Dernière mise à jour : 6 août 2026

EASM, CAASM und DRPS: Unterschiede und Einsatzbereiche

L'essentiel en bref

• Gestion de la surface d'attaque externe (EASM) betrachtet öffentlich erreichbare Assets und Expositionen aus einer Outside-in-Perspektive.
• Cyber Asset Attack Surface Management (CAASM) führt vor allem Daten vorhandener IT- und Security-Werkzeuge über Schnittstellen zusammen und korreliert sie.
• Digital Risk Protection Services (DRPS) beobachten digitale Risiken außerhalb klassischer Unternehmensgrenzen, zum Beispiel Markenmissbrauch, gefälschte Domains oder offengelegte Daten.
• Die Kategorien überlappen sich. Produktumfang und Bezeichnungen unterscheiden sich je nach Anbieter; die konkrete Datenquelle ist daher aussagekräftiger als das Etikett.
• Eine Kombination kann sinnvoll sein, wenn externe Exposition, interne Asset-Daten und digitale Bedrohungen gemeinsam in priorisierte Arbeitsabläufe einfließen sollen.

Drei Kategorien mit unterschiedlichen Ausgangspunkten

EASM, CAASM und DRPS werden häufig nebeneinander genannt, weil alle drei Kategorien Sichtbarkeit über digitale Risiken versprechen. Sie beginnen jedoch an verschiedenen Punkten. EASM fragt, welche Systeme einer Organisation aus dem Internet erkennbar und erreichbar sind. CAASM fragt, welche Assets und Sicherheitsinformationen bereits in internen Werkzeugen vorhanden sind und wie sich diese Daten zu einem belastbaren Bestand verbinden lassen. DRPS fragt, welche digitalen Risiken außerhalb der eigenen Infrastruktur entstehen, etwa durch Markenimitation, Phishing-Domains oder veröffentlichte Zugangsdaten.

Die Begriffe stammen aus dem Markt für Attack Surface Management und wurden wesentlich durch Analysten geprägt. Gartner führt EASM, CAASM und DRPS als unterschiedliche Anwendungsfelder innerhalb dieses Marktes. Das bedeutet nicht, dass jede Lösung exakt dieselben Funktionen besitzt. Anbieter erweitern ihre Produkte, kombinieren Kategorien oder verwenden eigene Abgrenzungen. Eine Beschaffung sollte deshalb nicht allein auf einem Akronym beruhen.

Für eine fachliche Einordnung helfen fünf Fragen: Welche Assets liegen im Sichtbereich? Woher stammen die Daten? Muss ein interner Zugang eingerichtet werden? Welche Risiken lassen sich aus den Daten ableiten? Und welches Team soll die Ergebnisse bearbeiten? Diese Fragen machen Überschneidungen und Lücken sichtbar.

EASM: die externe Angriffsfläche von außen beobachten

External Attack Surface Management erfasst und überwacht internetexponierte Assets aus der Perspektive eines externen Beobachters. Offizielle Microsoft-Dokumentation beschreibt EASM als kontinuierliche Erkennung und Abbildung der digitalen Angriffsfläche. Ausgangspunkte können bekannte Domains, IP-Adressbereiche, Hosts, autonome Systemnummern oder Organisationsdaten sein. Beziehungen zwischen diesen Elementen helfen, weitere potenziell zugehörige Assets zu finden.

Der Outside-in-Ansatz ist nützlich, wenn die interne Inventarliste die öffentlich sichtbare Realität nicht zuverlässig abbildet. Gründe können neue Cloud-Ressourcen, dezentrale Beschaffung, Testsysteme, Unternehmenszukäufe oder veraltete DNS-Einträge sein. EASM kann solche Hinweise systematisch sammeln und die erreichbaren Dienste nach beobachtbaren Sicherheitsmerkmalen bewerten. Dazu gehören beispielsweise TLS-Konfigurationen, E-Mail-Sicherheitsmerkmale, exponierte Schnittstellen oder Hinweise auf eingesetzte Technologien.

Diese Sicht hat klare Grenzen. Die Zuordnung eines gefundenen Assets zu einer Organisation kann eine Prüfung benötigen. Auch ein erkannter Technologiehinweis beweist nicht automatisch, dass eine bestimmte verwundbare Version aktiv ist. EASM ersetzt weder authentifizierte interne Scans noch Penetrationstests. Es ergänzt diese Verfahren um die Frage, was außerhalb der eigenen Kontrollperspektive sichtbar ist. Eine ausführlichere Einordnung finden Sie im Beitrag Was ist EASM?.

LocateRisk setzt bei automatisierten IT-Risikoanalysen auf öffentlich erreichbare technische Informationen und benötigt keine Agenten-Installation auf den betrachteten Systemen. Die Ergebnisse eignen sich für die Priorisierung und für wiederkehrendes Monitoring. Sie sollten anschließend mit Asset-Verantwortung, Geschäftskritikalität und internen Befunden verbunden werden.

