Angriffsflächen-Management: Warum KMU wissen müssen, was Angreifer über sie wissen

Das BSI hat es 2025 schwarz auf weiß veröffentlicht: Rund 80 Prozent der Ransomware-Angriffe in Deutschland richten sich gegen kleine und mittlere Unternehmen. Der Grund ist nicht mangelnde Böswilligkeit der Täter — sondern Pragmatismus. Angreifer suchen den Weg des geringsten Widerstands. Und der führt meistens direkt durch Systeme, die niemand mehr auf dem Radar hatte.

Genau hier liegt das eigentliche Problem: nicht fehlende Sicherheitstechnologie, sondern fehlende Sichtbarkeit. Wer nicht weiß, was er nach außen exponiert, kann es auch nicht schützen. Attack Surface Management — kurz ASM — adressiert genau diese Lücke. Was dahintersteckt, warum es für den Mittelstand heute kein Nischenthema mehr ist und was man konkret tun kann.

Was ist die Angriffsfläche eines Unternehmens?

Die Angriffsfläche einer Organisation ist die Summe aller exponierten IT-Ressourcen, unabhängig davon, ob sie sicher oder anfällig, bekannt oder unbekannt sind oder aktiv genutzt werden oder nicht. (Quelle: Computer Weekly)

Das klingt abstrakt, wird aber schnell greifbar: Ein vergessenes Subdomain, das noch auf einen alten Server zeigt. Ein VPN-Gateway, das seit zwei Jahren kein Update bekommen hat. Ein API-Endpunkt, der für einen abgeschlossenen Dienstleister mal geöffnet wurde. Eine Cloud-Instanz, die ein Entwickler für Tests hochgezogen hat — und nie wieder abgebaut.

Mit jeder weiteren Digitalisierung, Cloud-Nutzung, Remote Work, IoT-Integration oder Vernetzung steigt nicht nur der funktionale Nutzen, sondern gleichzeitig die Angriffsfläche. Im Mittelstand, wo IT-Teams oft klein sind und viele Projekte parallel laufen, entsteht so über Jahre ein digitales Graugebiet — Assets, die existieren, aber niemand mehr aktiv verwaltet.

Warum das BSI 2025 explizit warnt

Der BSI-Lagebericht 2025 hält fest, dass sich der Trend weg von großen, aufwendigen Angriffen hin zu vielen kleinen, einfach durchzuführenden fortsetzt. Das ist kein Zufall. Im Berichtszeitraum Juli 2024 bis Juni 2025 wurden durchschnittlich 119 neue Schwachstellen pro Tag bekannt — ein Wachstum von rund 24 Prozent gegenüber dem Vorjahr. (Quelle: BSI Lagebericht 2025)

119 neue Schwachstellen täglich. In einem Unternehmen mit einer überschaubaren IT-Abteilung bedeutet das: Manuelle Prüfung ist keine realistische Option mehr. Wer keine systematische Übersicht über seine exponierten Assets hat, spielt zwangsläufig auf Verlust.

Das BSI nennt für 2026 Angriffsflächenmanagement explizit als die entscheidende Aufgabe — nicht als nice-to-have, sondern als Grundvoraussetzung für eine belastbare IT-Sicherheitsstrategie.

Was Attack Surface Management konkret bedeutet

Attack Surface Management folgt einem klaren Ablauf: Identifikation aller extern erreichbaren Assets — Domains, Subdomains, Cloud-Instanzen, Zertifikate, APIs, mobile und vernetzte Geräte — dann Bewertung nach Risikolage, anschließend gezielte Reduktion, und dauerhaftes kontinuierliches Monitoring. (Quelle: IT-Management.today)

Wichtige Leitfragen bei der Bewertung:

• Welche Dienste sind aus dem Internet erreichbar — und müssen sie das sein?
• Welche Konfigurationen sind standardmäßig unsicher?
• Laufen irgendwo abgelaufene Zertifikate?
• Gibt es Systeme, die offiziell nicht mehr genutzt werden, aber noch erreichbar sind?

