Angriffsfläche überwachen als kleines Unternehmen: was zählt
Was Angreifer von Ihrem Unternehmen sehen, bevor sie etwas versuchen, die sieben Bereiche zum Beobachten, in welchem Takt, und wie es ohne Sicherheitsteam geht.
Bevor Angreifer etwas gegen ein Unternehmen versuchen, schauen sie sich um. Sie müssen Ihre Server dafür nicht berühren: Ihr DNS, die Zertifikats-Logs, öffentliche Indizes erreichbarer Dienste, Webarchive und Code-Plattformen enthalten das meiste, was sie brauchen. External Attack Surface Management heißt, diese Aufklärung regelmäßig an sich selbst durchzuführen, um sie zuerst zu sehen.
Große Unternehmen kaufen das als Produkt mit Team dahinter. Ein kleines Unternehmen bekommt den größten Teil des Nutzens, wenn es weiß, was es beobachten muss und wie oft.
Die sieben Bereiche, die zählen
1. Domains und Subdomains. Jeder Name unter Ihrer Domain ist eine Tür. Die vollständige Liste ist öffentlich: Jedes HTTPS-Zertifikat wird in Certificate-Transparency-Logs eingetragen, sodass altes-crm.ihre-domain.de noch Jahre nach der Stilllegung auffindbar bleibt. Achten Sie auf neue Namen, die Sie nicht angelegt haben, und auf alte, die noch irgendwohin zeigen. Siehe Certificate-Transparency-Überwachung und Übernahme von Subdomains.
2. E-Mail. Kann jemand in Ihrem Namen E-Mails senden? SPF, DKIM und eine durchgesetzte DMARC-Richtlinie beantworten das. Kommen E-Mails an Sie verschlüsselt an? MTA-STS. Das sind die Kontrollen, die Rechnungsbetrug verhindern. Siehe SPF, DKIM und DMARC.
3. Zertifikate und Domain-Registrierung. Ein abgelaufenes Zertifikat legt Ihre Website lahm; eine abgelaufene Domain kann jemand anderes kaufen, samt aller E-Mails. Beides sind Daten, und Daten lassen sich überwachen.
4. Web-Konfiguration. Überall HTTPS, aktuelles TLS, die Sicherheits-Header, keine vergessenen Verwaltungsseiten, keine Skripte von Dritten ohne Integritätsprüfung, keine Tracker vor der Einwilligung.
5. Erreichbare Dienste. Andere Ports als das Web, die dem Internet antworten: Remote Desktop, Datenbanken, Verwaltungsseiten, und die bekannten Schwachstellen ihrer Versionen. Siehe Offene Ports.
6. Lecks. Alte Backups in Webarchiven, Passwörter und Schlüssel in öffentlichem Code, der Ihre Domain nennt, Adressen Ihrer Beschäftigten in bekannten Datenlecks. Siehe API-Schlüssel auf GitHub geleakt.
7. Doppelgänger und Nachahmung. Domains, die einen Tippfehler von Ihrer entfernt sind, mit Mailservern oder Anmeldeseite registriert, und Kopien Ihrer Website. Siehe Lookalike-Domains.
In welchem Takt
Angreifer schauen laufend, ein kleines Unternehmen muss das nicht. Ein vernünftiger Rhythmus:
- wöchentlich das Gesamtbild, verglichen mit der Vorwoche: was neu ist, was behoben wurde, was schlechter wurde;
- täglich oder stündlich das, was sich schnell ändert und schnell schadet: neue Zertifikate für Ihre Domain, eine ausgefallene Website, ein neuer Doppelgänger mit Anmeldeseite;
- sofort nach einer eigenen Änderung: neuer Mailanbieter, neue Website, umgezogener Server.
Der Vergleich ist das Entscheidende. Eine Liste mit 40 Befunden erschlägt einmal; eine wöchentliche Notiz „eine neue Subdomain, zwei Befunde behoben“ liest auch ein beschäftigter Mensch.
Zuerst passiv
Alles Obige lässt sich herausfinden, ohne ein einziges Paket zu senden, das eine Firewall als Angriff werten würde: durch Lesen von DNS, Logs, Indizes und Archiven, die es schon gibt. Deshalb kann es jede Woche laufen, ohne weitere Erlaubnis als Ihre eigene und ohne Risiko für Ihre Systeme. Aktive Tests (Ports scannen, Anwendungen abtasten) gehen weiter und brauchen eine schriftliche Einwilligung und Sorgfalt; sie ergänzen, sie sind kein Startpunkt.
Von Befunden zu Korrekturen
Ein Befund nützt nur, wenn jemand handeln kann. Für jeden wollen Sie wissen, wie schwer er wiegt, was genau zu ändern ist (der DNS-Eintrag, der Header, die Einstellung) und ob die Änderung gewirkt hat. Bündeln Sie Korrekturen nach Zuständigkeit: Einstellungen des Mailanbieters, DNS, Hoster, Entwickler. Dann erneut prüfen.
Wie Perimetry das macht
Perimetry Cloud führt dieses externe Audit für Ihre Domains jede Woche durch (in den Agency-Tarifen täglich), passiv und von außen. Es vergleicht jedes Audit mit dem vorherigen, erklärt jeden Befund verständlich mit dem genauen Eintrag oder der Einstellung, die zu ändern ist, lässt Sie eine Korrektur mit einem Klick prüfen und ordnet Befunde NIS2, ISO 27001 und Cyber Essentials zu. Zertifikate, Erreichbarkeit, DMARC-Berichte und Doppelgänger werden zwischen den Audits überwacht. Eine Domain ist kostenlos.