Attack Surface Management ist das fortlaufende Entdecken, Inventarisieren und Bewerten aller von außen erreichbaren Systeme, um vergessene und exponierte Angriffspunkte zu schließen.
Attack Surface Management (ASM) ist der fortlaufende Prozess, alle von außen erreichbaren Systeme einer Organisation zu entdecken, zu inventarisieren, zu bewerten und zu überwachen. Gemeint ist die externe Angriffsfläche: Webserver, VPN-Portale, Mail-Gateways, Cloud-Dienste, APIs, Subdomains, exponierte Verwaltungsschnittstellen und alles andere, was ein Angreifer aus dem Internet sieht. ASM nimmt bewusst die Außenperspektive ein – es beginnt dort, wo die Reconnaissance eines Angreifers beginnt, und nutzt dieselben Quellen wie OSINT.
Der Kern des Problems ist nicht das Scannen bekannter Systeme, sondern das Entdecken unbekannter. Organisationen schützen, was sie kennen, und werden über das angegriffen, was sie vergessen haben.
Die vier Schritte
- Entdeckung: Ausgehend von bekannten Domänen und IP-Bereichen werden über DNS, Zertifikatsprotokolle, Internet-Scanner und Registerdaten verbundene Systeme aufgespürt – auch solche, die niemand mehr auf dem Schirm hat: Testumgebungen, Marketing-Seiten, Systeme übernommener Tochterfirmen, Reste alter Migrationen (Shadow IT).
- Inventarisierung: Jedes gefundene System wird einem Eigentümer, einer Technologie und einem Zweck zugeordnet. Ohne diese Zuordnung bleibt die Liste wertlos.
- Bewertung: Exponierte Dienste werden auf bekannte Schwachstellen, Fehlkonfigurationen, veraltete Verschlüsselung und unnötige Erreichbarkeit geprüft – häufig verzahnt mit einem Schwachstellenscan.
- Überwachung: Die Angriffsfläche ändert sich täglich. ASM läuft kontinuierlich und meldet neue, veränderte oder verschwundene Systeme.
Gute ASM-Programme beziehen auch Dritte ein: Dienstleister, die unter Ihrer Marke auftreten, oder Cloud-Ressourcen, die außerhalb der klassischen IT entstanden sind.
Bedeutung für Unternehmen
ASM adressiert eine der häufigsten Ursachen erfolgreicher Angriffe: die vergessene, ungepatchte, exponierte Maschine. Laut Mandiant M-Trends 2026 waren ausgenutzte Schwachstellen mit 32 Prozent der häufigste Erstzugriff – oft in Systemen, die niemand mehr pflegte. Der BSI-Lagebericht 2025 nennt durchschnittlich 119 neue Schwachstellen pro Tag; ohne vollständiges Inventar lässt sich nicht beurteilen, welche davon die eigene Angriffsfläche betreffen.
Ein typischer Fehler ist, ASM mit einem einmaligen Inventar zu verwechseln. Die Angriffsfläche ist kein Zustand, sondern ein bewegliches Ziel: Jede neue Cloud-Ressource, jede Marketing-Kampagne mit eigener Subdomain, jede Übernahme verändert sie. Ein zweiter Fehler ist, gefundene Systeme nicht zuzuordnen – ohne Eigentümer wird keine Lücke geschlossen.
Praxis-Hinweise
- Lassen Sie Ihre Angriffsfläche aus der Außenperspektive kontinuierlich erfassen und gleichen Sie das Ergebnis mit Ihrem internen Inventar ab.
- Weisen Sie jedem exponierten System einen Eigentümer zu; nur so führt ein Befund zu einer Maßnahme.
- Reduzieren Sie die Fläche aktiv: Was nicht öffentlich erreichbar sein muss, gehört hinter VPN oder abgeschaltet.
- Nutzen Sie die ASM-Erkenntnisse zur Priorisierung von Penetrationstests – die exponiertesten und wichtigsten Systeme zuerst.