Was ist ein externer Attack-Surface-Scan, wer braucht ihn und was kostet er?

Was genau ist eine Attack Surface?

Die Attack Surface ist die Summe aller Einstiegspunkte, über die ein Angreifer versuchen könnte, an Sie heranzukommen. Die interne Attack Surface umfasst Systeme, die von innen erreichbar sind, etwa Arbeitsplatzrechner, das interne Netzwerk und das Active Directory. Die externe Attack Surface ist der Teil, den jeder im Internet sehen kann:

• Domains und Subdomains (auch vergessene Einträge wie vpn., mail., test., old-portal.)
• Offene Ports und die darauf laufenden Dienste (RDP, SSH, Datenbanken, Fernwartung)
• Webanwendungen, Admin-Panels, API-Endpunkte
• E-Mail-Infrastruktur: SPF-, DKIM- und DMARC-Einträge sowie das Spoofing-Risiko, das entsteht, wenn sie fehlen
• TLS-Zertifikate, auch abgelaufene oder falsch konfigurierte
• Lookalike- / Typosquat-Domains, die Ihre Marke nachahmen

Die meisten Angriffe beginnen nicht mit einem raffinierten Zero-Day, sondern mit einem vergessenen Punkt auf dieser Liste: einer VPN-Appliance ohne aktuellen Patch, einer Domain ohne DMARC, einem Testserver, an den sich niemand mehr erinnert.

Wie läuft der Scan ab, und kann er unseren Systemen schaden?

Es gibt zwei Ebenen, und der Unterschied zwischen ihnen ist wichtig:

Die passive Bewertung liest ausschließlich öffentliche Quellen: DNS-Einträge, Certificate-Transparency-Logs, WHOIS, Suchmaschinen. Es wird kein einziges Paket an Ihre Systeme gesendet; daher ist keine Genehmigung nötig, und das Ausfallrisiko ist gleich null. Der Fjordex-Connector (MCP) arbeitet auf dieser Ebene.

Die aktive Bewertung umfasst Port-Scans, die Erkennung von Dienstversionen und den Abgleich mit bekannten CVEs; sie baut Verbindungen zu Ihren Systemen auf, führt aber keine Exploits aus. Sie erfordert eine schriftliche Autorisierung, und das Testfenster wird gemeinsam festgelegt.

Darüber hinaus gibt es die Penetrationsvalidierung: eine manuelle, zerstörungsfreie Validierung der kritischen Befunde. Dieser Schritt erfolgt nur auf Grundlage unterzeichneter Rules of Engagement und eines NDA und wird separat berechnet.

Wer sollte eine solche Bewertung durchführen lassen?

Die kurze Regel: Wenn Sie irgendetwas im Internet exponiert haben, haben Sie eine externe Attack Surface, und jemand scannt sie bereits. Am dringendsten ist es in diesen Fällen:

• KMU (Nordzypern und Türkei): Die meisten haben kein IT-Team, die Infrastruktur ist auf externe Dienstleister verteilt, und niemand hat den Gesamtüberblick. Die häufigsten Befunde: Weil DMARC fehlt, lassen sich gefälschte Rechnungs-E-Mails im Namen des Unternehmens versenden, RDP ist aus dem Internet erreichbar, und für Subdomains gibt es keinen klaren Verantwortlichen.
• Universitäten: Dutzende Fakultäten, Hunderte Subdomains, studentische Projekte, abgeschaltete Dienste, die noch im DNS stehen. Die Attack Surface ist groß und verstreut; schon die Bestandsaufnahme allein ist wertvoll.
• Krankenhäuser und Kliniken: Patientendaten, Pflichten nach KVKK/DSGVO und ein Betrieb, der keine Ausfälle verträgt. Dass ein passiver Scan keinerlei System beeinträchtigt, ist hier ein entscheidender Vorteil.
• Kommunen und öffentliche Einrichtungen: Bürgerdienste, starke Abhängigkeit von E-Mail-Korrespondenz und Reputationsrisiken.
• Organisationen mit Vorgaben aus Cyberversicherung oder Ausschreibungen: Versicherer und große Kunden verlangen zunehmend einen unabhängigen Bericht über eine externe Bewertung.

