Externe Angriffsfläche managen: Warum exponierte Dienste zum Risiko werden

Zehntausende Server stehen offen im Internet, ohne dass die verantwortlichen Unternehmen es wissen. Erst kürzlich wurden rund 36.000 öffentlich erreichbare Plex-Mediaserver als verwundbar identifiziert, parallel dazu aktive Angriffe auf Cisco-Firewall-Management-Oberflächen und kritische Lücken in Check-Point-Sicherheitsprodukten gemeldet. Für KMU ist das ein Weckruf: Nicht nur offensichtliche Schwachstellen, sondern die schiere Menge exponierter Dienste ist das eigentliche Problem – und die externe Angriffsfläche wächst meist unbemerkt.

Was ist die externe Angriffsfläche?

Die externe Angriffsfläche (Attack Surface) umfasst alle Systeme, Dienste und Schnittstellen eines Unternehmens, die aus dem Internet erreichbar sind – Webserver, Mailserver, VPN-Gateways, Firewalls mit Management-Interface, Fernwartungssoftware, Cloud-Speicher, aber auch vergessene Testsysteme oder alte Subdomains. Jeder dieser Punkte ist ein potenzielles Einfallstor.

Das Tückische: Die Angriffsfläche verändert sich ständig. Ein neuer Mitarbeiter installiert einen Mediaserver für den internen Gebrauch, eine Testumgebung wird nach dem Projekt nicht abgeschaltet, ein Dienstleister öffnet für eine Fernwartung einen Port und vergisst, ihn wieder zu schließen. Ohne systematisches Monitoring verliert man schnell den Überblick, was tatsächlich von außen erreichbar ist.

Warum das gerade jetzt relevant ist

Suchmaschinen wie Shodan oder Censys scannen kontinuierlich das gesamte Internet und katalogisieren offene Ports, Dienste und Versionen. Was früher Sicherheitsforschern vorbehalten war, nutzen heute auch Angreifer, um automatisiert nach verwundbaren Systemen zu suchen. Eine bekannt gewordene Schwachstelle wie bei Check Point oder Cisco wird oft binnen Stunden gegen alle öffentlich erreichbaren Instanzen ausgerollt – ganz automatisch, ohne dass ein Mensch das Unternehmen gezielt aussucht.

Typische exponierte Dienste in KMU

In der Praxis sehen wir bei IT-Sicherheitsaudits für ostdeutsche KMU immer wieder dieselben Muster:

Management-Interfaces von Netzwerkgeräten

Firewalls, Router und Switches bieten Web-Oberflächen zur Konfiguration. Diese gehören grundsätzlich nicht ins offene Internet – trotzdem finden sich solche Interfaces regelmäßig frei erreichbar, meist weil eine Fernwartung eingerichtet und danach nicht wieder zurückgebaut wurde.

Fernwartungssoftware und RDP

Tools wie TeamViewer, AnyDesk oder direkt freigegebenes Remote Desktop Protocol (RDP) sind beliebte Angriffsziele, weil sie direkten Zugriff auf interne Systeme versprechen.

Vergessene Testsysteme

Entwicklungsumgebungen, alte WordPress-Installationen oder Demo-Server, die nach Projektabschluss weiterlaufen – oft ungepatcht, da sie aus dem regulären Wartungsprozess herausgefallen sind.

Cloud-Speicher und Datenbanken

Falsch konfigurierte S3-Buckets, offene MongoDB- oder Redis-Instanzen ohne Authentifizierung entstehen häufig bei schnellen Cloud-Deployments ohne Sicherheitsreview.

Praxisteil: Angriffsfläche systematisch reduzieren

Schritt 1: Externe Bestandsaufnahme

Bevor etwas geschützt werden kann, muss es bekannt sein. Ein External Attack Surface Scan – etwa mit Tools wie Shodan, Censys oder spezialisierten Diensten – zeigt, was tatsächlich von außen sichtbar ist. Das Ergebnis überrascht viele Unternehmen, weil es oft von der eigenen Dokumentation abweicht.

Schritt 2: Unnötige Exposition beenden

Jeder Dienst, der nicht zwingend öffentlich erreichbar sein muss, sollte hinter ein VPN wie WireGuard verlagert werden. Management-Interfaces gehören grundsätzlich nur ins interne Netz oder hinter eine Zwei-Faktor-abgesicherte VPN-Verbindung.

