Was ist Attack Surface Management? Die Angriffsfläche verstehen.

Definition: Was ist die Angriffsfläche?

Die Angriffsfläche umfasst alle Punkte, an denen ein Angreifer ansetzen kann: Domains und Subdomains, öffentliche IP-Adressen, offene Ports, Webanwendungen, Cloud-Dienste, Zugänge wie VPN und Remote-Desktop, aber auch Benutzerkonten und Berechtigungen. Jedes neue System, jeder Cloud-Dienst und jedes vergessene Testsystem vergrößert sie.

Attack Surface Management macht diese Fläche sichtbar – nicht einmalig, sondern laufend, weil sie sich täglich ändert.

Externe und interne Angriffsfläche (EASM)

Man unterscheidet die externe Angriffsfläche – alles, was aus dem Internet erreichbar ist – und die interne Angriffsfläche im eigenen Netz. External Attack Surface Management (EASM) konzentriert sich auf den externen Teil und arbeitet von außen, ohne Agenten: Es geht von einer Domain oder einem Firmennamen aus und findet verbundene Assets über DNS, Zertifikate, IP-Bereiche und eigene Scans.

Gerade extern tauchen oft Systeme auf, die in keinem Inventar stehen: alte Kampagnenseiten, Testumgebungen, von Fachbereichen gebuchte Cloud-Dienste (Schatten-IT).

So läuft Attack Surface Management ab

• Erkennen: Assets aus öffentlichen Quellen und eigenen Scans ermitteln.
• Inventarisieren: Jedem Asset Verantwortliche, Geschäftswert und Herkunft zuordnen.
• Bewerten: Schwachstellen, Fehlkonfigurationen und Erreichbarkeit prüfen.
• Priorisieren: Nach tatsächlichem Risiko sortieren, nicht nach Anzahl der Befunde.
• Überwachen: Änderungen wie neue Ports oder ablaufende Zertifikate sofort melden.

Warum ASM für NIS2 und ISO 27001 wichtig ist

Ohne aktuelles Inventar lassen sich Risiken weder bewerten noch behandeln. ISO/IEC 27001 fordert ein Inventar der Werte (Anhang A 5.9), NIS2 ein angemessenes Risikomanagement einschließlich Umgang mit Schwachstellen. ASM liefert dafür die technische Grundlage und den Nachweis, dass das Inventar laufend gepflegt wird.

ASM, Schwachstellenmanagement und Exposure Management

ASM beantwortet die Frage „Was haben wir?“. Das Schwachstellenmanagement fragt „Wo sind diese Systeme verwundbar?“. Exposure Management verbindet beides und fragt „Welche dieser Schwachstellen führt tatsächlich zu unseren kritischen Systemen?“ – etwa über Angriffspfade. Zusammen bilden sie den Kern von Continuous Threat Exposure Management (CTEM).