Die Angriffsfläche eines Unternehmens umfasst alle erreichbaren oder nutzbaren Angriffspunkte, über die jemand Systeme, Daten oder Abläufe beeinflussen könnte. Dazu gehören technische Zugänge ebenso wie Prozesse, Berechtigungen, Dienstleister und Menschen. Sie ist nicht die Summe aller Schwachstellen: Eine Schnittstelle kann Teil der Angriffsfläche sein, ohne fehlerhaft zu sein. Erst eine Schwachstelle macht sie leichter ausnutzbar.
Was zur Angriffsfläche eines Unternehmens gehört
Zur technischen Angriffsfläche zählen beispielsweise öffentlich erreichbare Server, Cloud-Dienste, mobile Geräte, E-Mail-Konten, Fernwartungszugänge und Programmierschnittstellen. Hinzu kommen interne Systeme, die nach einem ersten erfolgreichen Zugriff erreichbar wären. Auch ein gut geschützter Zugang bleibt ein möglicher Angriffspunkt. Sein Schutz entscheidet darüber, wie einfach er tatsächlich genutzt werden kann.
Die organisatorische Angriffsfläche entsteht unter anderem durch Freigabeprozesse, Zuständigkeiten, den Umgang mit Berechtigungen und die Zusammenarbeit mit externen Partnern. Wenn niemand weiß, wer einen alten Dienst abschalten darf, bleibt er häufig einfach erreichbar. Das ist menschlich verständlich, technisch aber keine besonders überzeugende Sicherheitsstrategie.
Menschen gehören ebenfalls zum betrachteten Umfeld, weil sie Zugänge nutzen, Informationen austauschen und Entscheidungen treffen. Das macht sie nicht automatisch zum schwächsten Glied. Ein aufmerksamer Mitarbeiter, der eine ungewöhnliche Anfrage erkennt und meldet, kann eine sehr wirksame Schutzmaßnahme sein. Entscheidend sind klare Abläufe, passende Rechte und ein Arbeitsumfeld, in dem Rückfragen erwünscht sind.
Angriffspunkt und Schwachstelle sind nicht dasselbe
Ein Angriffspunkt beschreibt, wo ein Angriff ansetzen könnte. Eine Schwachstelle beschreibt dagegen eine konkrete Eigenschaft, durch die ein Angriff erleichtert oder ermöglicht wird. Der öffentlich erreichbare Anmeldebereich eines Kundenportals gehört zur Angriffsfläche. Ein veraltetes Softwaremodul, eine fehlerhafte Konfiguration oder eine fehlende Mehrfaktor-Authentisierung wären mögliche Schwachstellen an diesem Angriffspunkt.
Diese Trennung ist für die Praxis wichtig. Wer Angriffsfläche und Schwachstellen gleichsetzt, versucht leicht, jeden sichtbaren Zugang zu beseitigen. Das funktioniert in einem arbeitenden Unternehmen selten: Kunden sollen bestellen, Mitarbeiter mobil arbeiten und Dienstleister bestimmte Systeme warten können. Das Ziel lautet daher nicht, jede Angriffsfläche verschwinden zu lassen. Sie soll bekannt, notwendig und angemessen geschützt sein.
Auch eine kleine Angriffsfläche kann ein hohes Risiko enthalten, wenn ein einzelner Zugang schlecht geschützt ist und direkt zu einem kritischen System führt. Umgekehrt muss eine größere, gut überwachte Umgebung nicht automatisch unsicherer sein. Die reine Anzahl der Systeme sagt deshalb wenig aus. Zusammenhang, Schutz und mögliche Folgen sind entscheidend.
Warum die Angriffsfläche unbemerkt wächst
Angriffsflächen wachsen meist nicht durch eine große Entscheidung, sondern durch viele kleine Veränderungen. Ein neuer Cloud-Dienst wird getestet, ein externer Partner erhält einen Zugang, eine alte Anwendung bleibt wegen einer Übergangsfrist bestehen und ein Gerät wird nach einem Projekt nicht mehr gebraucht. Jede Entscheidung kann sinnvoll gewesen sein. In der Summe entsteht trotzdem eine Umgebung, die niemand mehr vollständig überblickt.
Besonders häufig bleiben zeitlich begrenzte Lösungen dauerhaft bestehen. Der Wartungszugang für ein Projekt funktioniert noch Jahre später, das Testsystem ist weiterhin aus dem Internet erreichbar und das Konto eines ehemaligen Dienstleisters wurde vorsichtshalber nicht gelöscht. Vorsicht ist grundsätzlich gut. Ein dauerhaft offener Zugang aus Vorsicht ist allerdings eine recht eigene Auslegung davon.
Neue Arbeitsweisen verändern die Angriffsfläche ebenfalls. Mobile Arbeit, private Endgeräte, vernetzte Produktionsanlagen und SaaS-Anwendungen schaffen zusätzliche Übergänge zwischen internen und externen Bereichen. Das ist nicht grundsätzlich problematisch. Problematisch wird es, wenn die technische Veränderung schneller erfolgt als Dokumentation, Berechtigungsprüfung und Verantwortungszuordnung.
