Ein Audit liest, was jeder im Internet bereits über Ihre Domain lesen kann, so wie ein Angreifer anfangen würde: DNS, Zertifikatslogs, die Antworten, die Ihre Server jedem Besucher geben, öffentliche Datensätze. Es dauert ein bis zwei Minuten, greift nichts an, und jede Prüfung ist Open Source.
Sechs Bereiche starten gleichzeitig mit der Domain selbst; die übrigen bauen auf dem auf, was sie gefunden haben. Die Balken zeigen den üblichen Zeitanteil jedes Schritts.
Phase 1 · parallel
Nameserver, DNSSEC (fehlend oder fehlerhaft), CAA, Wildcard-Einträge.
SPF über jedes Include gezählt, DKIM auf 54 gängigen Selektoren, DMARC, MTA-STS, TLS-Berichte.
Namen aus den Certificate-Transparency-Logs, dann einzeln aufgelöst.
Bis zu 300 Typosquatting-Varianten: welche registriert sind, mit E-Mail oder Website, und wie kürzlich.
Nach der Domain benannte Buckets bei S3, Google Cloud Storage und Azure.
Ablaufdatum und Registrar, aus der Registry.
Phase 2 · nacheinander
Kürzlich ausgestellte Zertifikate und ob jede ausstellende Stelle von Ihrem CAA-Eintrag erlaubt ist.
Für jeden MX-Host: STARTTLS, der TLS-Handshake, das Zertifikat, DANE.
Die Apex-Domain, www und jede aktive Subdomain, zu ihren Adressen aufgelöst.
CNAMEs auf gelöschte Ressourcen bei 26 Anbietern oder auf nicht registrierte Domains; verwaiste Delegationen.
HTTPS und HSTS, Sicherheits-Header und die Qualität der CSP, Cookies, veraltete Bibliotheken, WordPress-Plugins.
Offene Ports und bekannte Schwachstellen aus den vorhandenen Daten von Shodan, gewichtet mit CISA KEV und EPSS.
Die Domain und ihre Mail- und Webadressen auf Sperrlisten von Spamhaus.
Danach wird jeder Befund mit dem vorherigen Audit verglichen: neue Probleme, behobene, neue Subdomains, neue Zertifikate, neue Lookalike-Domains. Aus diesem Vergleich entstehen Ihre Benachrichtigungen.
Nichts, was ein Audit tut, würde in Ihren Logs ungewöhnlich aussehen: ein paar DNS-Abfragen, eine abgerufene Startseite, ein begrüßter Mailserver. Deshalb kann es auch nach Zeitplan laufen, ohne die Grenzen dessen zu überschreiten, was jeder Besucher darf.
Zwei Dinge warten auf den Nachweis, dass eine Domain Ihnen gehört (ein TXT-Eintrag): die Details der Befunde, die einem Angreifer helfen würden, und die optionale Suche nach offen liegenden sensiblen Dateien (.git, .env, Backups), die Sie je Domain einschalten.
Jede Quelle ist öffentlich, und hier steht, was jede von einem Audit sieht. Kundendaten werden nie an sie gesendet.
| Quelle | Erhält | Genutzt für |
|---|---|---|
| Öffentliche DNS-Resolver (Cloudflare, Google) | Namen von Domain, Subdomains und Lookalike-Domains | Jede DNS-Prüfung |
| crt.sh, Cert Spotter | Den Domainnamen | Subdomains, Zertifikatsüberwachung |
| rdap.org und die Registry | Den Domainnamen | Ablauf der Registrierung, Alter von Lookalike-Domains |
| Shodan InternetDB | Öffentliche IP-Adressen | Offene Ports und bekannte Schwachstellen, ohne Scan |
| CISA, FIRST, Wordfence | Nichts über Sie: Öffentliche Kataloge werden heruntergeladen | Gewichtung von Schwachstellen |
| Spamhaus | Die Domain und ihre IP-Adressen | Sperrlisten |
| Speicher von Amazon, Google, Microsoft | Aus der Domain abgeleitete Bucket-Namen | Cloud-Speicher |
| Ihre eigenen Server | Gewöhnliche HTTPS-Anfragen, eine SMTP-Begrüßung | Prüfungen von Web, TLS und E-Mail-Transport |
Sie beginnt bei 100, und jeder Befund zieht je nach Schweregrad Punkte ab. Dasselbe Problem auf mehreren Hosts zählt einmal voll und dann je Wiederholung zu einem Viertel, sodass zehn Hosts mit demselben fehlenden Header eine Domain nicht versenken. Befunde, die Sie mit Begründung akzeptiert haben, zählen nicht.
