Wie finde ich heraus, welche Server und Dienste meines Unternehmens im Internet exponiert sind?

Über eine Abfrage von außen, genau aus der Perspektive des Angreifers: öffentliche IP-Adressen, Subdomains, offene Ports, Administrationsoberflächen und antwortende Dienste. Die Shadowserver Foundation stellt kostenlose Tagesberichte für den eigenen IP-Bereich bereit. Das Ergebnis deckt sich fast nie mit der gedanklichen Liste des Teams — vergessene Testserver und Dienste aus längst beendeten Projekten tauchen regelmäßig auf.

Wie schnell wird eine neue Schwachstelle nach der Veröffentlichung ausgenutzt?

Die Quellen sind sich uneins: Flashpoint errechnet im Schnitt rund 44 Tage, Cybermindr etwa 5. Für kritische Perimeter-Schwachstellen aus dem CISA-KEV-Katalog maß der DBIR 2025 eine mediane Zeit von null Tagen bis zur massenhaften Ausnutzung — praktisch zeitgleich mit der Ankündigung. Die gemeinsame Schlussfolgerung aller Quellen: Die Ausnutzung überholt das Tempo, in dem Unternehmen eine bereits verfügbare Korrektur einspielen.

Ich habe Firewall und VPN — bin ich damit nicht schon geschützt?

Nur wenn sie im Takt des Perimeters aktualisiert werden, nicht im Takt des Büros. Genau diese Kategorie wurde zur meistangegriffenen: Im DBIR 2025 stieg der Anteil der Perimetergeräte an den Ausnutzungen innerhalb eines Jahres von 3% auf 22%. Mandiant bestätigt das Muster mit CVE-2023-46805 und CVE-2024-21887 in Ivanti Connect Secure, ausgenutzt als Zero-Days, bevor eine öffentliche Korrektur existierte.

Ist mein Unternehmen zu klein, um ein interessantes Ziel zu sein?

Die Daten sagen etwas anderes. Im DBIR 2026 waren unter den Ransomware-Fällen mit bekannter Organisationsgröße rund 96% der Opfer Unternehmen mit weniger als 1.000 Mitarbeitenden. ENISA weist Ransomware mit 81,1% der Cyberkriminalitätsvorfälle in der EU aus, und die Industrialisierung über Ransomware-as-a-Service hat KMU zu Zielen mit eigenem Wert gemacht, nicht zu Kollateralopfern. Automatisiertes Scannen wählt nicht danach aus, wie interessant ein Unternehmen ist.

Server im Internet: nicht ob, sondern wann sie getroffen werden

Öffnen Sie jetzt, wenn Sie können, das Protokoll der abgewiesenen Verbindungen Ihrer Unternehmens-Firewall der letzten 24 Stunden. Ist es leer, oder weiß niemand, wo er suchen müsste, um es zu finden, haben Sie bereits die erste Antwort auf die Frage im Titel: nicht ob, sondern wann. Jemand versucht bereits hineinzukommen, rund um die Uhr, automatisch. Entscheidend ist allein, ob Sie es erfahren.

Was „gescannt" tatsächlich bedeutet

Scan-Versuche und erfolgreiche Einbrüche sind nicht dasselbe Phänomen — die Presse vermischt beides häufig. Scannen ist automatisiert und universell: Tausende Systeme klopfen ununterbrochen an jede öffentliche IP-Adresse. Ein erfolgreicher Einbruch verlangt etwas anderes: eine reale, ungepatchte Schwachstelle und das Fehlen einer Erkennung, die ihn rechtzeitig stoppt.

GreyNoise meldete am 3. Oktober 2025 einen Anstieg von rund 500% an einem einzigen Tag bei den Adressen, die Palo-Alto-Login-Portale scannten — von unter 200 auf etwa 1.300, davon 93% als „verdächtig" eingestuft, mit Infrastruktur, die in den vorangegangenen 48 Stunden entstanden war. Ein ähnliches Muster zeigte sich bei F5-BIG-IP-Geräten, genau an dem Tag, an dem F5 seinen eigenen Vorfall bekannt gab, am 15. Oktober 2025.

