Server im Internet: nicht ob, sondern wann

Machen Sie eine kurze Übung: Zählen Sie alles auf, was in Ihrem Unternehmen gerade auf eine Anfrage aus dem Internet antwortet. Die Firewall. Den VPN-Konzentrator. Den Mailserver. Das Web-Panel des ERP. Das RDP-Gateway, das 2021 „vorübergehend" für jemanden im Homeoffice geöffnet wurde. Den Testserver, der nach Projektende weiterläuft. Hat diese Liste länger als zwei Minuten gedauert, oder sind Sie nicht sicher, dass sie vollständig ist, haben Sie bereits die halbe Antwort dieses Artikels.

Niemand hat Sie heute dafür angegriffen, wer Sie sind. Die Sensornetzwerke, die den Scan-Verkehr im Internet mitschneiden, registrierten im Januar 2026 rund 218 Millionen Ereignisse von 248.608 eindeutigen Hosts — 32% mehr als im Vormonat, darunter allein 113 Millionen Versuche gegen MSSQL-Datenbankserver. Das sind automatisierte Versuche und Scan-Verkehr, keine erfolgreichen Einbrüche; die Unterscheidung ist wichtig. Bei diesem Volumen hört Exponiertheit jedoch auf, eine Frage der Wahrscheinlichkeit zu sein. Es geht nicht um ob, sondern um wann — und die eigentlich entscheidende Variable ist, was in den Stunden danach passiert.

Was in Ihrem Unternehmen tatsächlich im Internet steht

Die meisten kleinen und mittleren Unternehmen können diese Frage nicht innerhalb eines Arbeitstages beantworten. Nicht aus Nachlässigkeit, sondern weil die Liste nirgends existiert: Sie lebt im Kopf eines Administrators, der vor zwei Jahren gegangen ist, in einer Firewall-Konfiguration, die seit ihrer Erstellung niemand mehr gelesen hat, und im kollektiven Gedächtnis von drei Personen, die sich an Unterschiedliches erinnern. Und was auf keiner Liste steht, taucht auch in keinem Patch-Plan auf.

• Öffentlich erreichbare Web-Administrationsoberflächen — in einer Studie zu 3.000 Angriffsflächen hatten 60% solche Panels exponiert.
• Riskante Ports, direkt zum Internet geöffnet — 49% in derselben Studie.
• Von außen erreichbare Datenbanken — 42%; genau die Kategorie, auf die jene 113 Millionen Januar-Versuche zielten.
• Perimetergeräte (Firewall, VPN, Gateway), behandelt als Hardware, die „einfach läuft", statt als Software, die aktualisiert werden muss.
• Test-, Demo- oder Staging-Server, die weiterlaufen, noch im DNS stehen und keinen benannten Eigentümer haben.
• Niemand besitzt die Liste: Das Inventar ist kein versioniertes Dokument, sondern eine Erinnerung.

Das Muster ist nicht ein schlecht konfigurierter Server. Es ist, dass die Angriffsfläche mit jedem neuen Projekt wächst und nie schrumpft, weil niemand die ausdrückliche Aufgabe hat, sie zu verkleinern. Jede Integration, jeder Lieferant mit Zugang, jedes „lassen wir bis nächste Woche offen" fügt etwas hinzu, das nie wieder geschlossen wird. Sie können nicht verteidigen, was Sie nicht aufzählen können — und das Unangenehme daran ist, dass der Angreifer Ihre Infrastruktur wöchentlich aufzählt, automatisch und kostenlos.

Die Ausnutzung von Schwachstellen ist zum Haupteingang geworden

Der Verizon DBIR 2026 hat eine Verschiebung festgehalten, die sich seit Jahren aufgebaut hatte: Die Ausnutzung von Schwachstellen hat gestohlene Zugangsdaten überholt und ist zum Angriffsvektor Nummer eins für den Erstzugang geworden — zum ersten Mal in der 19-jährigen Geschichte des Berichts. Es geht um 31% der analysierten Erstzugangsvektoren, gegenüber 20% im Vorjahr, ein Sprung von 55% von Jahr zu Jahr. Die Zahl bedeutet nicht, dass 31% der Unternehmen so angegriffen wurden; sie bedeutet, dass von den untersuchten erfolgreichen Zugängen fast jeder dritte über eine ausgenutzte Schwachstelle kam und nicht über gestohlene Passwörter oder Phishing.