CAASM: vorhandene Asset- und Security-Daten korrelieren

Cyber Asset Attack Surface Management setzt primär auf bereits vorhandene Daten. CAASM-Werkzeuge sollen Asset-Sichtbarkeit und Expositionsfragen vor allem über Integrationen mit bestehenden Systemen verbessern. Typische Quellen sind Cloud-Plattformen, Endpoint-Werkzeuge, Identitätsdienste, Configuration Management Databases, Vulnerability Scanner und Ticket-Systeme.

Eine CAASM-Plattform normalisiert unterschiedliche Datenmodelle und versucht, Datensätze demselben Asset zuzuordnen. Dadurch lassen sich Fragen beantworten, die in einzelnen Werkzeugen offenbleiben: Welche Geräte fehlen im EDR? Welche Cloud-Ressource hat keinen verantwortlichen Owner? Welche Assets erscheinen im Scanner, aber nicht in der CMDB? Welche Identitäten oder Sicherheitskontrollen sind mit einem System verbunden?

Die Stärke liegt in der Korrelation. Sie setzt allerdings verwertbare Quellen, passende Schnittstellen und gepflegte Verantwortlichkeiten voraus. Ein unbekanntes externes Asset, das in keiner angebundenen Quelle vorkommt, kann einer rein integrationsbasierten Sicht entgehen. Einige CAASM-Produkte ergänzen deshalb eigene Discovery-Funktionen oder EASM-Daten. Das erweitert den Funktionsumfang, ändert jedoch nicht den grundlegenden Ausgangspunkt: CAASM schafft Ordnung und Kontext in verteilten Asset- und Sicherheitsdaten.

Für Unternehmen mit vielen Tools kann CAASM die Suche nach widersprüchlichen Beständen und fehlender Kontrollabdeckung vereinfachen. Kleine und mittlere Unternehmen sollten vorab prüfen, ob Zahl und Qualität ihrer Datenquellen eine zusätzliche Integrationsschicht rechtfertigen. Bei einer überschaubaren Umgebung kann ein klar geführtes Inventar in Verbindung mit EASM und einem Vulnerability-Management-Prozess ausreichen.

DRPS: digitale Risiken jenseits der eigenen Infrastruktur

Digital Risk Protection Services erweitern den Blick auf Risiken, die nicht als klassisches Asset im eigenen Netzwerk erscheinen. Google beschreibt Digital Risk Protection als eine Sammlung von Produkten und Services zum Schutz wesentlicher Assets und Daten vor externen Bedrohungen. Je nach Anbieter können dazu ähnliche Domains, gefälschte Webseiten, Markenmissbrauch, kompromittierte Zugangsdaten, Datenlecks oder Angriffsplanungen gehören.

DRPS ist daher besonders relevant für Threat-Intelligence-, Fraud-, Marken- und Security-Operations-Teams. Ein typischer Prozess beginnt mit Schutzobjekten wie Markenname, Domains, Führungspersonen oder Produktbezeichnungen. Ein Dienst sucht anschließend nach verdächtigen Treffern, ordnet Kontext zu und unterstützt je nach Vertrag bei Takedown- oder Eskalationsprozessen.

Der konkrete Quellumfang unterscheidet sich stark. Manche Angebote beobachten ausschließlich öffentlich zugängliche Quellen und Domainregistrierungen. Andere beziehen geschlossene oder schwer zugängliche Bereiche ein. Diese Fähigkeiten dürfen nicht aus der Kategoriebezeichnung abgeleitet werden, sondern müssen im Leistungsumfang belegt sein. LocateRisk bietet kein Monitoring von Darknet- oder Untergrundforen an. Der Produktbezug liegt bei der Analyse öffentlich beobachtbarer technischer Expositionen, nicht bei allen DRPS-Anwendungsfällen.

Auch DRPS löst nicht jede Aufgabe des Attack Surface Management. Eine Warnung vor einer täuschend ähnlichen Domain sagt wenig über den Patchstand eines eigenen Webservers. Umgekehrt erkennt ein technisches EASM nicht zwangsläufig den Missbrauch einer Marke auf einer sozialen Plattform. Die operative Zuständigkeit und der erwartete Reaktionsprozess sollten deshalb bereits bei der Auswahl geklärt werden.

Zusammenspiel in einem belastbaren Exposure-Prozess

Die drei Kategorien lassen sich als Datenbausteine eines gemeinsamen Exposure-Prozesses einsetzen. EASM liefert Hinweise auf extern sichtbare Assets und Fehlkonfigurationen. CAASM verbindet diese Hinweise mit internen Beständen, Eigentümern und Kontrollinformationen. DRPS ergänzt Signale zu digitalem Missbrauch und externer Zielauswahl. Das Ergebnis ist noch keine Priorisierung. Dafür braucht es Geschäftskritikalität, Erreichbarkeit, Bedrohungskontext und eine verantwortliche Entscheidung.

