomains aus Schritt 1 im Browser. Jede Zertifikatswarnung ist ein Hinweis auf ein System, das niemand mehr pflegt. Diese Systeme gehören entweder wieder in die Wartung oder abgeschaltet.
Wenn die Liste länger ist als gedacht oder Sie nicht wissen, was ein Eintrag bedeutet, schauen wir gern mit drauf. Der kostenlose Angriffsflächen-Check macht dasselbe, nur gründlicher: automatisierte Erfassung, manuelle Durchsicht und ein zweiseitiger Bericht für eine Domain innerhalb von drei Werktagen, ohne Vertrag und ohne Zugriff auf Ihre Systeme.
Was es bei uns kostet
Einstieg
Angriffsflächen-Check
€0
Eine Domain, manuelle Durchsicht, zweiseitiger Bericht.
Jetzt anfordern →Tiefer
Basic-Check
€199 einmalig
Mehrere Domains, Abgleich mit Datenlecks, Plattformzugang. Wird auf das Monitoring angerechnet.
Laufend
Monitoring
ab €249/Monat
Basic €249 (eine Domain, monatlich), Pro €599 (bis zu fünf Domains, wöchentlich).
Alle Preise netto. Hinter dem Monitoring steht unser Security-Team aus vier Expertinnen und Experten in Deutschland und Vietnam. Alle Details stehen auf der Seite Angriffsflächen-Monitoring.
Was wir nicht anbieten
Kein 24/7-SOC. Wir überwachen Ihre Angriffsfläche von außen und melden Veränderungen. Eine Rund-um-die-Uhr-Überwachung Ihrer internen Systeme mit Reaktionszusage übernehmen wir nicht.
Kein Incident-Response-Retainer. Wenn es Hinweise auf einen Einbruch gibt, informieren wir Sie sofort und verweisen an einen spezialisierten Incident-Response-Dienstleister.
Und keine Garantie, dass nichts übersehen wird. Monitoring macht sichtbar, was von außen erreichbar ist. Ob es sich ausnutzen lässt, zeigt erst ein Pentest.
Häufige Fragen zum Angriffsflächen-Monitoring
Was ist Angriffsflächen-Monitoring?
Angriffsflächen-Monitoring (englisch External Attack Surface Management, EASM) prüft laufend, was ein Angreifer von außen über ein Unternehmen findet: Subdomains, offene Dienste, Zertifikate, Software-Versionen und geleakte Zugangsdaten. Es meldet Veränderungen, damit neue Risiken auffallen, bevor jemand sie ausnutzt.
Was ist der Unterschied zwischen Angriffsflächen-Monitoring und einem Penetrationstest?
Das Monitoring deckt die Breite ab: Es zeigt laufend, was erreichbar ist. Der Penetrationstest geht in die Tiefe: Er prüft zu einem Zeitpunkt, was davon ausnutzbar ist. Das Monitoring ersetzt keinen Pentest, sorgt aber dafür, dass zwischen zwei Tests nichts unbemerkt dazukommt.
Brauchen Sie dafür Zugriff auf unsere Systeme?
Nein. Das Monitoring arbeitet nur von außen, mit denselben öffentlichen Quellen, die auch Angreifer nutzen. Es gibt nichts zu installieren. Wir prüfen nur Systeme, die Ihnen zuzuordnen sind, und nur nach Ihrem schriftlichen Auftrag.
Was kostet Angriffsflächen-Monitoring?
Der erste Angriffsflächen-Check ist kostenlos. Ein Basic-Check mit Plattformzugang kostet einmalig €199 und wird angerechnet. Laufendes Monitoring kostet €249 im Monat (Basic, eine Domain) oder €599 im Monat (Pro, bis zu fünf Domains, wöchentlich).
Ist das ein Security Operations Center (SOC)?
Nein. Wir überwachen Ihre Angriffsfläche von außen und melden Veränderungen. Eine 24/7-Überwachung mit Reaktionszusage und Incident Response bieten wir nicht an. Wenn Sie das brauchen, sagen wir es offen und nennen Ihnen passende Anbieter.
Kostenloser Angriffsflächen-Check
Sehen Sie, was ein Angreifer sieht
Nennen Sie uns eine Domain. Wir erfassen Ihre Angriffsfläche von außen, prüfen die Funde von Hand und schicken Ihnen einen zweiseitigen Bericht.
- ✓Vergessene Subdomains, Testserver und offene Dienste
- ✓Zertifikate, TLS und E-Mail-Sicherheit (SPF, DKIM, DMARC)
- ✓Zugangsdaten Ihrer Domain in bekannten Datenlecks
- ✓Die drei wichtigsten nächsten Schritte, verständlich erklärt
Check kostenlos anfordern
Eine Domain genügt. Ihr Bericht kommt innerhalb von drei Werktagen.
Lieber erst sprechen?
