Die Website ist nur der Anfang
Zur externen Angriffsfläche eines Unternehmens gehören öffentlich erreichbare Websites, Portale und weitere Dienste. Nach einem Websiteumzug können alte Kampagnenadressen oder Testportale weiterbestehen. Ein Inventar macht sichtbar, welche Dienste gebraucht werden und wer über ihren Weiterbetrieb entscheidet.
Zum Inventar gehören auch Domains und digitale Zertifikate. Das britische NCSC empfiehlt, Bestandsdaten aktuell zu halten und mit mehreren Informationsquellen abzugleichen. Für einen Betrieb mit wenigen Diensten kann eine regelmäßig gepflegte Liste genügen. [1]
Gefunden heißt noch nicht verwundbar
Eine entdeckte Subdomain ist zunächst ein Eintrag zur Klärung. Die Adresse kann einen benötigten Dienst, eine Weiterleitung oder einen alten Verweis bezeichnen. Für eine Sicherheitsbewertung müssen Zuordnung, Beobachtungszeitpunkt und konkrete technische Hinweise zusammenpassen. Die bloße Anzahl gefundener Adressen sagt wenig darüber aus, welcher Handlungsbedarf besteht.
Führen Sie deshalb getrennte Felder für Beobachtung und Entscheidung: „Adresse in öffentlicher Quelle gefunden“ beschreibt den Beleg. „Dienstleister bestätigt Zuordnung zu unserem Vertrag“ beschreibt die Zuordnung. „Verantwortlicher entscheidet über Stilllegung“ beschreibt den nächsten Schritt. Keine dieser Aussagen beweist für sich eine ausnutzbare Schwachstelle.
Ein Eintrag, mit dem jemand arbeiten kann
Unser Vorschlag für eine kleine Organisation ist eine kurze Arbeitsliste. Beginnen Sie mit den bekannten Diensten und ergänzen Sie ungeklärte Funde. Eine Person im Betrieb übernimmt die Koordination; fachliche Antworten können von der Agentur, dem IT-Betreuer oder dem Anbieter kommen.
Notieren Sie für jeden Eintrag mindestens die folgenden Angaben. Bleibt eine Antwort offen, tragen Sie die Rückfrage samt Termin ein. „Unbekannt“ ist brauchbarer als eine Vermutung, die später wie eine gesicherte Tatsache wirkt.
- System: genaue Adresse, zugehöriger Dienst und Geschäftszweck.
- Verantwortlicher: wer im Betrieb über Nutzung und Änderungen entscheidet.
- Anbieter: betreuender Dienstleister, Kundenkonto und zuständiger Kontakt; keine Passwörter.
- Beleg: Quelle, Datum und was tatsächlich beobachtet oder bestätigt wurde.
- Nächster Schritt: weiterbetreiben, klären oder zur Abschaltung freigeben; mit Termin.
- Abschluss: wer die Änderung geprüft hat und wo die Bestätigung liegt.
Eine Kündigung räumt DNS nicht automatisch auf
DNS ist das Adressverzeichnis, über das Namen den vorgesehenen technischen Zielen zugeordnet werden. Bei einem Anbieterwechsel sollten Sie ausdrücklich klären lassen, welche Einträge zur alten Lösung gehören. Die Vertragskündigung beantwortet diese technische Frage nicht.
Microsoft beschreibt für Azure ein konkretes Risiko: Verweist DNS weiterhin auf eine entfernte Ressource, kann unter bestimmten Voraussetzungen eine Subdomain übernommen werden. Deshalb müssen DNS-Zuordnung und Zielressource gemeinsam betrachtet werden; ein alter Verweis allein bestätigt noch keine Übernahme. [3]
Was die Sicht von außen beantwortet
Eine externe Sicherheitsanalyse kann erkennbare Dienste und Konfigurationshinweise sinnvoll ordnen. Vorhandene öffentliche Informationen und direkte, schonende DNS-, TLS- oder HTTP-Abfragen sollten im Auftrag und im Ergebnis unterschieden werden. „Extern“ bedeutet nicht automatisch „rein passiv“.
Der beschriebene Level-1-Umfang liefert dafür eine dokumentierte Grundlage ohne Anmeldung in Anwendungen. Ob Benutzerrollen korrekt getrennt sind oder Zugriffe nach der Anmeldung passen, erfordert eine gesondert vereinbarte Prüfung mit passenden Testkonten.
Auch das NCSC grenzt die externe Sicht auf internetzugängliche Ressourcen von einer Untersuchung interner Risiken ab. Die Sichtbarkeit von außen bestimmt, welche Fragen sich damit beantworten lassen. [2]
Abschließen und wieder aufgreifen
Für den nächsten Durchgang empfehlen wir drei überschaubare Aufgaben: ungeklärte Zuständigkeiten beantworten lassen, nicht mehr benötigte Dienste zur Entscheidung vorlegen und Änderungen nachhalten. Prüfen Sie die Liste auch nach Agenturwechseln, neuen Kampagnen und abgeschlossenen Projekten.
Bei einer Stilllegung empfiehlt das NCSC, Abhängigkeiten vorab zu berücksichtigen, das Ergebnis zu überprüfen und Nachweise aufzubewahren. Lassen Sie sich daher den technischen Abschluss bestätigen und aktualisieren Sie anschließend den Eintrag. [4]
Weiterlesen
Quellen & Vertiefung
Veröffentlicht:
Primärquellen abgeglichen am 29.09.2026.
Quellen und Geltungsgrenzen sind im Beitrag angegeben.