Attack Surface Monitoring: So ermitteln Unternehmen die Bedrohungslage ihrer IT-Sicherheit

16.06.2026 – Know-how News

Neuigkeiten aus dem Bereich Threat Intelligence

Die Bedrohungen gegenüber externen IT-Landschaften verändern sich zunehmend. Um diesen neu entstehenden Gefährdungen zu begegnen, bietet die SySS GmbH im Bereich "Threat Intelligence" ein neues Modul an: "Attack Surface Monitoring" ("TI/MONITORING").

Warum ist Attack Surface Monitoring nötig?

Der Schutz von externen IT-Landschaften wird immer herausfordernder. Das liegt unter anderem daran, dass mehr Schwachstellen in kürzeren Zeiträumen gefunden – und im besten Fall behoben – und dann veröffentlicht werden. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat zuletzt in seinem Bericht über "Die Lage der IT-Sicherheit in Deutschland 2025" veröffentlicht, dass im Berichtszeitraum (01.07.2024 - 30.06.2025) "durchschnittlich täglich 119 neue Schwachstellen bekannt" wurden und dass dies "24 Prozent mehr als im vergangenen Berichtszeitraum" waren. Im Vorjahr hatte das BSI über durchschnittlich täglich 78 neue Schwachstellen berichtet. Auch wenn es hierzu noch keine verlässlichen Zahlen gibt, gehen wir bei der SySS davon aus, dass sich dieser Trend durch den Einsatz von AI-Systemen bei der Schwachstellenforschung mindestens so fortsetzen wird.

Das bedeutet, dass allein das Einhalten von Patch- und Updatezyklen schwieriger und herausfordernder wird, da immer mehr Schwachstellen veröffentlicht werden. Diesen Trend bestätigt auch unsere Abteilung für Digitale Forensik und Incident Response (DFIR). Angreifende konzentrieren sich zunehmend auf die Ausnutzung von Schwachstellen in extern erreichbaren Softwareprodukten, um in Unternehmensnetzwerke vorzudringen. Diese Beobachtung deckt sich auch mit einem Bericht der Agentur der Europäischen Union für Cybersicherheit (ENISA). In ihrem Bericht aus dem Oktober 2025 verortet die ENISA die Ausnutzung von Schwachstellen als initialen Angriffsvektor auf Platz zwei (21,3 %) nach Phishing-Attacken.

Aus Sicht der SySS hält der Trend zur Auslagerung von Softwareprodukten an Cloud-Anbieter weiter an. Dies entlastet zwar die Unternehmen in Bezug auf die Wartung von Software, allerdings sorgt es auch dafür, dass mehr Produkte und Unternehmensdaten über Portale im Internet erreichbar werden. Hier entsteht dann eine neue Herausforderung: der Schutz von Accounts, die Zugriff auf geschäftskritische Daten haben. Nach wie vor werden kompromittierte Zugangsdaten oftmals im Darknet oder in entsprechenden Telegram-Gruppen/Foren gehandelt oder teilweise kostenfrei zur Verfügung gestellt. Auch wenn Multi-Faktor-Authentifizierung (MFA) in modernen Cloud-Umgebungen zunehmend verbreitet ist, stellen kompromittierte/geleakte Zugangsdaten weiterhin ein erhebliches Risiko dar. Nicht alle Systeme erzwingen MFA konsequent und moderne Angriffstechniken ermöglichen teilweise die Umgehung zusätzlicher Schutzmechanismen.

Was passiert beim Attack Surface Monitoring genau?

Die SySS möchte mit dem neuen Angebot "TI/MONITORING" dieser geänderten Bedrohungslage entgegentreten. Bei einem TI/MONITORING-Projekt unterziehen wir die externe IT-Landschaft unserer Auftraggeber einer kontinuierlich anhaltenden Analyse. Ein TI/MONITORING-Projekt startet mit einem Onboarding. Hierbei ermitteln wir in Zusammenarbeit mit unseren Auftraggebern deren externe Angriffsfläche. Es erfolgt eine umfassende Recherche in öffentlichen sowie nicht öffentlichen Datenlecks und Quellen hinsichtlich relevanter Daten und Zugangsinformationen. Des Weiteren versuchen wir, so viele extern erreichbare Systeme des Auftraggebers wie möglich zu identifizieren. Anschließend wird die identifizierte Angriffsfläche einem klassischen externen Pentest unterzogen, bei dem wir Schwachstellen und Härtungspotenziale identifizieren. Das Ergebnis dieses Onboardings wird dem Auftraggeber dann in Form unseres klassischen, qualitativ hochwertigen SySS-Berichts übergeben.

Nach der Onboarding-Phase geht ein TI/MONITORING-Projekt in die Monitoring-Phase über. In dieser Phase unterziehen wir die Systeme unserer Auftraggeber einem regelmäßigen Schwachstellen- und Portscan und kontinuierlich werden Datenlecks und andere Quellen aus dem Darknet nach Zugangsdaten unserer Auftraggeber durchsucht. Dabei kann der Auftraggeber entscheiden, wie oft ein Monitoring durchgeführt wird (z. B. wöchentlich, monatlich oder quartalsweise). Sollten sich neue Schwachstellen ergeben oder kompromittierte Zugangsdaten im Internet entdeckt werden, dann sichtet die SySS das Ergebnis, filtert fehlerhafte Ergebnisse und informiert dann umgehend den betroffenen Auftraggeber über die neue Bedrohung. So wird die Sicherheit externer IT-Landschaften kontinuierlich untersucht und auch insbesondere das Problem von Datenlecks steht im Fokus.