Die rumänische DNSC registrierte 2024 rund 27,08 Millionen Sicherheitsereignisse — Computerbetrug +40,2%, Malware +286,8%, Defacement dagegen -45,8% und DDoS -38,5%. Die Daten zeigen keinen einheitlichen Aufwärtstrend. Sie zeigen, dass manche Bedrohungen schnell wachsen und andere nicht; entscheidend für ein Unternehmen bleibt, ob seine Infrastruktur von außen gefunden und genutzt werden kann.

Die Ausnutzung von Schwachstellen, der Haupteingang

Drei große Berichte laufen in dieselbe Richtung, auch wenn sie nicht direkt vergleichbar sind — sie messen unterschiedliche Datengrundlagen. Der Verizon DBIR 2026 (Mai 2026, über 22.000 bestätigte Vorfälle, Daten von November 2024 bis Oktober 2025) beziffert die Ausnutzung von Schwachstellen auf 31% der Erstzugangsvektoren, gegenüber zuvor 20% — ein Anstieg um 55%. Zum ersten Mal in den 19 Jahren des Berichts übertrifft die Ausnutzung gestohlene Zugangsdaten als wichtigsten Einstiegspunkt.

Der Missbrauch von Zugangsdaten sank beim Erstzugang von 22% auf 13% — der Bericht erklärt auch warum: Er trennte „Pretexting" (die direkte Manipulation einer Person) als eigenen Vektor ab, was die Zahl künstlich nach unten zog. Über alle Phasen eines Vorfalls hinweg betrachtet bleibt der Missbrauch von Zugangsdaten mit 39% an erster Stelle.

Mandiant M-Trends 2025 beziffert die Ausnutzung von Schwachstellen für die Vorfälle des Jahres 2024 auf 33% — das fünfte Jahr in Folge als dominierender Vektor. IBM X-Force 2026 kommt auf Basis der Daten von 2025 auf 40%, ein Anstieg von 44% gegenüber dem Vorjahr. 31%, 33% und 40% sind verschiedene Stichproben — bestätigte Vorfälle, von einem Unternehmen untersuchte Vorfälle, Telemetrie eines anderen Anbieters — die dieselbe qualitative Geschichte erzählen: Die Ausnutzung einer ungepatchten Schwachstelle ist zu einem immer häufigeren Weg in ein Netzwerk geworden.

Die Ausgabe 2025 desselben Verizon-Berichts zeigte bereits, wo sich die Ausnutzung konzentriert: Der Anteil der Perimetergeräte stieg innerhalb eines Jahres von 3% auf 22%, um mehr als das Siebenfache. Mandiant bestätigt das Muster mit einem konkreten Beispiel — CVE-2023-46805 und CVE-2024-21887 (Ivanti Connect Secure), ausgenutzt als Zero-Days, also bevor eine öffentliche Korrektur existierte. Rechnet man den Zugang über gestohlene Zugangsdaten (16%) und über einen Access Broker gekauften Zugang (8%) hinzu, kommt Mandiant auf 57% der Vorfälle, die von einer ungepatchten Schwachstelle, einer kompromittierten Zugangsdatei oder einem fertig gekauften Zugang ausgingen.

Das Rennen gegen die Uhr: die Uhr der Verteidigung ist langsamer geworden

Die Ausgabe 2025 des DBIR maß für kritische Perimeter-Schwachstellen aus dem CISA-KEV-Katalog eine mediane Zeit von null Tagen zwischen Veröffentlichung und massenhafter Ausnutzung — praktisch zeitgleich mit der Ankündigung. Über alle KEV-Schwachstellen hinweg lag der Median bei 5 Tagen; die Verteidiger brauchten im Median 32 Tage, um die Korrektur einzuspielen.

Die Ausgabe 2026 zeigt, dass diese Uhr nicht schneller geworden ist — sie ist langsamer geworden. Nur 26% der KEV-Schwachstellen werden vollständig behoben, gegenüber zuvor 38%. Die mediane Behebungszeit stieg von 32 auf 43 Tage; die mediane Zahl der pro Organisation zu patchenden Schwachstellen wuchs von 11 auf 16.

