Kennen Sie Ihre Angriffsfläche? So prüfen Sie Website und E-Mail selbst

Was ist eine „Angriffsfläche"?

Jede Website, jeder E-Mail-Server und jeder Online-Dienst, den eine Organisation betreibt, ist ein möglicher Angriffspunkt für Hacker – zusammengenommen nennt man das ihre Angriffsfläche. Es gibt Werkzeuge, mit denen man prüfen kann, ob solche Systeme sauber konfiguriert sind.

Was du daraus lernst

• Auch kostenlose Sicherheitstools halten nicht ewig – Organisationen müssen sich immer wieder fragen, ob sie noch die besten Werkzeuge nutzen.
• Wenn du selbst mal eine Website baust (z. B. für ein Schulprojekt): Es gibt kostenlose Checker, mit denen du grundlegende Sicherheitseinstellungen prüfen kannst.

Weiterführend: Attack Surface (Wikipedia)

Worum es geht

Organisationen müssen aktiv prüfen, ob ihre Websites und E-Mail-Systeme sicher konfiguriert sind – dafür gibt es spezialisierte Prüfwerkzeuge, sogenannte EASM-Tools (External Attack Surface Management), teils kostenlos, teils kommerziell.

Was das für Sie bedeutet

• Wenn Sie einen Online-Dienst nutzen: Die Sicherheitsprüfung muss aktiv von der Organisation selbst organisiert werden – gut geführte Anbieter tun das kontinuierlich.
• Ein Indiz für seriöse Anbieter: eine klar erreichbare Sicherheits- oder Datenschutzkontaktstelle sowie regelmäßige, kommunizierte Updates.

Weiterführend: Schwachstellen-Scanner (BSI)

Warum Sie Ihre Angriffsfläche aktiv managen sollten

Der Markt für External Attack Surface Management (EASM) ist inzwischen gereift: Kommerzielle Produkte identifizieren alle internetexponierten Assets, prüfen kontinuierlich auf Fehlkonfigurationen und Schwachstellen und decken zusätzlich Bereiche ab, die kostenlose Basistools nie abgedeckt haben.

Was ein gutes EASM-Tool abdecken sollte

• Identifikation aller internetexponierter Assets – auch vergessene Subdomains und Schatten-IT.
• Kontinuierliche Prüfung auf Fehlkonfigurationen und Schwachstellen.
• E-Mail-Sicherheitskonfiguration (SPF, DKIM, DMARC).
• TLS/SSL-Konfigurationsprüfung.
• Idealerweise zusätzlich: Subdomain-Enumeration, Cloud-Asset-Discovery, Dark-Web-Monitoring.

Unsere Handlungsempfehlungen

• Sofort: Prüfen Sie, welche Prüfwerkzeuge Ihre Organisation aktuell nutzt und ob diese noch aktiv gepflegt werden.
• Kommerzielles EASM-Produkt evaluieren: Achten Sie auf Kompatibilität mit BSI-Grundschutz-Anforderungen.
• Kontinuität sicherstellen: Einmalige Checks reichen nicht – Ihre Angriffsfläche verändert sich laufend.

Weiterführend: Leitfaden zur Angriffserkennung (BSI) · DMARC (Wikipedia)