Die Angriffsfläche umfasst alle Punkte, an denen ein Angreifer mit einem System, einer Organisation oder ihren Mitarbeitenden in Kontakt treten kann – technisch, menschlich und physisch.
Die Angriffsfläche (Attack Surface) einer Organisation ist die Summe aller Stellen, an denen ein Angreifer ansetzen kann: jeder aus dem Internet erreichbare Dienst, jede Anwendung, jedes Benutzerkonto, jede Schnittstelle zu Dienstleistern, jede Mitarbeiterin, die eine E-Mail öffnet, und jede Tür, die aufgehalten wird. Je größer die Angriffsfläche, desto mehr Möglichkeiten hat ein Angreifer, und desto schwerer wird es für die Verteidigung, alles im Blick zu behalten.
Der Begriff ist für Red Teams der Ausgangspunkt jeder Operation. Bevor wir angreifen, kartieren wir die Angriffsfläche aus Sicht eines Außenstehenden. Erfahrungsgemäß ist sie größer, als das Unternehmen selbst annimmt.
Drei Dimensionen der Angriffsfläche
- Digitale Angriffsfläche: öffentlich erreichbare Server, Webanwendungen, APIs, VPN-Zugänge, Cloud-Dienste, E-Mail-Infrastruktur, aber auch Quellcode-Repositories, DNS-Einträge und Zertifikate. Dazu kommen intern alle Systeme, Dienste und Konten, die ein Angreifer nach dem ersten Zugang erreichen kann.
- Menschliche Angriffsfläche: Mitarbeitende, deren Namen, Rollen und Kontaktdaten über OSINT auffindbar sind und die über Phishing, Vishing oder Pretexting angesprochen werden können. Laut Mandiant M-Trends 2026 lag Vishing mit 11 Prozent auf Platz zwei der Erstzugriffsvektoren.
- Physische Angriffsfläche: Gebäude, Empfang, Zutrittssysteme, Netzwerkdosen in Besprechungsräumen, Drucker, Müllcontainer mit Dokumenten.
Die Angriffsfläche ist nicht statisch. Jede neue Cloud-Anwendung, jede Testumgebung, jede Fusion und jeder Dienstleister erweitert sie, oft ohne dass die Sicherheitsabteilung davon erfährt. Schatten-IT ist das klassische Beispiel.
Bedeutung für Unternehmen
Die meisten Unternehmen kennen ihre Angriffsfläche nur teilweise. Der BSI-Lagebericht 2025 stellte bei 47 Prozent der untersuchten IP-Adressen öffentlich erreichbare sensible Informationen fest. In unseren Projekten finden wir regelmäßig vergessene Subdomains mit alten Anwendungen, Entwicklungssysteme mit Produktivdaten, Fernwartungszugänge von Lieferanten und Konten ehemaliger Mitarbeitender. Jeder dieser Punkte ist ein potenzieller Initial Access.
Für Entscheider zählt: Was man nicht kennt, kann man nicht schützen. Die Reduktion der Angriffsfläche ist die wirtschaftlichste Sicherheitsmaßnahme, weil sie Kosten für Schutz, Überwachung und Reaktion gleichzeitig senkt. Ein abgeschalteter Dienst braucht kein Patchmanagement und erzeugt keine Alarme.
Praxis-Hinweise
- Inventarisieren Sie die externe Angriffsfläche aus Angreifersicht: Domains, IP-Bereiche, Cloud-Tenants, SaaS-Dienste. Attack Surface Management automatisiert diese Sicht.
- Schalten Sie ab, was nicht gebraucht wird, und stellen Sie den Rest hinter MFA und aktuelles Patching.
- Beziehen Sie die menschliche Dimension ein: Welche Informationen über Mitarbeitende, Prozesse und Technik sind öffentlich auffindbar und erleichtern Social Engineering?
- Lassen Sie die Angriffsfläche regelmäßig extern prüfen. Ein Penetrationstest der exponierten Systeme zeigt, welche Punkte tatsächlich ausnutzbar sind.
- Verankern Sie Änderungsprozesse: Jedes neue System, jeder Dienstleister und jede Cloud-Anwendung wird der Sicherheitsabteilung gemeldet.