Reconnaissance ist die Aufklärungsphase eines Angriffs, in der Angreifer passiv und aktiv Informationen über Ziel, Systeme und Personen sammeln, um den erfolgversprechendsten Einstieg zu wählen.
Reconnaissance (Aufklärung) ist die erste Phase jedes gezielten Angriffs. Bevor ein Angreifer eine einzige Schwachstelle ausnutzt oder eine Phishing-Mail versendet, lernt er sein Ziel kennen: Welche Systeme sind erreichbar, welche Software läuft dort, wer arbeitet in welcher Rolle, welche Dienstleister haben Zugang, welche Schutzmaßnahmen sind erkennbar? In der Cyber Kill Chain ist Reconnaissance der erste von sieben Schritten; in MITRE ATT&CK bildet sie zusammen mit Resource Development die Vorbereitungstaktiken, die der eigentlichen Kompromittierung vorausgehen.
Für ein Red Team ist die Aufklärung die Phase mit dem höchsten Hebel. Ein bis zwei Wochen gründliche Recherche entscheiden häufig darüber, ob der Erstzugriff beim ersten Versuch gelingt oder wochenlang scheitert.
Passive und aktive Aufklärung
Die Phase gliedert sich nach dem Grad der Interaktion mit dem Ziel:
- Passive Reconnaissance: Auswertung öffentlich verfügbarer Quellen (OSINT) – Register, DNS-Daten, Zertifikatsprotokolle, Stellenanzeigen, Karriereprofile, Datenlecks, Internet-Scanner. Das Ziel bemerkt davon nichts.
- Aktive Reconnaissance: Direkte Interaktion mit Systemen des Ziels – Portscans, Erkennen von Diensten und Versionen, Aufruf von Webanwendungen, Prüfen von Login-Portalen, Versand harmloser Test-E-Mails zur Erkennung von Mail-Filtern. Diese Schritte hinterlassen Spuren in Logs und können erkannt werden.
- Soziale Aufklärung: Anrufe unter Vorwand, um Zuständigkeiten, Prozesse oder eingesetzte Werkzeuge zu erfragen; Beobachtung von Gebäuden, Zugangskontrollen und Lieferverkehr.
Das Ergebnis ist ein Zielbild: eine Karte der Angriffsfläche mit priorisierten Einstiegspunkten für den Initial Access. Erfahrene Teams verbringen oft ein Drittel der aktiven Testzeit mit Aufklärung, weil sie dort die Pfade finden, die Scanner und Standardprüfungen übersehen.
Bedeutung für Unternehmen
Aufklärung ist die einzige Angriffsphase, die Sie weitgehend selbst beeinflussen können, ohne ein einziges System zu härten: Was nicht auffindbar ist, wird nicht angegriffen. Laut Mandiant M-Trends 2026 waren ausgenutzte Schwachstellen in exponierten Systemen mit 32 Prozent der häufigste Erstzugriff – Systeme, die Angreifer zuvor per Aufklärung identifiziert hatten. Gleichzeitig ist aktive Aufklärung ein frühes Erkennungssignal: Portscans auf ungewöhnliche Dienste oder gehäufte Anmeldeversuche auf einem VPN-Portal zeigen einen Angreifer, bevor er Schaden anrichtet.
Ein typischer Fehler ist das Fehlen eines vollständigen Inventars. Organisationen schützen, was sie kennen, und werden über Systeme angegriffen, die sie vergessen haben – Testumgebungen, übernommene Tochterfirmen, Altsysteme nach Migrationen.
Praxis-Hinweise
- Führen Sie ein aktuelles Inventar aller extern erreichbaren Systeme und gleichen Sie es regelmäßig mit einer Außensicht ab.
- Reduzieren Sie Informationspreisgabe: Versionsbanner, ausführliche Fehlermeldungen und Metadaten in Dokumenten helfen Angreifern unnötig.
- Werten Sie Aufklärungsspuren aus – Scans, Enumerationsversuche, Anfragen an nicht existierende Hosts – statt sie als Hintergrundrauschen abzutun.
- Lassen Sie die Aufklärungsphase im Red-Team-Bericht ausführlich dokumentieren: Sie zeigt, wie Ihr Unternehmen von außen wirkt.