Wo diese Angriffe landen, dürfte Sie am meisten interessieren. Ebenfalls im DBIR 2026 stiegen Perimetergeräte und VPNs von 3% auf 22% der durch Ausnutzung verursachten Vorfälle — eine Versiebenfachung in einem einzigen Jahr. Mandiant-Analysen weisen in dieselbe Richtung: Im untersuchten Zeitraum lagen die vier am häufigsten ausgenutzten Schwachstellen allesamt in Perimetergeräten (Palo Alto PAN-OS, Ivanti Connect Secure, Ivanti Policy Secure und Fortinet FortiClient EMS). Mit anderen Worten: Genau die Box, die Sie zum Schutz des Perimeters gekauft haben, wurde zum meistangegriffenen Element darauf.

Was KI auf der Angreiferseite tatsächlich verändert

Hier lohnt Präzision, denn die öffentliche Erzählung hat sich auf makellos formulierte Phishing-Mails festgelegt. Das ist der sichtbare und, ehrlich gesagt, der uninteressanteste Teil. Die eigentliche Veränderung liegt nicht am Anfang der Angriffskette, sondern in ihrer Mitte: KI hat den Menschen aus den Phasen entfernt, die früher Stunden qualifizierter Operatorarbeit verschlangen.

Die Belege werden allmählich öffentlich. Im November 2025 legte Anthropic eine Cyberspionage-Kampagne offen, die einem Akteur mit China-Bezug zugeschrieben und als GTG-1002 sowie als MITRE ATT&CK Campaign C0062 geführt wird: Im September 2025 gegen rund 30 Ziele durchgeführt, gilt sie als erste weitgehend autonom von einem KI-Agenten orchestrierte Kampagne, der schätzungsweise 80-90% der operativen Aufgaben ausführte — Aufklärung, Schwachstellensuche, Ausnutzung, laterale Bewegung, Sammeln von Zugangsdaten und Exfiltration. Davon getrennt wurde im Mai 2026 der erste vollständig autonome, von einem Sprachmodell gesteuerte Post-Exploitation-Angriff in freier Wildbahn dokumentiert, abgeschlossen in weniger als einer Stunde.

Die Konsequenz ist ökonomisch, nicht technologisch. Die Zielauswahl war bislang eine menschliche Entscheidung: Jemand wählte Sie aus und verbrachte einen Nachmittag mit Ihnen, und die Kosten dieser Stunden waren faktisch Ihr Schutz. Klein zu sein war tatsächlich eine Verteidigung. Wenn Scannen, Sichten, Ausnutzen und laterale Bewegung zu einer einzigen automatisierten Pipeline statt zu vier menschlichen Aufgaben werden, hört „wir sind niemandes Aufwand wert" auf, eine Kategorie zu sein — weil niemandes Aufwand mehr aufgewendet wird.

Sie werden nicht mehr als Ziel ausgewählt. Sie werden nur aufgezählt.

Die drei Uhren

Ob Sie am Ende kompromittiert werden, ist im Kern ein Wettlauf zwischen drei Uhren. Die meisten Unternehmen schauen nur auf eine davon, und meist nicht auf die, die sie beeinflussen können.

