2026-07-19 · GUIDE · Das Team von Offensive Technology

Was können Angreifer wirklich über Ihr Unternehmen sehen?

Ihre externe Angriffsfläche umfasst alles an Ihrem Unternehmen, das aus dem öffentlichen Internet erreichbar ist: jede Domain, jeden Server, jede Login-Seite, jeden Mail-Eintrag und jedes geleakte Passwort, das ein Angreifer finden kann, ohne jemals Ihr Büro oder Ihre Laptops zu berühren. Es ist die Karte, die ein Angreifer als Erstes zeichnet, und hier ist der unangenehme Teil: Er zeichnet sie meist besser als das Unternehmen selbst, weil er motiviert ist und das Unternehmen viel zu tun hat.

Wir verbringen unser Arbeitsleben damit, diese Karte aus der Perspektive des Angreifers zu zeichnen. Hier ist, was sich typischerweise darauf befindet, verständlich erklärt für Gründer oder CTOs, die noch nie Sicherheitstests eingekauft haben.

Subdomains, von deren Existenz Sie nichts mehr wussten

Ihre Hauptwebsite ist www.yourcompany.com. Aber im Laufe der Jahre hat das Unternehmen auch staging.yourcompany.com, old-demo.yourcompany.com, eine Microsite für eine Kampagne aus dem Jahr 2022 und ein Dashboard erstellt, das ein externer Dienstleister eingerichtet hat. Diese sind alle öffentlich auffindbar. Certificate-Transparency-Logs, ein öffentliches Register jedes jemals ausgestellten TLS-Zertifikats, ermöglichen es jedem, die Subdomains aufzulisten, für die Sie Zertifikate angefordert haben, etwa mit kostenlosen Tools wie crt.sh. Das hat nichts mit Hacking zu tun, es ist eine einfache Abfrage.

Warum das wichtig ist: Auf vergessenen Subdomains läuft vergessene Software. Ein Staging-Server mit einem ungepatchten Framework aus dem Vorjahr oder eine Demo-Instanz mit einem Standardpasswort ist ein reales Einfallstor. Noch schlimmer: Wenn eine Subdomain weiterhin auf einen Cloud-Dienst zeigt, den Sie nicht mehr bezahlen, kann ein Angreifer diesen Dienst manchmal übernehmen und eigene Inhalte unter Ihrer Domain bereitstellen. In der Branche nennt man das Subdomain Takeover, und es passiert Unternehmen jeder Größe.

Dienste, die niemals öffentlich hätten sein dürfen

Es gibt Suchmaschinen für internetverbundene Geräte. Shodan, die bekannteste davon, indiziert kontinuierlich, was im öffentlichen Internet erreichbar ist: Datenbanken, Admin-Panels, Remote Desktop, Webcams, Drucker. Wenn Ihr Team jemals eine Datenbank "nur für eine Woche" zum Debuggen, einen Build-Server oder ein internes Dashboard freigeschaltet hat, kann das jeder über eine Suchmaske finden.

Die typischen Schwachstellen, die wir sehen: für die ganze Welt offene Datenbank-Ports, Remote Desktop oder SSH auf Servern, an die sich niemand erinnert, Admin-Interfaces für Router und Firewalls sowie CI/CD- oder Monitoring-Tools mit schwachen oder Standard-Logins. Keine dieser Entscheidungen wurde vorsätzlich getroffen. Es sind Überbleibsel, und von Überbleibseln ernähren sich Angreifer.

Ihre Passwörter aus Datenlecks anderer Anbieter

Wenn bei einem Drittanbieter ein Datenleck auftritt, landen die darin enthaltenen E-Mail-Adressen und Passwörter in öffentlichen und halböffentlichen Dumps. Angreifer sammeln diese und probieren sie überall aus, in der Hoffnung, dass Passwörter mehrfach verwendet werden. Und diese Rechnung geht auf.

Sie können einen Teil Ihres eigenen Risikos sofort überprüfen: Have I Been Pwned, ein kostenloser öffentlicher Dienst, zeigt Ihnen, in welchen Datenlecks E-Mail-Adressen Ihrer Domain enthalten sind. Wenn ein Mitarbeiter seine geschäftliche E-Mail-Adresse und ein wiederverwendetes Passwort für ein Tool genutzt hat, bei dem es später zu einem Datenleck kam, kann genau diese Kombination heute Ihre tatsächlichen Systeme öffnen. Das ist nicht exotisch. Die Wiederverwendung von Zugangsdaten aus alten Datenlecks ist einer der häufigsten Wege, wie reale Angriffe beginnen, und er erfordert keinerlei technisches Geschick.