Ein mögliches Beispiel: EASM entdeckt einen bisher nicht inventarisierten Host. CAASM zeigt nach der Korrelation, dass die zugehörige Cloud-Subscription einem Produktteam gehört und kein Endpoint-Werkzeug angebunden ist. DRPS meldet zeitgleich eine Phishing-Domain, die den Produktnamen imitiert. Die Befunde können zusammenhängen, müssen es aber nicht. Erst eine Validierung klärt die Beziehung und den Handlungsbedarf.

Für die Auswahl empfiehlt sich ein anwendungsbezogener Kriterienkatalog. Benennen Sie zuerst die Entscheidungen, die das Werkzeug unterstützen soll. Prüfen Sie anschließend Sichtbereich, Datenquellen, Aktualisierungsfrequenz, Nachvollziehbarkeit der Asset-Zuordnung, Export- und Integrationsmöglichkeiten sowie Zuständigkeiten für Fehlalarme. Ein kostenloses Note de sécurité kann einen ersten externen Blick liefern. Für eine strukturierte Analyse der erreichbaren Systeme beschreibt die Seite Analyse des risques informatiques den passenden Einstieg.

Auch Lieferanten lassen sich in den Prozess einbeziehen. Externe Beobachtungen ersetzen keine Vertrags- oder Fragebogenprüfung, liefern aber wiederkehrende technische Evidenz. Wie diese Perspektive im Third-Party Risk Management eingesetzt werden kann, zeigt die Seite Gestion des risques par des tiers.

Welche Kategorie passt zu welchem Bedarf?

EASM passt, wenn unbekannte oder unkontrollierte Internetexpositionen im Mittelpunkt stehen. CAASM passt, wenn zahlreiche interne Datenquellen widersprüchliche Asset-Bestände liefern und Kontrolllücken sichtbar werden sollen. DRPS passt, wenn Marken-, Identitäts- oder Datenrisiken außerhalb der eigenen technischen Infrastruktur beobachtet und bearbeitet werden müssen.

Viele Organisationen benötigen mehr als eine Perspektive, aber nicht zwingend drei separate Plattformen. Entscheidend sind die vorhandene Tool-Landschaft, die größten Informationslücken und die Teams, die Befunde bearbeiten. Ein klarer Pilot mit wenigen priorisierten Anwendungsfällen ist belastbarer als eine Beschaffung auf Basis möglichst vieler Funktionslisten.

Für den Pilot eignen sich messbare Fragen: Wie viele relevante externe Assets waren dem Team vorher unbekannt? Wie viele interne Datensätze lassen sich eindeutig einem Owner zuordnen? Wie oft führte ein DRPS-Signal zu einer bestätigten Schutzmaßnahme? Erfassen Sie neben der Treffermenge auch Fehlzuordnungen, Bearbeitungszeit und den Anteil umgesetzter Maßnahmen. So zeigt sich, ob eine zusätzliche Datenquelle den Arbeitsablauf verbessert oder lediglich weitere Warnungen erzeugt. Dokumentieren Sie dabei auch den gewählten Scope.

Questions fréquentes

---

Was ist der wichtigste Unterschied zwischen EASM und CAASM?

EASM beginnt mit einer externen Outside-in-Sicht auf internetexponierte Assets. CAASM verbindet überwiegend Daten aus vorhandenen internen IT- und Security-Systemen. Angebote können beide Ansätze kombinieren, weshalb Datenquellen und Discovery-Verfahren einzeln geprüft werden sollten.

---

Ist DRPS dasselbe wie EASM?

Nein. DRPS kann unter anderem Markenmissbrauch, Phishing-Domains oder offengelegte Daten adressieren. EASM konzentriert sich auf die öffentlich erreichbare technische Angriffsfläche. Es gibt Überschneidungen, der jeweilige Leistungsumfang ist jedoch anbieterspezifisch.

---

Kann EASM ein internes Asset-Inventar ersetzen?

EASM kann unbekannte oder nicht mehr gepflegte externe Assets sichtbar machen, besitzt aber nicht automatisch den internen Eigentums-, Prozess- und Geschäftskontext. Ein belastbarer Prozess verbindet externe Beobachtungen mit einem gepflegten internen Inventar.

---

Muss ein Unternehmen EASM, CAASM und DRPS gleichzeitig einsetzen?

Nein. Die Auswahl sollte von konkreten Informationslücken und Arbeitsabläufen ausgehen. Manche Plattformen decken mehrere Anwendungsfälle ab. Ein Pilot zeigt, ob zusätzliche Daten tatsächlich zu besseren Entscheidungen und kürzeren Bearbeitungszeiten führen.

Sie möchten klären, welche extern sichtbaren Risiken zu Ihrer Organisation oder zu kritischen Lieferanten gehören? Starten Sie mit einer IT-Risikoanalyse von LocateRisk und besprechen Sie die Ergebnisse mit unserem Team.