Wie lange dauert es, bis eine neue Schwachstelle aktiv ausgenutzt wird? Die Quellen sind sich uneins — Flashpoint errechnet 44 Tage, Cybermindr etwa 5 — doch alle zeigen dasselbe: Die Ausnutzung überholt das Tempo, in dem Unternehmen eine bereits verfügbare Korrektur einspielen können.

Was KI auf der Angreiferseite verändert

Die öffentliche Erzählung über KI und Sicherheit hat sich auf makellos formuliertes Phishing festgelegt — den sichtbaren, aber weniger wichtigen Teil. Am 13. November 2025 machte Anthropic GTG-1002 öffentlich, eine Cyberspionage-Kampagne, die mit hoher Zuversicht einer vom chinesischen Staat gesponserten Gruppe zugeschrieben und im September 2025 entdeckt wurde. Sie richtete sich gegen rund 30 Organisationen aus Technologie, Finanzwesen, Chemie und öffentlicher Verwaltung — von denen nur wenige tatsächlich kompromittiert wurden.

Das Modell Claude Code, orchestriert über MCP-Server (ein Protokoll, über das die KI andere Werkzeuge direkt steuert, ohne menschlichen Operator), führte 80-90% der taktischen Tätigkeit aus — Aufklärung, Schwachstellentests, laterale Bewegung — mit menschlichem Eingriff an lediglich 4-6 kritischen Punkten. Anthropic räumt die Grenzen ein: Das Modell halluzinierte mitunter Zugangsdaten oder Informationen, die sich bei Überprüfung als öffentlich herausstellten.

Die Skepsis verdient Erwähnung. Anthropic veröffentlichte keine technischen Kompromittierungsindikatoren, und BleepingComputer erhielt auf Nachfragen nach Details keine Antwort. Yann LeCun, damals bei Meta, schrieb auf X, solche Studien verfolgten „Regulatory Capture" — eine Marktregulierung zugunsten der großen Akteure. Die Veröffentlichung fiel mit einer Finanzierungsrunde über 13 Milliarden Dollar zusammen. Dass das Ereignis gemeldet wurde, ist gesichert; die tatsächliche Autonomie der KI-Komponente bleibt umstritten.

CrowdStrike berichtet im Global Threat Report 2026 — auf Basis eigener Telemetrie — von einer „Breakout"-Zeit (vom Erstzugang bis zur lateralen Bewegung) von 29 Minuten im Jahr 2025, mit einem Rekord von 27 Sekunden, sowie von einem Anstieg der Aktivität „KI-gestützter" Angreifer um 89%, darunter FANCY BEAR. IBM X-Force legt einen Zusammenhang zwischen dem Anstieg der Ausnutzung um 44% und der KI-beschleunigten Entdeckung von Schwachstellen nahe — eine Korrelation, keine nachgewiesene Kausalität.

Das zentrale Argument betrifft nicht die Qualität einer Phishing-Mail, sondern die Ökonomie des Angriffs. Die Auswahl eines Ziels war bislang eine kostspielige menschliche Entscheidung — und diese Kosten waren in der Praxis Ihre implizite Verteidigung. Die verfügbaren Daten zeigen eine Richtung, keine vollständige Gewissheit: Wenn Aufklärung und Ausnutzung Teile einer automatisierten Pipeline werden, sinken die Kosten, als Ziel ausgewählt zu werden.

Ihr Unternehmen wird nicht mehr von einem Menschen ausgewählt. Es ist nur eine Zeile in einer automatisch erzeugten Liste, die alle paar Minuten erneut geprüft wird.

KI kann auch für Sie arbeiten

Dieselbe Technologie arbeitet nicht nur für Angreifer. Laut IBM Cost of a Data Breach Report 2025 lagen die durchschnittlichen Kosten eines Vorfalls bei Unternehmen, die KI und Automatisierung in der Sicherheit umfassend einsetzen, bei 3,62 Millionen Dollar; bei den übrigen bei 5,52 Millionen — eine Differenz von 1,9 Millionen. Die durchschnittliche Zeit bis zur Identifizierung und Eindämmung sank auf 241 Tage, das beste Ergebnis seit neun Jahren; intensive KI-Nutzer verkürzten sie um weitere 80 Tage.

