Attack Surface Management (ASM)

Attack Surface Management (ASM) ist die kontinuierliche Erfassung, Bewertung und Reduktion aller Punkte, über die ein Angreifer ein Unternehmen erreichen kann. Die Angriffsfläche umfasst extern erreichbare Systeme, interne Netze, Cloud-Konten, Identitäten und die Spuren, die ein Unternehmen im Darknet hinterlässt. ASM macht daraus ein laufend aktualisiertes Inventar und bewertet jeden Eintrag nach seinem Risiko.

Warum Attack Surface Management wichtig ist

Die meisten erfolgreichen Angriffe beginnen nicht mit einer raffinierten Zero-Day-Lücke, sondern mit einem System, das niemand auf dem Schirm hatte: ein Testserver aus einem alten Projekt, eine Subdomain, die noch auf eine gekündigte Cloud-Instanz zeigt, ein VPN-Gateway mit veralteter Firmware oder ein Passwort, das über einen Infostealer in Umlauf geraten ist. Herkömmliche Schwachstellenscans prüfen nur, was man ihnen vorgibt. Angreifer prüfen alles. ASM schließt diese Lücke, indem es die Perspektive wechselt: Was ist aus dem Internet erreichbar, was davon ist verwundbar, und was davon ist tatsächlich ausnutzbar?

Für Unternehmen unter NIS2, DORA oder ISO 27001 ist ein aktuelles Asset-Inventar zudem keine Kür mehr, sondern eine nachweispflichtige Grundlage des Risikomanagements.

So funktioniert Attack Surface Management

ASM läuft als Kreislauf aus vier Schritten:

1. Discovery: Ausgehend von wenigen Startpunkten (Hauptdomains, IP-Bereiche, Cloud-Konten) werden Subdomains, Hosts, offene Ports, Dienste, Web-Anwendungen, Zertifikate und eingesetzte Technologien automatisch entdeckt. Gute Lösungen schlagen zusätzliche Assets vor, etwa aus RIPE-Registrierungen oder Cloud-Inventaren.
2. Bewertung: Jedes Asset wird auf Schwachstellen, Fehlkonfigurationen und exponierte Dienste geprüft und mit Kontext angereichert: Ist ein Exploit öffentlich? Steht die Schwachstelle im CISA-KEV-Katalog? Wie hoch ist der EPSS-Wert?
3. Priorisierung: Aus Erreichbarkeit, Ausnutzbarkeit und Kritikalität entsteht eine Rangfolge, die sagt, was zuerst zu beheben ist.
4. Behebung und Nachweis: Findings werden zugewiesen, behoben und durch einen erneuten Scan automatisch geschlossen.

Der Unterschied zu einem einmaligen Audit liegt im Wort „kontinuierlich“: Die Angriffsfläche ändert sich täglich, also muss auch das Inventar täglich mitziehen.

So setzt blacklens.io Attack Surface Management um

blacklens.io führt externe Discovery (Domains, Subdomains, IPs, Dienste, Web-Apps, Technologien, Zertifikate), interne Scans über den Sentry-Agenten, Cloud-Inventare aus AWS, Azure, Microsoft 365, GCP, Cloudflare und Hetzner sowie Darknet-Signale in einem Workflow zusammen. Neue CVEs werden in Echtzeit mit dem Technologie-Inventar abgeglichen, Findings nach EPSS, CISA KEV und Exploit-Verfügbarkeit priorisiert. Assets, die sieben Tage nicht mehr gesehen wurden, verschwinden automatisch aus dem Inventar, damit es die Realität abbildet.

Was ist der Unterschied zwischen ASM und Vulnerability Management?

Vulnerability Management prüft bekannte Systeme auf bekannte Schwachstellen. ASM beginnt einen Schritt früher und findet zuerst heraus, welche Systeme überhaupt existieren und erreichbar sind. In der Praxis ergänzen sich beide: ASM liefert das Inventar, Vulnerability Management den Prüf- und Behebungsprozess.

Wie oft sollte die Angriffsfläche erfasst werden?

Kontinuierlich. Neue Subdomains, Cloud-Ressourcen und Dienste entstehen täglich, und neue Schwachstellen werden stündlich veröffentlicht. Ein wöchentlicher oder monatlicher Scan lässt Angreifern im Schnitt mehrere Tage Vorsprung.

Brauchen kleine Unternehmen Attack Surface Management?

Ja, gerade sie. Kleine und mittlere Unternehmen haben selten ein vollständiges Inventar und kein eigenes Security-Team, das nachhält. Automatisiertes ASM ersetzt keinen Sicherheitsverantwortlichen, gibt ihm aber die Liste, mit der er arbeiten kann.