1. 1Die Uhr des Angreifers — die Zeit von der Veröffentlichung einer Schwachstelle bis zu einem real eingesetzten Exploit. Sie sank von über 700 Tagen im Jahr 2020 auf rund 44 Tage im Jahr 2025, und Mandiant-Berichte aus 2026 zeigen, dass 28,3% der veröffentlichten Schwachstellen innerhalb der ersten 24 Stunden ausgenutzt werden. Bei neuen kritischen Schwachstellen in Perimetergeräten lag das mediane Intervall bis zur massenhaften Ausnutzung bei null Tagen: Die Ausnutzung beginnt praktisch zeitgleich mit der Veröffentlichung, mitunter noch vor dem Patch.
2. 2Ihre Uhr — die Zeit von der Veröffentlichung bis Sie den Patch tatsächlich eingespielt haben. Der Median stieg von 32 auf 43 Tage, während Organisationen 50% mehr Schwachstellen aus dem KEV-Katalog zu bearbeiten haben als vor einem Jahr. Ihre Uhr wird genau dann langsamer, wenn das Arbeitsvolumen wächst.
3. 3Die Uhr für Erkennung und Reaktion — wie lange Sie brauchen, um zu bemerken, dass etwas nicht stimmt, und zu handeln. Sie ist die einzige der drei, die Sie in Monaten statt in Jahren verändern können, und die einzige, die fast vollständig von Ihnen abhängt und nicht vom Zeitplan eines Herstellers.

Legen Sie die ersten beiden Uhren nebeneinander und Sie erhalten die Rechnung dieses gesamten Artikels: Sie können nicht in 43 Tagen beheben, was in null ausgenutzt wird. Das ist kein Disziplinproblem — kein IT-Team, wie gut auch immer, gewinnt ein Rennen mit diesem Handicap. Es ist ein strukturelles. Perfekte Prävention hat aufgehört, ein vollständiger Plan für alles zu sein, was am Perimeter steht.

Es geht nicht darum, Angst zu verkaufen, sondern Verhältnismäßigkeit. „Nicht ob, sondern wann" ist keine Marketingformel, sondern das Ergebnis einer Subtraktion, die jeder nachrechnen kann. Und ihre praktische Schlussfolgerung ist eher beruhigend als belastend: Wenn Sie das Patch-Rennen nicht gewinnen können, zählen zwei andere Dinge, und beide haben Sie in der Hand. Wie viele Uhren überhaupt laufen — also was exponiert ist — und wie schnell Sie erfahren, dass eine davon geklingelt hat.

Konkret: Fläche verkleinern, Uhr verkürzen

Das ist kein Sicherheitsprogramm, sondern eine Reihenfolge. Die ersten beiden Schritte kosten nichts außer Aufmerksamkeit und können am Montagmorgen beginnen.

1. 1Erstellen Sie das echte Expositionsinventar. Nicht die Liste in jemandes Kopf, sondern was tatsächlich auf eine Anfrage von außen antwortet: öffentliche IP-Adressen, Subdomains, offene Ports, Administrationsoberflächen, vergessene Dienste. Das Ergebnis muss ein versioniertes Dokument mit benanntem Eigentümer sein, keine E-Mail.
2. 2Schließen Sie alles, was keinen geschäftlichen Grund hat, öffentlich zu sein. Administrationsoberflächen, RDP, Datenbanken, Management-Schnittstellen — hinter das VPN verlegt oder auf IP-Adressen beschränkt. Hier verschwindet in der Regel der größte Teil der Angriffsfläche, ganz ohne Budget.
3. 3Behandeln Sie den Perimeter als kritische Software, nicht als Hardware. Abonnieren Sie die Sicherheitshinweise Ihrer Firewall-, VPN- und Gateway-Hersteller und benennen Sie jemanden, der sie tatsächlich liest. Das sind die Geräte an der Spitze der Ausnutzungsstatistiken, nicht Ihre Anwendungsserver.
4. 4Führen Sie zwei Patch-Kalender, nicht einen. Einen monatlichen für die interne Infrastruktur. Einen Notfallkalender, gemessen in Stunden, für alles, was im Internet exponiert ist und im KEV-Katalog auftaucht. Der zweite Kalender existiert einzig deshalb, weil die Uhr des Angreifers am Perimeter auf null steht.
5. 5Scannen Sie wiederkehrend, nicht jährlich. Die Fläche ändert sich mit jedem neuen Projekt, jeder Integration, jedem hinzugefügten Lieferanten. Ein Scan von vor sechs Monaten beschreibt ein Unternehmen, das es nicht mehr gibt.
6. 6Instrumentieren Sie die Erkennung auf exponierten Assets. Das Ziel ist einfach und überprüfbar: von einer Anomalie aus einer Warnmeldung zu erfahren, nicht von einem Kunden, der keine Bestellung aufgeben kann, oder von einem Mitarbeitenden, der anruft, weil es „langsam läuft".
7. 7Schreiben und üben Sie die Reaktion, bevor Sie sie brauchen. Wer entscheidet über die Isolierung eines Systems, wer informiert die Geschäftsführung, wer spricht mit Kunden, und in welcher Zeit. Eine zweistündige Tabletop-Übung ist mehr wert als ein 40-seitiger Plan, den niemand gelesen hat. Wiederherstellung und getestetes Backup kommen nach dieser Schicht, nicht an ihrer Stelle.

