Jedes zusätzliche System und jeder neue Cloud-Dienst erweitert die Handlungsmöglichkeiten eines Unternehmens – und gleichzeitig die seiner Angreifer. Auffällig viele Vorfälle nehmen ihren Anfang an Stellen, die intern längst in Vergessenheit geraten waren: ein nie abgebauter Testserver etwa oder ein verwaistes Konto mit weitreichenden Berechtigungen. Der Begriff Angriffsfläche bündelt alle diese Punkte zu einer Größe, die sich erfassen und steuern lässt.
Für IT-Verantwortliche zählt die Angriffsfläche zu den praktischsten Konzepten der Sicherheitsarbeit. Sie macht aus der abstrakten Frage nach dem Sicherheitsniveau eine handfeste: An welchen Stellen sind wir angreifbar – und welche dieser Stellen benötigt der Betrieb überhaupt?
Was ist eine Angriffsfläche?
Als Angriffsfläche (englisch Attack Surface) gilt die Gesamtheit aller Punkte, an denen ein Angreifer ansetzen kann, um in Systeme einzudringen, Daten zu entwenden oder Prozesse zu stören. Darunter fallen technische Zugänge – erreichbare Server, offene Ports, Schnittstellen, Webanwendungen – genauso wie Benutzerkonten, Zugangsdaten und die Personen, die diese Systeme bedienen.
Entscheidend ist die Perspektive: Die Angriffsfläche wird aus Sicht des Angreifers bestimmt. Maßgeblich ist, was von außen oder von einem bereits übernommenen System aus tatsächlich erreichbar ist – nicht, was die interne Dokumentation verzeichnet. Vergessene Systeme, Schatten-IT und Altlasten gehören deshalb ausdrücklich dazu; bei Vorfällen erweisen sich gerade diese Punkte oft als die gefährlichsten.
Eine einfache Faustregel: Je größer und unübersichtlicher die Angriffsfläche, desto höher die Wahrscheinlichkeit, dass ein Angreifer irgendwo eine verwundbare Stelle entdeckt. Ihre Kontrolle und Verkleinerung gehört daher zu den Kernzielen moderner Sicherheitskonzepte wie Zero Trust.
Bestandteile der Angriffsfläche
Bewährt hat sich in der Praxis eine Gliederung in vier Bereiche:
- Externe Angriffsfläche: Alles, was aus dem Internet erreichbar ist – Websites, Webanwendungen, APIs, VPN-Einwahlpunkte, Mailserver, exponierte Administrationszugänge. Diese Punkte stehen unter permanentem, automatisiertem Beschuss durch Scanner.
- Interne Angriffsfläche: Systeme und Verbindungen innerhalb des eigenen Netzes. Sie gewinnt an Bedeutung, sobald ein erster Zugangspunkt gefallen ist: In flachen, unsegmentierten Netzen kann sich ein Angreifer dann ungehindert von System zu System bewegen.
- Cloud-Angriffsfläche: Cloud-Ressourcen, SaaS-Dienste und deren Konfigurationen. Überdimensionierte Berechtigungen, öffentlich erreichbare Speicherdienste und ungenutzte Instanzen zählen zu den häufigsten Schwachpunkten.
- Menschliche Angriffsfläche: Beschäftigte, die per Phishing, Social Engineering oder mit gestohlenen Zugangsdaten angegriffen werden. Jedes Konto mit Zugriff auf Unternehmenssysteme ist Teil dieser Fläche.
Zur Erfassung kombinieren Organisationen mehrere Methoden: eine gepflegte Inventarisierung aller Systeme und Dienste, wiederkehrende Scans der von außen sichtbaren Infrastruktur und Prüfungen der Cloud-Konfigurationen. Größere Umgebungen ergänzen Attack Surface Management (ASM) – Werkzeuge, die die Außensicht auf das Unternehmen laufend erheben und Veränderungen melden. Wichtig ist die Regelmäßigkeit: Mit jedem neuen System und jedem weiteren Dienst verschiebt sich die Angriffsfläche.
Warum die Angriffsfläche zählt
- Weniger Einstiegspunkte: Jedes stillgelegte Altsystem und jeder geschlossene Zugang bedeutet eine Angriffsmöglichkeit weniger. Reduktion wirkt vorbeugend – bevor überhaupt Schwachstellen entstehen.
- Begrenzter Schadensradius: Ist die interne Angriffsfläche segmentiert, endet die Ausbreitung eines Angriffs an der Zonengrenze. Ein kompromittiertes Endgerät führt dann nicht zum Totalausfall.
- Gezielter Ressourceneinsatz: Wer seine Angriffsfläche kennt, konzentriert Budget und Aufmerksamkeit auf tatsächlich exponierte Systeme, statt Schutzmaßnahmen mit der Gießkanne zu verteilen.
- Kürzere Reaktionszeiten: Ein aktuelles Bild der eigenen Zugänge beschleunigt die Bewertung neuer Bedrohungen. Wird eine kritische Lücke publik, lässt sich sofort klären, ob und wo sie das Unternehmen betrifft.
- Regulatorische Pflichten: Vorgaben wie NIS2 und Standards wie ISO 27001 fordern einen belegbaren Überblick über Systeme und Risiken. Ein gepflegtes Bild der Angriffsfläche liefert genau diese Grundlage.