Bewertungen: A ab 90, B ab 75, C ab 60, D ab 40, F darunter.
Beispiel
Kein DMARC-Eintrag (hoch, −12), zwei schwache Header (mittel, je −5), kein CAA-Eintrag (niedrig, −1): 100 − 12 − 10 − 1 = 77, Bewertung B.
Die Punktzahl zeigt den Fortschritt über die Zeit. Sie ist keine Zertifizierung, und eine perfekte Punktzahl heißt nicht, dass nichts schiefgehen kann.
| Schweregrad | Punkte | Bedeutung |
|---|---|---|
| Kritisch | −30 | Jetzt ausnutzbar, schwere Folgen: heute beheben |
| Hoch | −12 | Echtes Risiko oder eine ausgefallene Sicherheitsmaßnahme: diese Woche beheben |
| Mittel | −5 | Eine Schwäche, die bald behoben werden sollte |
| Niedrig | −1 | Härtung und gute Praxis |
| Info | −0 | Kontext, nichts zu beheben |
Ein Befund, der sich als falsch herausstellt, kostet Vertrauen. Jeder dieser vier Fälle geht auf einen echten Bericht zurück, der einmal falsch war und im Scanner für alle korrigiert wurde.
Manche Netze entfernen STARTTLS aus dem Gespräch mit jedem Mailserver. Bevor wir sagen, dass Ihr Server es nicht anbietet, fragen wir einen Referenzserver ab, der es immer anbietet; wirkt auch dieser unverschlüsselt, liegt es am Netz, und Ihnen wird nichts angelastet.
Statische Websites setzen ihre Content-Security-Policy oft in ein <meta>-Tag. Browser wenden Header und Tag gemeinsam an, also lesen wir beide, bevor wir eine Richtlinie schwach nennen.
Cloudflare antwortet für jede Website, die es ausliefert, auf einem Dutzend Ports. Das wird Ihnen nicht angerechnet; gemeldet wird stattdessen jeder Host, der an Cloudflare vorbeiführt und Ihren Ursprungsserver verraten könnte.
Ein ähnlicher Name, der vor Jahren registriert wurde, ist ein Nachbar, kein Angreifer. Der Schweregrad richtet sich nach dem Registrierungsdatum und danach, ob die Domain E-Mails senden kann, nicht nach ihrer bloßen Existenz.
Perimetry betrachtet Ihre Domain von außen. Dort beginnen die meisten Vorfälle, aber nicht alles ist von dort sichtbar.
Wenn Sie mit sensiblen Daten arbeiten oder einen Sicherheitsstandard erfüllen müssen, ergänzen Sie die laufende Überwachung um einen jährlichen Penetrationstest durch ein qualifiziertes Unternehmen. Für Einrichtungen unter NIS2 bleibt die Außensicht ein Baustein der Risikomanagementmaßnahmen nach § 30 BSIG, nicht ihr Ersatz.
Der Scanner hinter jedem Bericht ist Perimetry, veröffentlicht unter der Lizenz AGPL-3.0. Sie können nachlesen, wie jeder Befund entsteht, ihn auf Ihrem eigenen Rechner ausführen und seine Ergebnisse mit unseren vergleichen. Änderungen an den Prüfungen stehen in unseren Neuigkeiten.