Kennen Sie Ihre Angriffsfläche? So prüfen Sie Website und E-Mail selbst

Was ist eine „Angriffsfläche"?

Jede Website, jeder E-Mail-Server und jeder Online-Dienst, den eine Organisation betreibt, ist ein möglicher Angriffspunkt für Hacker. Zusammengenommen nennt man das ihre Angriffsfläche. Es gibt Werkzeuge, mit denen man prüfen kann, ob solche Systeme sauber konfiguriert sind.

Was du daraus lernst

• Auch kostenlose Sicherheitstools halten nicht ewig. Organisationen müssen sich immer wieder fragen, ob sie noch die besten Werkzeuge nutzen.
• Wenn du selbst mal eine Website baust (z. B. für ein Schulprojekt): Es gibt kostenlose Checker, mit denen du grundlegende Sicherheitseinstellungen prüfen kannst.

Weiterführend: Attack Surface (Wikipedia)

Worum es geht

Organisationen müssen aktiv prüfen, ob ihre Websites und E-Mail-Systeme sicher konfiguriert sind. Dafür gibt es spezialisierte Prüfwerkzeuge, sogenannte EASM-Tools (External Attack Surface Management), teils kostenlos, teils kommerziell.

Was das für Sie bedeutet

• Wenn Sie einen Online-Dienst nutzen: Die Sicherheitsprüfung muss aktiv von der Organisation selbst organisiert werden. Gut geführte Anbieter tun das kontinuierlich.
• Ein Indiz für seriöse Anbieter: eine klar erreichbare Sicherheits- oder Datenschutzkontaktstelle sowie regelmäßige, kommunizierte Updates.

Weiterführend: Schwachstellen-Scanner (BSI)

Warum Sie Ihre Angriffsfläche aktiv managen sollten

Der Markt für External Attack Surface Management (EASM) ist inzwischen gereift: Kommerzielle Produkte identifizieren alle internetexponierten Assets, prüfen kontinuierlich auf Fehlkonfigurationen und Schwachstellen und decken zusätzlich Bereiche ab, die kostenlose Basistools nie abgedeckt haben.

Was ein gutes EASM-Tool abdecken sollte

• Identifikation aller internetexponierter Assets, auch vergessene Subdomains und Schatten-IT.
• Kontinuierliche Prüfung auf Fehlkonfigurationen und Schwachstellen.
• E-Mail-Sicherheitskonfiguration (SPF, DKIM, DMARC).
• TLS/SSL-Konfigurationsprüfung.
• Idealerweise zusätzlich: Subdomain-Enumeration, Cloud-Asset-Discovery, Dark-Web-Monitoring.

Unsere Handlungsempfehlungen

• Sofort: Prüfen Sie, welche Prüfwerkzeuge Ihre Organisation aktuell nutzt und ob diese noch aktiv gepflegt werden.
• Kommerzielles EASM-Produkt evaluieren: Achten Sie auf Kompatibilität mit BSI-Grundschutz-Anforderungen.
• Kontinuität sicherstellen: Einmalige Checks reichen nicht. Ihre Angriffsfläche verändert sich laufend.

Weiterführend: Leitfaden zur Angriffserkennung (BSI) · DMARC (Wikipedia)