Typische Anlässe für eine Analyse
- Cloud-Migration: Vor und nach dem Umzug von Anwendungen zeigt eine Bestandsaufnahme, welche neuen Zugänge hinzugekommen sind und welche Altsysteme sich abschalten lassen.
- Homeoffice und Fernzugriff: Mobiles Arbeiten erweitert die Angriffsfläche um private Netze und zusätzliche Zugangswege. Eine Bewertung klärt, welche Schutzmaßnahmen der Fernzugriff braucht.
- Fusionen und Übernahmen: Wer eine Firma kauft, kauft deren Angriffsfläche mit. Eine frühe Analyse verhindert, dass fremde Altlasten unbemerkt zum eigenen Risiko werden.
- Vorbereitung von Penetrationstests: Die Erfassung der Angriffsfläche steckt den Prüfumfang ab und stellt sicher, dass ein Penetrationstest die wirklich exponierten Systeme trifft.
- Laufende Härtung: Wiederkehrende Prüfungen decken schleichenden Wildwuchs auf – vergessene Subdomains, verwaiste Konten, ungenutzte Dienste.
Abgrenzung: Angriffsfläche, Schwachstelle, Risiko
Die drei Begriffe werden häufig durcheinandergebracht, meinen aber Unterschiedliches. Die Angriffsfläche umfasst alle denkbaren Angriffspunkte – unabhängig davon, ob sie aktuell verwundbar sind. Eine Schwachstelle ist ein konkreter, ausnutzbarer Fehler an einem dieser Punkte, etwa eine veraltete Softwareversion oder eine Fehlkonfiguration.
Das Risiko bewertet die Kombination aus beidem: Wie wahrscheinlich wird eine Schwachstelle ausgenutzt, und welcher Schaden würde entstehen? Ein internes Testsystem mit einer bekannten Lücke trägt ein anderes Risiko als ein öffentlich erreichbarer Webshop mit exakt derselben Lücke.
Daraus folgt für die Praxis: Die Verkleinerung der Angriffsfläche wirkt breiter als das Schließen einzelner Lücken. Ein abgeschaltetes oder von außen unsichtbares System muss nie wieder gepatcht werden. Schwachstellenmanagement bleibt trotzdem unverzichtbar – beide Disziplinen greifen ineinander. Bei der internen Angriffsfläche setzen viele Organisationen auf spezialisierte Dienstleister, etwa für Mikrosegmentierung, die Systeme in isolierte Zonen trennt und die Ausbreitung von Angriffen unterbindet.
Häufige Fragen
Welche Punkte zählen zur Angriffsfläche eines Unternehmens?
Sämtliche Stellen, an denen Angreifer einwirken können: aus dem Internet erreichbare Systeme wie Websites, APIs und Fernzugänge, interne Systeme samt Netzwerkverbindungen, Cloud-Dienste einschließlich ihrer Konfigurationen sowie Benutzerkonten und Beschäftigte als Phishing-Ziele. Ebenfalls dazu gehören vergessene Altsysteme und Schatten-IT – auch wenn sie in keinem Inventar auftauchen.
Was unterscheidet die Angriffsfläche von einer Schwachstelle?
Die Angriffsfläche benennt, wo ein Angriff grundsätzlich ansetzen kann – alle erreichbaren Systeme, Zugänge und Konten. Eine Schwachstelle ist ein konkreter, ausnutzbarer Fehler an einem dieser Punkte, etwa eine veraltete Software. Je größer die Angriffsfläche, desto wahrscheinlicher existiert irgendwo eine ausnutzbare Schwachstelle – und desto eher wird sie gefunden.
Wie verkleinert man die Angriffsfläche?
Durch eine Mischung aus Aufräumen und Architektur: ungenutzte Systeme, Dienste und Konten stilllegen, Zugänge auf das Notwendige begrenzen und Multi-Faktor-Authentifizierung verpflichtend machen. Auf Architekturebene wirken die Segmentierung des internen Netzes und Zero-Trust-Zugriffe, die Anwendungen von außen unsichtbar machen. Nötig ist ein wiederkehrender Prozess – jede Änderung an der IT verändert auch die Angriffsfläche.
Was leistet Attack Surface Management (ASM)?
Attack Surface Management steht für die fortlaufende Erfassung, Bewertung und Überwachung der eigenen Angriffsfläche, typischerweise aus der Außenperspektive eines Angreifers. Die Werkzeuge spüren automatisiert exponierte Systeme, Subdomains, offene Dienste und Konfigurationsfehler auf und melden Veränderungen. ASM ersetzt keine Schutzmaßnahmen – es liefert die Übersicht, ohne die gezielte Absicherung kaum gelingt.
Warum vergrößern Cloud und Homeoffice die Angriffsfläche?
Beide verlagern Systeme und Zugriffe aus dem geschützten Firmennetz hinaus. Jeder Cloud-Dienst bringt eigene Zugänge, Schnittstellen und Konfigurationen mit, die korrekt abzusichern sind. Homeoffice fügt private Netzwerke, zusätzliche Geräte und Fernzugriffswege hinzu. Ohne Gegenmaßnahmen – Zero-Trust-Zugriffe, klare Cloud-Richtlinien – entstehen so laufend neue, oft unbemerkte Angriffspunkte.