Jannik Stuckstätte, Leiter des Incident Response Teams in Deutschland und Österreich bei Stoïk (Bildquelle: Valentin Nauton)
Externe Scans entwickeln sich angesichts der verschärften Bedrohungslage zu einem wichtigen Instrument der Cyberabwehr. Das Bundeskriminalamt (BKA) berichtet in seinem im Mai 2026 veröffentlichten Bundeslagebild Cybercrime 2025 von 333.922 Cybercrime-Fällen, darunter 1.041 Ransomware-Angriffe. Zudem wurden 36.706 DDoS-Attacken im Netz der Deutschen Telekom AG gemessen, das entspricht einem Zuwachs von 25 Prozent gegenüber dem Vorjahr. Für Jannik Stuckstätte, Leiter des Incident Response Teams in Deutschland und Österreich bei Stoïk, zeigen die Zahlen vor allem eines: Angriffe laufen schneller ab, erreichen mehr potenzielle Ziele und basieren zunehmend auf automatisierten Methoden.
Weit verbreitete Phishing-Kits, Infostealer, gefälschte CAPTCHAs und der Missbrauch legitimer Tools haben potenzielle Angriffswege vervielfacht. Dadurch steigt nicht zwangsläufig das Ausmaß einzelner Schäden, wohl aber das Risiko, dass Angriffe erfolgreich in operative Systeme eindringen. Cybervorfälle sind damit immer seltener Ausnahmefälle, sondern wiederkehrende operative Ereignisse, auf die sich Unternehmen einstellen und die sie aktiv steuern müssen.
Ein Ansatz, der dabei zunehmend zum Standard wird, sind externe Scans: ein wöchentlich automatisch initiiertes Audit der externen Oberfläche eines Unternehmens mit dem Ziel, Sicherheitslücken aufzuspüren. Solche Checks setzen Cyberversicherer und Security-Anbieter im Auftrag ihrer Kunden gezielt ein, um zu erkennen, welche Systeme und Dienste ihrer Kunden im Internet sichtbar und erreichbar sind und an welchen Stellen daraus Risiken für das Unternehmen entstehen können. Geprüft wird dabei ausschließlich, was von außen zugänglich ist, zum Beispiel Domains und Subdomains, zugehörige IP-Adressen, offene Ports und exponierte Dienste.
Viele Unternehmen verbinden externe Scans noch immer mit Sicherheit per Knopfdruck. In der Praxis entscheidet jedoch die Qualität. Ein guter externer Check ist methodisch sauber, verhältnismäßig und liefert priorisierte Befunde, die Teams tatsächlich abarbeiten können. Demgegenüber produziert ein schlechter Scan vor allem Lärm und kostet im Zweifel dort Zeit, wo es eigentlich schneller gehen müsste.
Woran sich ein schlechter Scan erkennen lässt
Schlechte Scans arbeiten häufig nach dem Prinzip, das mehr mit besser gleichsetzt: Sie erzeugen zahlreiche Meldungen ohne klare Einordnung, bewerten Nebensächlichkeiten über oder ordnen Assets zu großzügig zu. Eine hohe Zahl an Findings wird dadurch schnell zur trügerischen Kennzahl und verhindert im schlimmsten Fall, dass kritische Fälle rechtzeitig behoben werden.
Woran sich ein guter Scan erkennen lässt
Gute Scans kartieren die externe Angriffsfläche strukturiert und liefern belastbare Ergebnisse. Das beinhaltet die nachvollziehbare Zuordnung der gefundenen Assets und eine klare Priorisierung. Entscheidend ist außerdem, dass Findings nicht nur auffällig, sondern im jeweiligen Kontext relevant und handlungsleitend sind. Nur so entsteht ein echter Sicherheitsgewinn anstelle langer Listen ohne klare Handlungsempfehlung.
Warum das gerade jetzt zählt
Angriffe, die technische Schwachstellen ausnutzen, beginnen oft mit automatisierter Aufklärung der extern sichtbaren Systeme. Unternehmen, die ihre externe Oberfläche regelmäßig und qualitätsgesichert überprüfen, identifizieren Schwachstellen früher und reduzieren das Risiko erfolgreicher Angriffe auf operative Systeme.
Disclaimer:
„Für den oben stehenden Beitrag sowie für das angezeigte Bild- und Tonmaterial ist allein der jeweils angegebene Nutzer verantwortlich. Eine inhaltliche Kontrolle des Beitrags seitens der Seitenbetreiberin erfolgt weder vor noch nach der Veröffentlichung. Die Seitenbetreiberin macht sich den Inhalt insbesondere nicht zu eigen.“