Schritt 3: Patch-Management für exponierte Systeme priorisieren

Systeme mit Internetkontakt brauchen kürzere Update-Zyklen als rein interne Server. Sicherheitslücken in Firewalls oder VPN-Gateways werden erfahrungsgemäß innerhalb weniger Tage nach Bekanntwerden aktiv ausgenutzt – hier zählt jeder Tag zwischen Patch-Veröffentlichung und Einspielen.

Schritt 4: Kontinuierliches Monitoring statt Einmalprüfung

Die Angriffsfläche verändert sich laufend. Ein einmaliger Scan reicht nicht – wiederkehrende automatisierte Prüfungen, idealerweise monatlich oder bei jeder Infrastrukturänderung, halten den Überblick aktuell.

Schritt 5: Inventarisierung mit Verantwortlichkeiten verknüpfen

Jeder öffentlich erreichbare Dienst braucht einen benannten Verantwortlichen und ein Enddatum, falls er temporär ist. Das verhindert, dass Testsysteme jahrelang unbeachtet online bleiben.

Zusammenhang mit anderen Sicherheitsmaßnahmen

Attack Surface Management ergänzt bestehende Maßnahmen wie Firewall-Härtung, Netzwerksegmentierung und Patch-Management, ersetzt sie aber nicht. Es liefert die Außenperspektive: Ein Angreifer sieht das Unternehmen zunächst genau so, wie es ein externer Scan zeigt – nicht wie es im internen Netzwerkplan dokumentiert ist. Diese Differenz zu kennen und regelmäßig zu überprüfen, ist für KMU in Sachsen und darüber hinaus ein oft unterschätzter, aber wirkungsvoller Baustein der IT-Sicherheit.

Rexoma unterstützt KMU in Dresden

Sie wissen nicht genau, welche Systeme Ihres Unternehmens tatsächlich vom Internet aus erreichbar sind? Rexoma aus Dresden führt für KMU in Sachsen und ostdeutsche Unternehmen externe Angriffsflächen-Analysen durch, identifiziert exponierte Dienste und hilft bei der Absicherung von Firewalls, VPN-Zugängen und Fernwartungslösungen. Sprechen Sie uns an, wenn Sie Klarheit über Ihre digitale Angriffsfläche gewinnen möchten.

FAQ

Was unterscheidet Attack Surface Management von einem klassischen Penetrationstest? Ein Penetrationstest prüft gezielt einzelne Systeme auf Schwachstellen zu einem festen Zeitpunkt. Attack Surface Management ist ein kontinuierlicher Prozess, der laufend erfasst, welche Systeme überhaupt von außen erreichbar sind – die Grundlage, bevor gezielt getestet wird.

Reicht eine Firewall nicht aus, um die Angriffsfläche zu schützen? Eine Firewall filtert Datenverkehr, verhindert aber nicht, dass benötigte Dienste selbst verwundbar sind. Wenn ein Dienst absichtlich freigegeben ist, etwa ein Mailserver, muss er zusätzlich gehärtet und aktuell gehalten werden.

Wie oft sollte die externe Angriffsfläche geprüft werden? Für die meisten KMU empfiehlt sich eine monatliche automatisierte Prüfung sowie eine zusätzliche Kontrolle nach jeder größeren Infrastrukturänderung, etwa neuen Cloud-Diensten oder Serverumzügen.

Können auch kleine Unternehmen von automatisierten Scans betroffen sein? Ja. Angreifer unterscheiden bei automatisierten Scans nicht nach Unternehmensgröße – jedes offen erreichbare System mit bekannter Schwachstelle wird erfasst, unabhängig davon, ob es sich um einen Konzern oder ein fünfköpfiges Team handelt.

Was kostet es, wenn ein exponierter Dienst kompromittiert wird? Die konkreten Folgekosten hängen stark vom Einzelfall ab – von Betriebsausfall über Wiederherstellungsaufwand bis zu möglichen DSGVO-Meldepflichten bei Datenabfluss. Präventive Maßnahmen sind in aller Regel deutlich günstiger als die Bereinigung nach einem erfolgreichen Angriff.