Wie das mit einem externen Partner aussieht

Die ersten beiden Schritte können Sie intern in einer Woche erledigen, und sie lohnen sich auch dann, wenn Sie nie mit jemandem von außen arbeiten. Die Schritte 3 bis 7 scheitern jedoch fast immer aus demselben Grund: Ihnen fehlen Wiederkehr und Eigentümerschaft. Das ist kein Kompetenzproblem, sondern eines der dauerhaften Aufmerksamkeit in einem Unternehmen, in dem alle bereits ausgelastet sind. Genau diese Schicht decken wir im Rahmen unserer Praxis für Cybersicherheit ab.

• Monatlicher externer und interner Scan mit nach CVSS priorisiertem Bericht, konkreten Empfehlungen zur Behebung und Retest nach der Korrektur — das Paket Vulnerability Scanning, dimensioniert nach Anzahl der Hosts.
• Rund-um-die-Uhr-Monitoring und Echtzeit-Alarmierung mit Zabbix und Grafana, mit Dashboards für die Geschäftsführung und monatlichem Verfügbarkeits- und Incident-Bericht. Aus unserer Projekterfahrung sind rund 80% der Vorfälle proaktiv erkennbar, bevor jemand anruft.
• Ein Incident-Response-Plan mit Playbooks für Ransomware, Datenexfiltration und Business E-Mail Compromise, dazu Tabletop-Übungen mit der Geschäftsführung — damit die schweren Entscheidungen vorher fallen und nicht in der ersten Krisenstunde.
• Eine verantwortliche Person, auch wenn sie nicht bei Ihnen angestellt ist: CISO as a Service, für Unternehmen, die eine Strategie und einen Ansprechpartner gegenüber Behörden brauchen, aber keine Vollzeitstelle rechtfertigen.

Die Dimensionierung richtet sich nach der Anzahl der Hosts und Geräte, und der tatsächliche Umfang entscheidet sich nach dem ersten Inventar — häufig ist die Fläche kleiner als die Befürchtung und größer als die Liste, mit der das Unternehmen gestartet ist.

Fazit

Exponiertheit im Internet ist kein Fehler, sondern die natürliche Folge davon, online Geschäfte zu machen. Verändert hat sich, dass Automatisierung die Kosten der Auswahl für den Angreifer beseitigt hat, und die Rechnung zwischen seiner und Ihrer Uhr wird sich nicht umkehren. Der Unterschied zwischen einem Vorfall und einer Krise bleibt fast immer, wie klein Ihre Fläche ist und wie schnell Sie es erfahren. Wenn Sie jetzt nicht in zwei Minuten sagen können, was in Ihrem Unternehmen auf einen Scan aus dem Internet antwortet, fangen wir genau dort an — lassen Sie uns 30 Minuten sprechen, und Sie gehen mit der Liste, unabhängig davon, wie Sie sich danach entscheiden.