Der letzte Punkt ist besonders kritisch. Überflüssige oder doppelte Anwendungen und Dienste zu identifizieren und zu entfernen ist eine der einfachsten Möglichkeiten, die Angriffsfläche zu verringern. Klingt trivial — wird in der Praxis aber systematisch unterschätzt.

Der Unterschied zwischen reaktiv und proaktiv

Klassische IT-Security-Modelle arbeiten reaktiv: Ein Vorfall passiert, das SIEM schlägt an, das Team reagiert. ASM dreht dieses Prinzip um. Managed ASM wertet die Angriffsfläche kontinuierlich aus und identifiziert Schwachstellen, bevor sie ausgenutzt werden können — dieser präventive Ansatz verkürzt die Verweildauer, begrenzt den potenziellen Schaden und stärkt die allgemeine Widerstandsfähigkeit. (Quelle: Integrity360)

Für den Mittelstand ist das besonders relevant: Kleinere IT-Teams haben keine Kapazität für ausgedehnte Incident-Response-Prozesse. Angriffe möglichst gar nicht erst zuzulassen ist wirtschaftlich sinnvoller als sie aufwendig aufzuarbeiten — von Reputationsschäden und Betriebsunterbrechungen ganz abgesehen.

ASM und Cloud: eine besondere Herausforderung

Cloud-Umgebungen machen das Angriffsflächen-Management komplexer als je zuvor. In hybriden Umgebungen aus Cloud, On-Premises und SaaS jonglieren Sicherheitsteams oft mit isolierten Tools, die zu unzusammenhängenden Ergebnissen führen — ein vollständiges, einheitliches Bild der eigenen Risikoexposition fehlt damit von Anfang an. (Quelle: Wiz)

Wer Azure und AWS parallel betreibt, muss beide Umgebungen im Blick behalten — inklusive aller automatisch provisionierten Ressourcen, Zugriffsrechte und Netzwerkkonfigurationen. Ein einzelner falsch konfigurierter Storage Bucket oder eine offene Security Group kann reichen, um sensible Daten oder Einstiegspunkte ins interne Netz zu exponieren.

Interner Link: Cloud Kosten optimieren AWS und Azure

Was man konkret tun kann

Ein vollständiges ASM-Programm muss nicht von heute auf morgen stehen. Sinnvoller ist ein strukturierter Einstieg:

Asset-Inventar aufbauen: Welche Systeme, Dienste und Domains sind aus dem Internet erreichbar? Viele Unternehmen sind überrascht, wie lang diese Liste tatsächlich ist.

Externe Perspektive einnehmen: Tools wie Shodan, Censys oder spezialisierte ASM-Plattformen scannen die eigene Infrastruktur aus Angreifer-Sicht. Was findet jemand, der gezielt nach Einstiegspunkten sucht?

Priorisieren statt alarmieren: Nicht jede gefundene Schwachstelle ist gleichwertig. Entscheidend ist die Frage: Wie hoch ist das Risiko, wenn genau dieser Punkt ausgenutzt wird? Kritische Systeme, öffentlich exponierte Dienste und veraltete Komponenten haben Vorrang.

Kontinuität sicherstellen: Einmalige Scans sind nicht ausreichend. Die Angriffsfläche verändert sich täglich — durch neue Systeme, Updates, Konfigurationsänderungen, neue Cloud-Ressourcen. Dauerhaftes Monitoring ist keine Kür, sondern Pflicht.

Interner Link: Mehr über IT Security Services

Fazit

Angriffsflächen-Management ist kein exotisches Enterprise-Thema. Es ist eine logische Konsequenz aus dem, was der BSI-Lagebericht 2025 nüchtern beschreibt: Angreifer sind opportunistisch, Schwachstellen wachsen täglich, und KMU sind bevorzugte Ziele — gerade weil sie oft weniger Transparenz über die eigene IT-Exposition haben als große Konzerne. Wer nicht weiß, was er exponiert, kann es nicht schützen. So einfach ist das.