Dieselbe Quelle warnt vor „Shadow AI" — nicht autorisierten KI-Werkzeugen, die Mitarbeitende ohne Wissen der IT-Abteilung nutzen — die die Kosten eines Vorfalls im Schnitt um 670.000 Dollar erhöhen. KI senkt das Risiko nur dann, wenn sie mit Absicht eingeführt wird, nicht wenn sie sich unbemerkt einschleicht.

Größe schützt Sie operativ nicht mehr — und vertraglich immer weniger

Die obigen Zahlen stammen größtenteils aus Erhebungen, die von großen Organisationen dominiert werden. Der DBIR 2026 beantwortet direkt, ob sie auch für ein mittelständisches Unternehmen gelten: Unter den Ransomware-Fällen, bei denen die Größe der Organisation bekannt ist, waren rund 96% der Opfer „Small Business" — unter 1.000 Mitarbeitende nach Verizons Definition, breiter als das, was in Rumänien unter „KMU" verstanden wird. Bei opportunistischer Ransomware wurden die Opfer über Zugangsdaten (38%) oder ungepatchte Perimeter-Schwachstellen (29%) kompromittiert.

ENISA Threat Landscape 2025 (Juli 2024 – Juni 2025) weist Ransomware mit 81,1% der Cyberkriminalitätsvorfälle in der EU aus, mit Akira, SafePay und Qilin an der Spitze der 82 aktiven Varianten. Die Kriminalität hat sich über Ransomware-as-a-Service industrialisiert — KMU sind Ziele mit eigenem Wert, keine Kollateralopfer (European DIGITAL SME Alliance). Eine Sophos-Erhebung von 2025 nennt für Unternehmen mit 100-250 Mitarbeitenden durchschnittliche Wiederherstellungskosten von 638.536 Dollar, ohne Lösegeld. Die DNSC veröffentlicht keine vergleichbare Aufschlüsselung für Rumänien.

Seit 2025 hat sich über dieses Bild ein strengerer Rechtsrahmen gelegt. NIS2 wurde in Rumänien durch die OUG 155/2024 umgesetzt, mit der DNSC als Behörde: Erstmeldung binnen 24 Stunden, Zwischenbericht nach 72 Stunden, Abschlussbericht nach 30 Tagen. Kleinstunternehmen unter 50 Mitarbeitenden sind rechtlich in der Regel ausgenommen — bleiben aber unter vertraglichem Druck, wenn sie Leistungen für größere Kunden erbringen. Die DORA-Verordnung, seit Januar 2025 in Kraft, verpflichtet IT-Dienstleister von EU-Finanzinstituten unmittelbar, unabhängig von ihrer Größe. Die DSGVO gilt parallel weiter — die Pflichten summieren sich.

Was Sie konkret tun, ab Montagmorgen

Die folgende Liste deckt die Punkte ab, an denen die beiden oben beschriebenen Rennen gewonnen oder verloren werden: das Einspielen von Korrekturen und das Erkennen eines Eindringens, das inzwischen in Minuten gemessen wird.

1Erstellen Sie das echte Expositionsinventar — was tatsächlich auf eine Anfrage von außen antwortet, nicht was jemand aus dem Gedächtnis weiß. Die Shadowserver Foundation stellt kostenlose Tagesberichte für den eigenen IP-Bereich bereit (shadowserver.org); die CISA bietet einen ähnlichen Dienst, allerdings nur für die USA.
2Schließen Sie alles, was keinen geschäftlichen Grund hat, öffentlich zu sein, und behandeln Sie dann den Perimeter — Firewall, VPN, Gateway — mit Priorität. Ihr Anteil an den Ausnutzungen stieg innerhalb eines Jahres um mehr als das Siebenfache.
3Aktivieren Sie Multi-Faktor-Authentifizierung (MFA) an allen exponierten Zugangspunkten — eine der günstigsten Barrieren gegen gestohlene Zugangsdaten.
4Segmentieren Sie das Netzwerk — trennen Sie IT von Produktionssystemen, isolieren Sie öffentliche Dienste in einer eigenen Zone. Begrenzen Sie, was ein Angreifer nach einem ersten Eindringen tun kann.
5Investieren Sie in Erkennung, ausgelagert an einen Partner für Cybersicherheit, wenn Sie kein eigenes Team haben. Bei einer Breakout-Zeit unter 30 Minuten kommt eine manuelle Reaktion nur noch selten rechtzeitig.
6Wenden Sie die Backup-Regel 3-2-1-1-0 an — drei Kopien, zwei verschiedene Medien, eine offsite, eine unveränderlich oder offline, null Fehler bei den vierteljährlichen Wiederherstellungstests. Heutige Ransomware zielt aktiv auf Backups.
7Schreiben und testen Sie einen Incident-Response-Plan — wer entscheidet über die Isolierung eines Systems, wer informiert Geschäftsführung und Kunden, und in welcher Zeit.

Fazit

Nichts von dem, was Sie bis hierher gelesen haben, ist ein Grund zur Panik — es ist ein Grund für Verhältnismäßigkeit. Automatisiertes Scannen ist universell und hängt nicht davon ab, wie interessant Ihr Unternehmen ist; entscheidend ist allein, was davon von außen gefunden und genutzt werden kann. KI scheint die Kosten der Zielauswahl gesenkt zu haben, auch wenn der genaue Grad der Autonomie umstritten bleibt. Dieselbe Technologie senkt, auf belastbareren Daten, die Kosten der frühen Erkennung für diejenigen, die sie mit Absicht einsetzen. Der Unterschied zwischen einem beherrschten Vorfall und einer Krise bleibt fast immer derselbe: wie klein Ihre exponierte Fläche ist und wie schnell Sie es erfahren. Der erste Schritt kostet nichts: Bitten Sie Ihr IT-Team bis Montagmorgen um die vollständige Liste all dessen, was derzeit auf eine Anfrage aus dem Internet antwortet. Wenn Sie sie gemeinsam durchgehen möchten, lassen Sie uns 30 Minuten sprechen.

Quellen

GreyNoise — Analyse des Scannens von Palo-Alto-Portalen und F5-BIG-IP-Geräten, Oktober 2025 (greynoise.io)
Nationales Direktorat für Cybersicherheit Rumäniens (DNSC) — Cybersicherheitsstatistik Rumänien 2024 (dnsc.ro)
Verizon — Data Breach Investigations Report (DBIR) 2026, Mai 2026, sowie Ausgabe 2025 (verizon.com/business/resources/reports/dbir)
Mandiant (Google Cloud) — M-Trends 2025 (cloud.google.com/security/resources/m-trends)
IBM — X-Force Threat Intelligence Index 2026 und Cost of a Data Breach Report 2025 (ibm.com/reports)
CISA — Known Exploited Vulnerabilities (KEV) Catalog (cisa.gov/known-exploited-vulnerabilities-catalog)
Anthropic — „Disrupting the first reported AI-orchestrated cyber espionage campaign", 13. November 2025 (anthropic.com)
CrowdStrike — 2026 Global Threat Report, 24. Februar 2026 (crowdstrike.com/global-threat-report)
ENISA — Threat Landscape 2025, Oktober 2025 (enisa.europa.eu); European DIGITAL SME Alliance (digitalsme.eu)
Sophos — State of Ransomware 2025 (sophos.com); Flashpoint (flashpoint.io) und Cybermindr (cybermindr.com) — durchschnittliche Zeit bis zur Ausnutzung
Shadowserver Foundation — kostenlose Expositionsscans und Berichte (shadowserver.org)
OUG 155/2024 (NIS2-Umsetzung in Rumänien); Verordnung (EU) 2022/2554 (DORA); Verordnung (EU) 2016/679 (DSGVO)