Was kostet das? Die Preise von ArveNova

Die folgenden Beträge sind Einstiegspreise in EUR, zzgl. MwSt. Der endgültige Preis wird schriftlich genannt, sobald Anzahl der Assets und Umfang in einem Scoping-Gespräch feststehen. Die Stufen können einzeln oder zusammen gebucht werden; jeder Auftrag beginnt mit einem schriftlichen Umfang und einer unterzeichneten Genehmigung (ROE).

Wovon hängt der Preis ab? Auf der externen Seite von der Anzahl der aus dem Internet sichtbaren Assets: Domains, Subdomains, öffentliche IPs und Dienste. Mitarbeiter- oder Rechnerzahl bestimmen den externen Preis nicht direkt; Stufe 3 (Active Directory) wird nach Benutzer- und Standortzahl, Stufe 2 nach Anzahl der Plattformen berechnet.

Penetrationstest: ein eigenständiger Auftrag außerhalb der obigen Stufen. Szenario, Methodik und Ergebnisse werden für jedes Projekt schriftlich festgelegt; Umfang und Preis stehen im Angebot. Angebot anfordern.

Kontinuierliches Monitoring: 24/7-Überwachung über einen auf Ihren Endpoints installierten Agenten, ein von Stufe 4 getrennter Dienst. Umfang, Starttermin und Preis werden im Angebot festgelegt. Angebot anfordern.

Wie sieht der Bericht aus? Ein Beispielbefund

Jeder Befund hat dieselbe Struktur: Titel, Schweregrad (aus dem CVSS-Vektor berechnet, nie von Hand vergeben), Konfidenzniveau, Nachweis, die Sicht des Angreifers (RED) und die Behebung (BLUE). Ein Formatbeispiel aus dem signierten Bericht (kein echter Durchlauf):

[F-03] Veraltete Webkomponente, Apache httpd 2.4.49
  Schweregrad: Kritisch (CVSS 9.8, NVD primär)
  CVE: CVE-2021-41773 · CWE-22
  Konfidenz: CONFIRMED · Asset: https://target.example:443
  RED: Path Traversal, Bedingungen für das Auslesen entfernter Dateien.
  BLUE: Auf Version 2.4.51 oder neuer aktualisieren.

Beim CVE-Abgleich wird die erkannte Dienstversion mit einem NVD-basierten CVE-Datensatz verglichen; Treffer, die nur auf einem Versionsbereich beruhen, werden mit dem Vermerk „unbestätigt“ gesondert geführt, und Assets hinter Shared Hosting oder einem CDN werden keinen CVEs zugeordnet. Das zweite Beispiel unten stammt aus einer E-Mail-Sicherheitsprüfung im Fjordex-Connector:

{
  "id": "email.dmarc_missing",
  "title": "Kein DMARC-Eintrag",
  "severity": "high",
  "evidence": "Kein TXT-Eintrag für _dmarc.example-company.com gefunden.",
  "recommendation": "Mit p=none und Reporting beginnen, nach 2-4 Wochen auf p=quarantine, danach auf p=reject umstellen.",
  "category": "email"
}

Was diese eine Zeile bedeutet: Derzeit kann jeder von accounts@example-company.com gefälschte Rechnungen an Ihre Kunden senden, und die empfangenden Mailserver weisen sie nicht ab. Die Behebung ist ein einziger DNS-Eintrag; doch wenn niemand darauf hinweist, bleibt die Lücke jahrelang offen.

Wie oft sollte die Bewertung wiederholt werden?

Die externe Attack Surface ist nicht statisch: ein neues SaaS-Abonnement, eine für eine Marketingkampagne angelegte Subdomain, ein Wechsel des Hosting-Anbieters, all das verändert sie. Unsere praktische Empfehlung: einmal im Jahr eine vollständige Bewertung (Stufe 1), dazwischen monatliches Delta-Monitoring (Stufe 4). Bei großen Attack Surfaces wie in Krankenhäusern und Universitäten ist monatliches Monitoring mehr wert als ein einmaliger Scan, denn Probleme treten meist bei „neu hinzugekommenen“ Elementen auf.