Angriffsfläche von außen messen: vierteljährlich, in einer halben Stunde

Auf der Maschine sieht man die Absicht: Konfigurationsdateien, aktivierte Dienste, Firewallregeln. Was tatsächlich erreichbar ist, sieht man nur von außen und der Unterschied zwischen beidem ist die interessante Größe.

Voraussetzung: von wo aus geprüft wird#

Nicht von der Maschine selbst und nicht aus demselben internen Netz, sonst misst man an der Firewall vorbei. Geeignet sind ein zweiter Server bei einem anderen Anbieter, ein Rechner am Heimanschluss (ohne VPN) oder ein Mobilfunkzugang.

Der Durchlauf#

ZIEL=example.org
IP4=$(dig +short A "$ZIEL" | head -1)
IP6=$(dig +short AAAA "$ZIEL" | head -1)
STAND=/tmp/aussenpruefung-$(date +%F).txt

{
  echo "== $ZIEL  $IP4  $IP6   $(date -u +%FT%TZ)"

  echo "-- Ports IPv4"
  nmap -Pn -sS --top-ports 1000 --reason "$IP4"

  echo "-- Ports IPv6"
  [ -n "$IP6" ] && nmap -Pn -6 --top-ports 1000 "$IP6"

  echo "-- Dienste und Versionen auf offenen Ports"
  nmap -Pn -sV -p 22,80,443 "$IP4"

  echo "-- TLS"
  echo | openssl s_client -connect "$ZIEL:443" -servername "$ZIEL" 2>/dev/null \
    | openssl x509 -noout -subject -issuer -dates

  echo "-- Kopfzeilen"
  curl -sSI "https://$ZIEL/" | grep -Ei 'server|strict-transport|content-security|x-frame|x-powered'

  echo "-- Vergessene Pfade"
  for p in /.env /.git/config /server-status /phpinfo.php /adminer.php /wp-admin/ /backup.sql; do
    printf '%s %s\n' "$(curl -sS -o /dev/null -w '%{http_code}' "https://$ZIEL$p")" "$p"
  done
} | tee "$STAND"

Danach der eigentliche Zweck, der Vergleich:

diff /tmp/aussenpruefung-2026-05-18.txt "$STAND"

Ein leerer diff ist das gewünschte Ergebnis. Jede Zeile darin will erklärt werden.

Was noch dazugehört#

Öffentliche Suchdienste. Scandienste veröffentlichen, was sie zu einer IP-Adresse gefunden haben. Ein Blick auf den eigenen Eintrag zeigt, was Dritte sehen, inklusive Zeitverlauf. Für gemietete Adressen ist das gleichzeitig eine Erinnerung daran, dass Vormieter Spuren hinterlassen haben können.

DNS. Alte Einträge zeigen auf Systeme, die es nicht mehr gibt, oder auf fremde. Einmal auflisten:

dig +noall +answer "$ZIEL" ANY
dig +short TXT "$ZIEL"        # SPF/DMARC-Reste, Verifizierungsschnipsel

Mail. Wer eine Domain betreibt, prüft SPF, DKIM und DMARC, nicht nur wegen Zustellbarkeit, sondern weil eine fehlende Richtlinie die eigene Domain zum bequemen Absender für Phishing macht.

Was diese Prüfung nicht ist#

Kein Penetrationstest. Sie sagt, was erreichbar ist, nicht ob eine erreichbare Anwendung ausnutzbar ist. Und: Nur gegen eigene Systeme richten. Ein Scan gegen fremde Adressen ist je nach Umfang und Ort ein Problem, beim eigenen Anbieter vorher in die Nutzungsbedingungen sehen.

Das Ergebnis gehört in dieselbe Ablage wie die Bestandsliste und liefert nebenbei den Nachweis für die Wirksamkeitsprüfung aus Technische Maßnahmen belegen.

Warum das Ergebnis eine Datei sein muss#

Eine Prüfung, deren Ergebnis nur auf dem Bildschirm stand, beantwortet die wichtigste Frage nicht: Ist das neu? Ein offener Port 8080 ist für sich genommen weder gut noch schlecht, entscheidend ist, ob er beim letzten Lauf schon da war und ob jemand weiß, warum. Deshalb ist die Ablage kein Ordnungsfimmel, sondern der eigentliche Mechanismus: Der Vergleich macht aus einer Momentaufnahme eine Beobachtung.

Zwei Details erhöhen den Nutzen deutlich. Erstens gehört zu jedem erwarteten Port eine Zeile Begründung, direkt in derselben Datei, damit sie nicht in einem anderen Dokument verwaist:

443  öffentliche Anwendung, hinter Proxy
51820 UDP  WireGuard, Verwaltungszugang
22   nur aus 10.99.0.0/24, sonst gefiltert

Zweitens sollte der Lauf im Kalender stehen, nicht im Vorsatz. Vierteljährlich reicht für einen stabilen Betrieb; nach größeren Änderungen, neuer Dienst, Umzug, Anbieterwechsel, sofort, denn dort entstehen die Abweichungen. Wer die Prüfung an eine Person bindet, verliert sie beim nächsten Urlaub; wer sie an ein Datum bindet, behält sie.