EASM: Die Angriffsfläche aus Angreifersicht

EASM bezeichnet die fortlaufende Identifikation, Inventarisierung und Bewertung aller aus dem Internet erreichbaren Assets einer Organisation – aus der Außenperspektive und ohne Vorwissen über das interne Inventar. Im Fokus stehen die „unknown unknowns“: vergessene Subdomains, Altsysteme, Test- und Staging-Umgebungen, von Fachabteilungen eigenständig beschaffte Cloud-Ressourcen (Shadow IT) sowie exponierte Dienste wie Remote-Zugänge, Admin-Oberflächen oder Datenbanken. OWASP beschreibt die Angriffsfläche als Summe aller Pfade, über die Daten und Befehle in ein System hinein- und aus ihm herausgelangen – EASM wendet diesen Blick systematisch auf die gesamte öffentlich erreichbare IT einer Organisation an.

Ausgehend von wenigen Startpunkten („Seeds“ wie Hauptdomains, IP-Bereichen oder Firmennamen) korrelieren EASM-Verfahren öffentlich verfügbare Datenquellen: aktives und passives DNS, Certificate-Transparency-Logs (öffentliche, nur anfügbare Verzeichnisse ausgestellter TLS-Zertifikate nach RFC 9162), WHOIS-/RDAP-Daten, ASN- und IP-Zuordnungen der Internet-Registries sowie internetweite Scan-Daten zu offenen Ports und Diensten. Ergänzend fließen Leak-Quellen wie Credential-Dumps und Paste-Sites ein, um exponierte Zugangsdaten der eigenen Domains zu erkennen. Weil dieselben Quellen auch Angreifern offenstehen, zeigt das Ergebnis genau das Bild, das ein Angreifer bei der Aufklärung sieht.

Nicht jeder Fund ist ein relevantes Risiko. Rohdaten aus der Discovery müssen zunächst attributiert werden: Gehört das Asset tatsächlich zur eigenen Organisation, zu einem Dienstleister oder zu einem CDN? Anschließend werden Funde validiert – ist der Dienst wirklich erreichbar, die Konfiguration tatsächlich schwach, die Schwachstelle praktisch ausnutzbar? – und nach Exponiertheit, Ausnutzbarkeit und Geschäftskritikalität priorisiert. Ohne diese Schritte produziert EASM lange Listen statt handlungsfähiger Ergebnisse; mit ihnen konzentriert sich die Behebung auf die Funde, die ein Angreifer realistisch als Erstes nutzen würde.

Ein Schwachstellenscanner prüft bekannte Systeme gegen bekannte Schwachstellen – er setzt ein gepflegtes Inventar voraus und bleibt blind für Assets, die niemand eingetragen hat. Ein Penetrationstest untersucht einen vorab definierten Scope manuell und in der Tiefe, liefert aber eine Momentaufnahme. EASM setzt davor an: Es beantwortet zuerst die Inventarfrage („Was ist überhaupt von außen sichtbar?“) und liefert damit den Scope, den Scan und Pentest benötigen. Die drei Verfahren ersetzen einander nicht, sondern greifen ineinander: EASM findet die Fläche, der Scan prüft sie in der Breite, der Pentest in der Tiefe.

Externe Angriffsflächen ändern sich laufend: neue Cloud-Deployments, automatisch ausgestellte Zertifikate, Konfigurationsänderungen, Zukäufe und auslaufende Verträge verschieben das Bild teils täglich. Ein jährlicher Scan oder Pentest bildet diesen Wandel nicht ab. Wie kurz die Intervalle inzwischen angesetzt werden, zeigt die US-Cybersicherheitsbehörde CISA: Ihre Direktive BOD 23-01 (2022) verpflichtet US-Bundesbehörden zu automatisierter Asset-Discovery mindestens alle sieben Tage und zur Schwachstellen-Enumeration aller entdeckten Assets alle 14 Tage. Auch das NIST Cybersecurity Framework 2.0 verankert gepflegte Inventare für Hardware, Software und Dienste (Kategorie ID.AM) als Grundlage des Risikomanagements.

In der Praxis folgt EASM einem wiederkehrenden Zyklus: Aus Seeds werden per Discovery Assets identifiziert, zu einem Inventar konsolidiert und jeweils einem Verantwortlichen zugeordnet. Bewertete und validierte Funde gehen als priorisierte, nachvollziehbar dokumentierte Tickets in die bestehenden Prozesse (Vulnerability Management, ITSM) – inklusive konkreter Remediation-Empfehlung wie Abschalten, Patchen, Härten oder Verlagern hinter VPN- bzw. Zero-Trust-Zugänge. Nach der Behebung bestätigt eine erneute Prüfung von außen, dass die Exposition tatsächlich beseitigt ist. Kennzahlen wie die Zeit bis zur Behebung und die Zahl neu entdeckter unbekannter Assets machen den Reifegrad über die Zeit messbar.