Mail- und DNS-Einstellungen, die Identitätsdiebstahl ermöglichen

Für E-Mails gibt es drei Schutz-Records, SPF, DKIM und DMARC, die der Welt mitteilen, welche Server E-Mails im Namen Ihrer Domain senden dürfen und was mit E-Mails geschehen soll, die die Prüfung nicht bestehen. Das sind öffentliche DNS-Records, die ein Angreifer in Sekundenschnelle prüft. Wenn DMARC fehlt oder so konfiguriert ist, dass nichts unternommen wird, können E-Mails im Posteingang landen, die Ihre Domain perfekt fälschen.

Der Angriff, der dadurch möglich wird, ist deprimierend einfach: Eine E-Mail, die anscheinend von Ihrem CEO oder Ihrer Rechnungsadresse stammt, geht an Ihren Kunden oder Ihre eigene Finanzabteilung mit der Bitte, Zahlungsdaten zu ändern. Kein System wird gehackt. Ihre Identität wird einfach geliehen, weil ein DNS-Record nie gesetzt wurde.

Was das in der Praxis bedeutet

Achten Sie darauf, was alle vier Kategorien gemeinsam haben: Keine davon erfordert es, irgendetwas zu hacken. Es sind Beobachtungen aus öffentlichen Daten über Dinge, die Ihr Unternehmen ins Internet gestellt und nicht mehr überwacht hat. Deshalb ist "Was können Angreifer über uns sehen?" eine bessere erste Sicherheitsfrage als "Können wir gehackt werden?". Die zweite ist spekulativ. Die erste hat eine konkrete, überprüfbare Antwort.

Wenn Sie selbst anfangen möchten, können Sie Ihre Subdomains über Certificate Transparency auflisten, Ihre Domains auf Shodan suchen, Ihre Domain bei Have I Been Pwned prüfen und Ihre eigenen SPF- und DMARC-Records auslesen. Sie werden etwas dazulernen, und jeder dieser Schritte ist kostenlos.

Wo wir ins Spiel kommen

Der schwierige Teil ist nicht das Ausführen der Abfragen. Es ist das Wissen, welche der zweihundert Ergebnisse wichtig sind, welches der tatsächliche Zugangsweg ist und was nur Rauschen ist. Das ist Urteilsvermögen, und genau dieses Urteilsvermögen kaufen Sie ein, wenn Sie Menschen engagieren, die beruflich Systeme angreifen.

Unser $100-Check ist genau diese Übung, nur richtig durchgeführt: Ein gezielter Blick auf Ihre externe Angriffsfläche innerhalb eines Scope, dessen Eigentum Sie bestätigt und schriftlich autorisiert haben, geprüft von einem Senior Operator, geliefert als priorisierter Bericht und ein 30-minütiges Debriefing, in dem ein Mensch Ihre Fragen beantwortet. Es wird Ihre Sicherheit nicht vollständig lösen. Es beendet das Raten darüber, was ein Angreifer sieht, und das ist der richtige Ort, um anzufangen.

Externe Angriffsfläche: Schnelle Antworten

Was ist eine externe Angriffsfläche?

Alles an Ihrem Unternehmen, das aus dem öffentlichen Internet erreichbar ist: jede Domain, jeden Server, jede Login-Seite, jeden Mail-Eintrag und jedes geleakte Passwort, das ein Angreifer finden kann, ohne Ihr Büro oder Ihre Laptops zu berühren. Es ist die Karte, die ein Angreifer zuerst zeichnet.

Wie finden Angreifer Subdomains, die ich vergessen habe?

Meistens über Certificate-Transparency-Logs, ein öffentliches Register jedes jemals ausgestellten TLS-Zertifikats. Kostenlose Tools wie crt.sh ermöglichen es jedem, die Subdomains aufzulisten, für die Sie Zertifikate angefordert haben. Es ist eine Abfrage, kein Hacking.

Kann ich meine eigene externe Angriffsfläche kostenlos überprüfen?

Teilweise. Listen Sie Subdomains über Certificate Transparency auf, suchen Sie Ihre Domains auf Shodan, prüfen Sie Ihre Domain bei Have I Been Pwned und lesen Sie Ihre eigenen SPF- und DMARC-Records aus. Der schwierige Teil ist nicht das Ausführen der Abfragen, sondern das Wissen, welche der Ergebnisse tatsächlich wichtig sind.

Was ist ein Subdomain Takeover?

Wenn eine Subdomain weiterhin auf einen Cloud-Dienst zeigt, den Sie nicht mehr bezahlen, kann ein Angreifer diesen Dienst manchmal übernehmen und eigene Inhalte unter Ihrer Domain bereitstellen. Das ist die direkte Folge eines vergessenen DNS-Records und passiert Unternehmen jeder Größe.

Weiterführende Artikel

• Wie anfällig sind die 1.000 wichtigsten Domains für E-Mail-Spoofing? Unsere eigene Analyse dazu, wer DMARC tatsächlich durchsetzt.
• Wie viel kostet ein Penetrationstest?
• Check, Scan oder vollständiger Pentest?