Das Wichtigste in Kürze
- Die Perspektive des Angreifers: EASM analysiert Organisationen ausschliesslich von aussen – ohne Installation von Agenten oder internem Vorwissen.
- Schatten-IT als Haupteinfallstor: Mehr als 60 % aller erfolgreichen Cyberangriffe starten auf Systemen, die der internen IT-Abteilung gar nicht bekannt oder nicht mehr präsent waren.
- Dynamische Veränderung: Ein jährlicher Pentest reicht nicht aus, wenn Marketing-Agenturen wöchentlich neue Kampagnen-Websites aufschalten oder Cloud-Entwickler Ports temporär öffnen.
- Automatisierte Entdeckung: Suisse Guard kombiniert EASM mit menschlicher Verifikation für maximale Treffsicherheit ohne Falschmeldungen.
1. Was bedeutet External Attack Surface Management (EASM)?
EASM beschreibt die kontinuierliche Entdeckung, Analyse, Überwachung und Absicherung aller digitalen Unternehmenswerte, die aus dem öffentlichen Internet erreichbar sind. Dazu gehören:
- IP-Adressbereiche, ASN-Routen und offene Ports.
- Subdomains und verwaiste DNS-Einträge (CNAMEs).
- Webanwendungen, APIs und Administrationsportale.
- Cloud-Speicher (Amazon S3, Azure Blob, Google Cloud Storage).
- SSL/TLS-Zertifikate und deren Gültigkeit.
- E-Mail-Serverkonfigurationen und DNS-Sicherheits-Header.
2. Die Entstehung der «digitalen Dunkelziffer»
Wie kommt es, dass Schweizer Unternehmen den Überblick über ihre Aussenfläche verlieren? Drei typische Ursachen:
1. Verwaiste Subdomains und Subdomain Takeover
Ein Beispiel aus der Praxis: Eine Firma beauftragt eine Marketingagentur für ein Jubiläumsprojekt. Die IT richtet die Subdomain jubilaeum.unternehmen.ch ein und verweist per CNAME-Record auf einen externen Hoster (z. B. GitHub Pages oder AWS S3). Nach der Kampagne kündigt die Agentur das Hosting. Der CNAME-Eintrag im DNS des Unternehmens bleibt jedoch aktiv. Ein Angreifer registriert denselben Namen beim Hoster und kapert die offizielle Subdomain des Unternehmens, um Phishing mit gültigem SSL-Zertifikat zu betreiben.
2. Entwicklungsumgebungen und Testserver (Staging Leaks)
Software-Entwickler wollen schnell testen. Auf einer Subdomain wie dev-api.unternehmen.ch wird eine Testinstanz aufgesetzt. Um Debugging zu erleichtern, werden Sicherheitsmechanismen wie Authentifizierung oder Ratenbegrenzung deaktiviert. Oft enthält die Testdatenbank sogar eine Kopie realer Kundendaten. Wird der Testserver vergessen, steht das Tor für Täter meilenweit offen.
3. Fusionen, Akquisitionen und Tochtergesellschaften
Wird eine andere Schweizer Firma übernommen, erbt man deren IT-Historie mit. Bis alle Systeme inventarisiert sind, vergehen oft Monate. In dieser Übergangszeit schlagen Angreifer zu.
| EASM-Phase | Aktivität | Eingesetzte Werkzeugklasse |
|---|---|---|
| 1. Discovery | Auffinden aller Domänen, Subdomains, IP-Ranges & Cloud-Assets | Passive DNS-Feeds, Certificate Transparency Logs, BGP-Routing-Tabellen |
| 2. Enumeration | Port-Scans, Banner-Grabbing, Service-Erkennung | Nicht-intrusive Netzwerk-Scanner, HTTP-Header-Prüfer |
| 3. Vulnerability Mapping | Abgleich erkannter Versionen mit CVE-Datenbanken & CISA KEV | KI-gestützte Korrelation, Exploit-Reife-Bewertung |
| 4. Prioritization | Aussortieren von False Positives, Bewertung der tatsächlichen Ausnutzbarkeit | Manuelle Analystenprüfung der Suisse IT |
3. Praxis-Checkliste: DNS-Hygiene und Angriffsflächenreduktion
- DNS-Audit durchführen: Löschen Sie alle CNAME- und A-Records, die auf nicht mehr existierende Cloud-Services oder alte Webhostings verweisen.
- Management-Ports sperren: Schliessen Sie alle administrativen Schnittstellen (SSH, RDP, MySQL, Postgres, Telnet) gegen das öffentliche Internet ab. Zugriff darf ausschliesslich via VPN mit MFA erfolgen.
- Strikte Staging-Trennung: Testsysteme gehören hinter ein VPN oder eine Basic-Auth-Schranke und dürfen niemals reale Produktivdaten enthalten.
- Kontinuierliches Monitoring: Die Angriffsfläche ändert sich dynamisch. Mit den Suisse Guard Überwachungspaketen werden neue offene Ports oder verwaiste Subdomains sofort erkannt.
Kennen Sie Ihre gesamte digitale Angriffsfläche?
Lassen Sie Ihre Aussenfläche mit der Bedrohungsanalyse von Suisse Guard erfassen und absichern.