Deshalb braucht die Angriffsfläche keinen einmaligen Großputz, sondern regelmäßige Pflege. Systeme kommen hinzu, Zuständigkeiten wechseln und Dienste werden ersetzt. Was heute erforderlich ist, kann in einem Jahr nur noch ein vergessenes Überbleibsel sein. Informationssicherheit ist an dieser Stelle weniger spektakulär als manche Produktpräsentation, wirkt aber meist länger.
Ein Beispiel aus dem Arbeitsalltag
Ein mittelständisches Unternehmen ermöglicht einem externen Techniker die Fernwartung einer Produktionsanlage. Der Zugang ist fachlich notwendig und damit Teil der Angriffsfläche. Während des Projekts wird zusätzlich ein Benutzerkonto eingerichtet, das weitreichende Rechte besitzt. Nach Abschluss der Arbeiten bleibt das Konto aktiv, weil für spätere Rückfragen niemand den erneuten Freigabeprozess durchlaufen möchte.
Der Fernwartungszugang allein ist noch keine Schwachstelle. Das dauerhaft aktive Konto mit unnötig hohen Rechten und fehlender regelmäßiger Prüfung ist dagegen eine. Kommen gestohlene Zugangsdaten hinzu, besteht ein plausibler Angriffsweg. Wie hoch das Risiko ist, hängt anschließend auch davon ab, welche Systeme erreichbar sind und welche Folgen eine Manipulation oder ein Ausfall hätte.
Das Beispiel zeigt den Zusammenhang: Zuerst muss der Angriffspunkt bekannt sein. Danach werden vorhandene Schwachstellen geprüft. Im nächsten Schritt lässt sich untersuchen, welche Bedrohung diesen Weg nutzen könnte und welcher Schaden möglich wäre. Wer direkt mit einer langen Maßnahmenliste beginnt, ohne diesen Zusammenhang zu verstehen, schützt möglicherweise sehr gründlich das falsche Problem.
Angriffsfläche pragmatisch verkleinern
Der erste Schritt ist eine brauchbare Übersicht. Sie muss nicht am ersten Tag vollständig sein, sollte aber die wichtigsten Systeme, externen Dienste, Zugänge, Schnittstellen und Verantwortlichen enthalten. Sinnvoll ist, mit geschäftskritischen Leistungen zu beginnen: Welche Technik und welche Partner werden benötigt, damit Produktion, Kommunikation, Zahlungsverkehr oder Kundenservice funktionieren?
Danach lässt sich jeder relevante Angriffspunkt mit wenigen Fragen prüfen:
- Wird dieser Zugang oder Dienst noch benötigt, und wer trägt die Verantwortung?
- Ist er nur für die notwendigen Personen und Systeme erreichbar?
- Sind Berechtigungen, Konfiguration und Softwarestand angemessen abgesichert?
- Wird seine Nutzung protokolliert und werden Auffälligkeiten erkannt?
- Gibt es einen festen Anlass, an dem Bedarf und Schutz erneut geprüft werden?
Nicht benötigte Dienste sollten abgeschaltet, Berechtigungen begrenzt und externe Zugänge zeitlich oder technisch eingegrenzt werden. Mehrfaktor-Authentisierung, sichere Konfigurationen, aktuelle Systeme und eine sinnvolle Segmentierung reduzieren die Nutzbarkeit verbleibender Angriffspunkte. Gleichzeitig müssen Beschaffung, Projekte und Personalwechsel berücksichtigt werden. Sonst räumt die IT hinten auf, während vorne bereits drei neue Dienste bestellt werden.
Wichtig ist außerdem eine einfache Rückmeldung aus dem Alltag. Mitarbeiter wissen oft sehr genau, welche provisorischen Abläufe dauerhaft geworden sind und welche Anwendungen außerhalb der vorgesehenen Wege genutzt werden. Diese Hinweise sind keine Störung der Sicherheitsarbeit, sondern wertvolle Informationen über die tatsächliche Angriffsfläche.
Kurz gesagt
Die Angriffsfläche ist die Gesamtheit möglicher Angriffspunkte eines Unternehmens, nicht die Summe seiner Schwachstellen. Sie lässt sich nicht vollständig beseitigen, weil digitale Arbeit Zugänge und Schnittstellen benötigt. Sie lässt sich aber verstehen, begrenzen und kontrollieren. Wer weiß, welche Systeme, Menschen, Prozesse und Partner miteinander verbunden sind, kann unnötige Zugänge entfernen und notwendige besser schützen. Im nächsten Schritt wird daraus ein konkretes Gefährdungsszenario: Welche Bedrohung könnte welche Schwachstelle nutzen – und was würde dann tatsächlich passieren?
Quellen und weiterführende Informationen
Zuletzt fachlich geprüft: