Veröffentlicht: 6. August 2026

Was ist External Attack Surface Management (EASM)?

Dieser Text wurde mit künstlicher Intelligenz (KI) erstellt.

External Attack Surface Management, kurz EASM, bezeichnet die kontinuierliche Identifikation, Bewertung und Überwachung aller IT-Systeme eines Unternehmens, die aus dem Internet erreichbar sind. Die Analyse erfolgt aus der Perspektive eines Angreifers: Sie zeigt, welche Server, Domains, Dienste und Anwendungen nach außen sichtbar sind und welche Risiken daraus entstehen. Dieser Beitrag erklärt, wie EASM funktioniert, wie es sich von Schwachstellenmanagement und Penetrationstests unterscheidet und worauf Sie bei der Auswahl einer Lösung achten sollten.

Das Wichtigste in Kürze

EASM erfasst alle aus dem Internet erreichbaren IT-Systeme eines Unternehmens und bewertet deren Risiken aus der Außenperspektive eines Angreifers.
Die Analyse kommt ohne Agenten und ohne Installation aus. Startpunkt ist in der Regel die Hauptdomain des Unternehmens.
EASM ergänzt Schwachstellenmanagement und Penetrationstests um die kontinuierliche Sicht auf unbekannte und vergessene Systeme.
Laut BSI-Lagebericht 2025 wurden im Berichtszeitraum durchschnittlich 119 neue Schwachstellen pro Tag bekannt, rund 24 Prozent mehr als im Vorjahreszeitraum.
Typische Funde sind Schatten-IT, vergessene Subdomains, offene Ports und veraltete, nach außen erkennbare Software.

Definition: Was bedeutet External Attack Surface Management?

Die externe Angriffsfläche eines Unternehmens umfasst alle digitalen Assets, die ein Angreifer ohne Zugang zum internen Netz erreichen kann. Dazu zählen Webserver, Mailserver, VPN-Zugänge, Cloud-Dienste, Schnittstellen (APIs), Subdomains, Zertifikate und exponierte Verwaltungsoberflächen. External Attack Surface Management ist der Prozess, diese Angriffsfläche systematisch zu erfassen, ihre Risiken zu bewerten und Veränderungen laufend zu überwachen.

Das Analystenhaus Gartner führte EASM im Jahr 2021 als eigene Kategorie in seinen Marktanalysen ein. Laut Gartner unterstützen EASM-Lösungen Unternehmen dabei, Risiken aus internetexponierten Systemen zu erkennen, von denen die Organisation häufig gar nichts weiß. Genau dieser Punkt unterscheidet EASM von klassischen Sicherheitsprüfungen: Es prüft nicht nur, was im Inventar steht, sondern findet zuerst heraus, was überhaupt zum Unternehmen gehört.

Der Bedarf wächst messbar. Laut BSI-Lagebericht 2025, veröffentlicht im November 2025, wurden zwischen Juli 2024 und Juni 2025 im Durchschnitt 119 neue Schwachstellen pro Tag bekannt, rund 24 Prozent mehr als im Vorjahreszeitraum. Gleichzeitig verteilen sich Unternehmenssysteme durch Cloud-Nutzung, Homeoffice und Zukäufe auf immer mehr Standorte und Anbieter. Ohne kontinuierliche Außensicht bleibt ein Teil dieser Angriffsfläche unbeobachtet und damit ungeschützt.

EASM, Schwachstellenmanagement und Penetrationstest im Vergleich

Die drei Ansätze beantworten unterschiedliche Fragen und ergänzen sich. Schwachstellenmanagement prüft bekannte, inventarisierte Systeme regelmäßig auf bekannte Schwachstellen. Ein Penetrationstest weist punktuell nach, ob sich definierte Ziele tatsächlich kompromittieren lassen. EASM liefert davor die Grundlage: ein aktuelles Bild der extern erreichbaren Systeme, inklusive der Assets, die in keinem Inventar stehen.

Kriterium	EASM	Schwachstellenmanagement	Penetrationstest
Perspektive	Außensicht des Angreifers auf alle erreichbaren Systeme	Innensicht auf bekannte, inventarisierte Systeme	Simulierter Angriff auf definierte Ziele
Erfasst unbekannte Assets	Ja, die Discovery ist Kernfunktion	Nein, geprüft wird das bekannte Inventar	Nur innerhalb des beauftragten Scopes
Frequenz	Kontinuierlich oder in kurzen Intervallen	Regelmäßige Scans nach Plan	Punktuell, meist ein- bis zweimal pro Jahr
Voraussetzungen	Keine Agenten, keine Installation, nur ein Startpunkt wie die Hauptdomain	Scanner oder Agenten im Netz, Zugriff auf die Systeme	Beauftragung, Scope-Definition, Testfenster
Typisches Ergebnis	Aktuelles Bild der externen Angriffsfläche mit Risikobewertung	Schwachstellenliste zu bekannten Systemen	Nachweis konkret ausnutzbarer Angriffspfade
Rolle im Sicherheitsprozess	Überblick, Priorisierung und Monitoring	Laufende Prüfung der bekannten Systeme	Tiefenprüfung ausgewählter Systeme

In der Praxis greifen die Ansätze ineinander. EASM identifiziert die Angriffsfläche und priorisiert die Risiken. Auf dieser Basis lassen sich Schwachstellenscans gezielt ausrichten und Penetrationstests auf die kritischen Systeme fokussieren. So fließt das Budget dorthin, wo das Risiko tatsächlich liegt.

So funktioniert EASM: Discovery, Bewertung, Monitoring

Am Anfang steht die Discovery. Ausgehend von einem Startpunkt, meist der Hauptdomain, ermittelt die Lösung alle zugehörigen Assets: Subdomains, IP-Adressen und Netzbereiche, Mail- und Nameserver, Zertifikate, Cloud-Instanzen und Webanwendungen. Dafür wertet sie unter anderem DNS-Daten, Certificate-Transparency-Logs und öffentliche Registrierungsdaten aus. Agenten oder Installationen im Unternehmensnetz sind nicht erforderlich.

Im zweiten Schritt bewertet die Lösung die gefundenen Systeme. Sie prüft offene Ports und erreichbare Dienste, Verschlüsselungs- und Zertifikatskonfigurationen, Mail-Sicherheitsmechanismen wie SPF, DKIM und DMARC sowie nach außen erkennbare Software. Erkannte Software-Stände lassen sich bekannten Schwachstellen (CVEs) zuordnen. Wichtig für die Einordnung: Eine Außenanalyse macht Exponierung und eingesetzte Software sichtbar. Ob eine konkrete Installation tatsächlich verwundbar ist, hängt auch von Patch-Ständen ab, die von außen nicht immer erkennbar sind. Seriöse Lösungen weisen diese Unterscheidung transparent aus, damit Ihr Team die Befunde korrekt verifizieren kann.

Der dritte Schritt ist das kontinuierliche Monitoring. Neue Subdomains, geöffnete Ports oder auslaufende Zertifikate erzeugen Meldungen, sobald sie auftauchen. Aggregierte Kennzahlen wie ein Security Rating machen die Entwicklung über die Zeit messbar und für Geschäftsführung und Aufsichtsgremien verständlich. Bei LocateRisk liegen erste Ergebnisse der IT-Risikoanalyse innerhalb von 48 Stunden vor.

Typische Funde: Schatten-IT, vergessene Subdomains, offene Ports

Bestimmte Fundmuster wiederholen sich über Branchen und Unternehmensgrößen hinweg:

Schatten-IT: Fachabteilungen betreiben eigene Tools, Testumgebungen oder Cloud-Dienste, die an der IT-Abteilung vorbei entstanden sind und in keinem Sicherheitskonzept auftauchen.
Vergessene Subdomains: Alte Projektseiten, Staging-Systeme oder Kampagnen-Seiten bleiben online, obwohl niemand sie mehr pflegt. Zeigt ein DNS-Eintrag auf eine aufgegebene Cloud-Ressource, droht zusätzlich eine Subdomain-Übernahme.
Offene Ports: Datenbanken, Remote-Desktop-Zugänge oder Verwaltungsoberflächen sind direkt aus dem Internet erreichbar, obwohl sie nur intern genutzt werden sollten.
Veraltete Software: Nach außen erkennbare Versionsstände von Webservern, Content-Management-Systemen oder Frameworks deuten auf fehlende Updates hin.
Konfigurationsfehler: Abgelaufene Zertifikate, schwache TLS-Einstellungen oder fehlende Mail-Sicherheitsmechanismen wie DMARC erleichtern Phishing und das Mitlesen von Verbindungen.

Diese Funde wirken selten spektakulär, sind aber genau die Einstiegspunkte, die Angreifer suchen. Wie verbreitet das Problem ist, zeigt der BSI-Lagebericht 2025: Demnach waren bei 47 Prozent der erreichbaren IP-Adressen hinter .de-Domains sensible Informationen öffentlich einsehbar, darunter Hinweise auf potenzielle Schwachstellen. Jedes vergessene System senkt die Hürde für einen erfolgreichen Angriff, unabhängig davon, wie gut die bekannten Systeme geschützt sind.

Welchen Nutzen bietet EASM?

Der unmittelbare Nutzen ist Transparenz. Sie sehen die eigene IT so, wie ein Angreifer sie sieht, und erhalten ein belastbares Inventar der extern erreichbaren Systeme. Darauf aufbauend priorisiert EASM die Risiken: Ein offener Datenbank-Port auf einem Produktivsystem wiegt schwerer als ein abgelaufenes Zertifikat auf einer Info-Seite. IT-Teams arbeiten dadurch an den Punkten mit dem größten Risiko, und die Geschäftsführung erhält über Kennzahlen einen nachvollziehbaren Überblick ohne technisches Detailwissen.

Hinzu kommt der regulatorische Nutzen. Die NIS-2-Richtlinie verpflichtet betroffene Unternehmen zu einem systematischen Risikomanagement. Das deutsche Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten und gilt Schätzungen zufolge für rund 29.500 Unternehmen in Deutschland. Ein kontinuierlich gepflegtes Bild der eigenen Angriffsfläche liefert dafür dokumentierbare Nachweise. Für Finanzunternehmen verlangt DORA zusätzlich die Steuerung von IKT-Drittparteirisiken.

Ein weiterer Vorteil ergibt sich aus der Methode selbst. Weil die Analyse ohne Installation und ohne Mitwirkung des geprüften Unternehmens funktioniert, lässt sie sich auch auf Dienstleister und Zulieferer anwenden. Damit wird EASM zur technischen Basis für das Management von Lieferantenrisiken.

Auswahlkriterien: Worauf Sie bei einer EASM-Lösung achten sollten

Der Markt für EASM-Lösungen ist seit 2021 deutlich gewachsen. Die folgenden Kriterien helfen bei der Bewertung:

Discovery-Qualität und Nachvollziehbarkeit: Die Lösung sollte belegen, warum ein Asset dem Unternehmen zugeordnet wurde. Korrekturen am Scope müssen einfach möglich sein.
Verständliche Bewertung: Kennzahlen wie ein KPI-basiertes Security Rating müssen für Technik und Geschäftsführung gleichermaßen lesbar sein und Prioritäten begründen.
Kontinuität: Einmalige Scans veralten schnell. Achten Sie auf laufendes Monitoring mit Benachrichtigungen bei relevanten Veränderungen.
Geringer Einführungsaufwand: Eine Außenanalyse sollte ohne Agenten, ohne Installation und ohne langen Projektvorlauf starten. Erste Ergebnisse sollten innerhalb weniger Tage vorliegen, bei LocateRisk innerhalb von 48 Stunden.
Aktualität der Schwachstellendaten: Eine EASM-Lösung sollte neue Schwachstellenhinweise auch dann einordnen können, wenn noch keine abschließende NVD-Bewertung vorliegt. LocateRisk nutzt dafür Preemptive Intelligence und gleicht Meldungen aus mehreren Quellen mit der Angriffsfläche ab. So lassen sich potenzielle Risiken früher priorisieren.
Datenschutz und Hosting: Für Unternehmen in Deutschland zählen DSGVO-Konformität, Hosting in zertifizierten deutschen Rechenzentren und ein ISO-27001-zertifiziertes ISMS des Anbieters zu den zentralen Kriterien.
Erweiterbarkeit auf Lieferanten: Wenn Sie perspektivisch auch Dienstleister bewerten wollen, sollte die Lösung Vendor-Risk-Management unterstützen.

Prüfen Sie die Kriterien am besten an der eigenen Angriffsfläche. Ein Test mit der eigenen Hauptdomain zeigt schnell, wie gut die Discovery erreichbare Systeme erfasst und wie verständlich die Ergebnisse aufbereitet sind.

Häufige Fragen

Was gehört alles zur externen Angriffsfläche?

Alle Systeme, die aus dem Internet erreichbar sind: Domains und Subdomains, IP-Adressen, Webanwendungen, APIs, Mail- und Nameserver, VPN- und Remote-Zugänge, Cloud-Dienste und Zertifikate. Auch Systeme von Tochterfirmen oder aus Zukäufen zählen dazu, sofern sie dem Unternehmen zuzuordnen sind.

Ersetzt EASM einen Penetrationstest?

Nein. EASM zeigt kontinuierlich, welche Systeme erreichbar sind und wo Risiken liegen. Ein Penetrationstest prüft punktuell und in der Tiefe, ob sich konkrete Systeme kompromittieren lassen. Beide Ansätze ergänzen sich: EASM liefert Überblick und Priorisierung, der Penetrationstest die Tiefenprüfung der kritischen Ziele.

Benötigt EASM Zugriff auf das interne Netzwerk?

Nein. EASM arbeitet ausschließlich mit Informationen, die von außen sichtbar sind. Es benötigt weder Agenten noch Zugangsdaten noch eine Installation. Genau darin liegt der methodische Wert: Die Analyse zeigt das Bild, das auch ein Angreifer sieht.

Wie schnell liefert eine EASM-Analyse Ergebnisse?

Da keine Agenten installiert werden müssen, startet die Analyse ohne Projektvorlauf. Die Dauer hängt von der Größe der Angriffsfläche ab. LocateRisk stellt die erste Analyseergebnisse innerhalb von 48 Stunden bereit. Danach hält das Monitoring die Ergebnisse fortlaufend aktuell.

Für welche Unternehmen lohnt sich EASM?

Für jedes Unternehmen mit eigener Internetpräsenz. Besonders relevant ist es für Organisationen mit gewachsener IT, mehreren Standorten oder Zukäufen sowie für Unternehmen, die unter NIS-2 oder DORA fallen und Nachweise über ihr Risikomanagement führen müssen.

Der einfachste Einstieg ist ein Blick auf die eigene Angriffsfläche. Fordern Sie ein kostenloses Security-Rating an und sehen Sie, welche Systeme Ihres Unternehmens von außen sichtbar sind, wie Ihre Sicherheitslage im Vergleich abschneidet und wo die größten Risiken liegen.