Attack Surface Management: Was man nicht sieht, kann man nicht schützen

Der Weg in ein Netzwerk ist selten der spektakuläre Zero-Day. Häufiger ist es die vergessene Subdomain, das abgelaufene Zertifikat, der Testserver, der unbemerkt online ging. Das Muster dahinter ist immer dasselbe: Verteidiger arbeiten mit der Asset-Liste vom letzten Quartal, Angreifer scannen heute. Diese Lücke ist die Angriffsfläche, und sie lässt sich nicht mit einer Tabelle schließen.

Das eigentliche Problem ist Asset-Blindheit

Die meisten Vorfälle beginnen nicht mit fehlender Technik, sondern mit fehlender Sicht. Was nicht inventarisiert ist, wird nicht gepatcht. Was niemand als exponiert kennt, taucht in keiner Risikobewertung auf. Eine Angriffsfläche, die nur einmal im Quartal von Hand erfasst wird, ist genau zwischen diesen Zeitpunkten blind, und dort findet der Angreifer seinen Einstieg.

Außenblick und Innenblick in einer Plattform

Viele Werkzeuge sehen nur eine Seite: entweder die von außen erreichbare Angriffsfläche (External Attack Surface Management, EASM) oder die internen Systeme (Internal Attack Surface Management, IASM). isidaten deckt beide ab. Dieselbe Plattform prüft, was aus der Cloud oder über einen Agent von außen erreichbar ist, und was im internen Netz steht. Entscheidend ist das Wo: nicht in einem separaten Scanner-Silo, sondern dort, wo auch Risikoregister, Maßnahmen und Nachweis liegen. Spezialisierte Exposure-Management-Suiten bieten beide Blickrichtungen, sitzen aber neben der Compliance-Welt. In einer ISMS-Plattform integriert ist diese Kombination selten.

Was kontinuierliche Sicht bedeutet

Das Attack-Surface-Management-Modul von isidaten beantwortet die Frage, was ein Unternehmen eigentlich exponiert, fortlaufend statt punktuell:

• Frei definierbare Scan-Ziele: als Domain, IP-Bereich oder CIDR, jeweils einzeln aktivierbar.
• Discovery statt Pflege: Assets werden automatisch entdeckt, mit letztem Scan-Zeitpunkt und Anzahl gefundener Systeme, statt in einer Liste händisch nachgezogen zu werden.
• Zertifikate inklusive Ablauf: Gefundene TLS-Zertifikate werden mit Gültigkeit, Tagen bis Ablauf und Status bis hin zu abgelaufen erfasst. Das Zertifikat, das keiner trackte, fällt damit auf, bevor es zum Vorfall wird.
• Findings mit Schweregrad: Jeder Befund trägt Schweregrad, Kategorie, CVE-Bezug, CVSS-Score und einen klaren Bearbeitungsstatus.

Der eigentliche Hebel ist der Abgleich

Sichtbarkeit allein erzeugt nur eine längere Liste. Der Unterschied entsteht, wenn die entdeckten Assets automatisch gegen aktuelle Schwachstellen abgeglichen werden. isidaten speist Hersteller-Sicherheitswarnungen im CSAF-Format in einen zentralen Katalog ein und verknüpft sie per Name, Version oder CPE mit der eigenen Asset-Basis. Statt eine Warnung zu lesen und manuell zu fragen, ob sie das eigene Haus betrifft, steht die Antwort bereits da: welches System, welche Software, mit welchem CVSS-Score, ob ein Exploit verfügbar und ob die Lücke aus der Ferne ausnutzbar ist. Genau diese Angaben entscheiden, was zuerst behandelt wird.

Eine Objektbasis: Fund, Risiko, Nachweis

Der entscheidende Punkt ist, wo der Fund danach landet. Bei isidaten ist ein entdecktes Asset dasselbe Objekt wie im Asset-Management und im Risikoregister. Ein Finding bleibt deshalb keine Zeile in einem Scanner-Report, sondern wandert über einen nachvollziehbaren Status bis in die Risikobehandlung, mit dokumentierter Entscheidung zwischen Beheben, Kompensieren und Akzeptieren. Aus einem reinen Scan wird so ein belegbarer Stand, den auch ein Auditor nachvollziehen kann.

Der Bezug zu NIS2

Für Einrichtungen unter NIS2 ist das mehr als Komfort. Wer Risiken systematisch behandeln und die Wirksamkeit belegen muss, braucht die Verbindung aus exponiertem Asset, bekannter Schwachstelle und getroffener Entscheidung an einem Ort, statt über mehrere Werkzeuge verteilt. Wie das Attack Surface Management in isidaten arbeitet, zeigen wir auf unserer Lösungen-Seite, oder direkt in einer Demo.