Externe Angriffsfläche

Ihre Compliance-Scans schauen in Ihren Tenant hinein. Der Scan der externen Angriffsfläche betrachtet ihn von außen, so wie es ein Angreifer tun würde: Er untersucht den öffentlich erreichbaren Rand Ihrer Domains - TLS-Zertifikate, DNS-Sicherheitseinträge und offene Dienst-Endpunkte - und kennzeichnet alles, was schwach, falsch konfiguriert oder einen genaueren Blick wert ist.

Er benötigt keinen Agenten und keinen Zugriff auf Ihre Server. Alles, was er prüft, ist bereits öffentlich, daher sammelt der Scan diese Informationen einfach ein, vergleicht sie mit bewährten Praktiken und macht daraus klare Befunde.

Erfordert einen kostenpflichtigen Tarif

Der Scan der externen Angriffsfläche ist in kostenpflichtigen Tarifen enthalten. Ohne kostenpflichtigen Tarif zeigt die Seite statt der Ergebnisse einen Hinweis zum Upgrade an. Was die einzelnen Tarife enthalten, sehen Sie auf der Tarifseite.

Was geprüft wird

Die Befunde sind in drei Bereiche gegliedert.

SSL/TLS

Überblick. Dieser Abschnitt untersucht die Zertifikate und die TLS-Konfiguration auf Ihren öffentlichen Hosts - den Handshake, den ein Browser, ein Mailserver oder ein Angreifer im Moment des Verbindungsaufbaus aushandelt. Eine schwache oder abgelaufene Konfiguration untergräbt jede andere Schutzmaßnahme dahinter.

• Zertifikatsablauf - ob ein Zertifikat gültig ist und nicht kurz vor dem Ablauf steht. Ein abgelaufenes Zertifikat zerstört das Vertrauen und sperrt Nutzer aus.
• Protokollversion - ob der Host noch schwache, veraltete Protokolle (SSL 3.0, TLS 1.0 und 1.1) statt TLS 1.2 oder 1.3 aushandelt.
• Stärke der Verschlüsselung - ob der Host schwache Cipher Suites akzeptiert, etwa RC4, 3DES oder Cipher in Exportstärke.
• Neue Zertifikate - Zertifikate, die in öffentlichen Certificate-Transparency-Logs auftauchen und seit dem letzten Scan neu sind, damit eine unerwartete Ausstellung für Ihre Domain nicht unbemerkt bleibt.

Behebung.

• Erneuern Sie Zertifikate rechtzeitig vor dem Ablauf und automatisieren Sie die Erneuerung (zum Beispiel über ACME / Let's Encrypt oder die automatische Erneuerung Ihrer Zertifizierungsstelle), damit ein Ablauf Sie nicht überrascht.
• Deaktivieren Sie SSL 3.0 und TLS 1.0/1.1 und liefern Sie auf jedem öffentlichen Host nur TLS 1.2 und 1.3 aus. Für Hosts, die Sie nicht selbst betreiben - ein CDN, ein Load Balancer, eine SaaS-Website - legen Sie dies in der TLS-Richtlinie der jeweiligen Plattform fest.
• Entfernen Sie schwache und veraltete Cipher Suites; das Mozilla-Profil "Intermediate" ist ein sicherer Standard, sofern Sie keinen besonderen Grund haben, davon abzuweichen.
• Die Hostnamen der Microsoft 365 Dienste (etwa outlook und autodiscover) verwenden Zertifikate und TLS-Einstellungen, die Microsoft verwaltet, sodass dort nichts zu ändern ist - kümmern Sie sich um die eigenen Hosts, die Sie betreiben.
• Veröffentlichen Sie einen CAA-Eintrag, damit nur die von Ihnen gewählten Zertifizierungsstellen für die Domain ausstellen dürfen, und behalten Sie Certificate Transparency im Auge, damit ein unerwartetes Zertifikat schnell auffällt.

Referenzen.

• RFC 8446 - TLS 1.3
• Mozilla Server Side TLS configuration guidance
• Microsoft - Solving the TLS 1.0 problem
• RFC 6962 - Certificate Transparency
• RFC 8659 - DNS Certification Authority Authorization (CAA)
• Qualys SSL Labs server test

DNS-Sicherheit

Dieser Abschnitt behandelt die DNS-Einträge, die Ihre Domain und Ihre E-Mails schützen - die Schutzmaßnahmen, die andere daran hindern, Ihre Domain zu fälschen, Ihre Mail zu lesen oder zu manipulieren oder einen vergessenen Eintrag zu kapern. Jeder Eintrag wird unten einzeln erklärt: was er ist, warum er wichtig ist und wie ein guter, sicherer Wert aussieht.

E-Mail- und Domain-Sicherheitseinträge

Eintrag	Typ	Warum es wichtig ist	Wie ein guter Wert aussieht
SPF	TXT	Listet auf, welche Mailserver im Namen Ihrer Domain senden dürfen, damit Empfänger gefälschte Mail ablehnen können.	Ein TXT-Eintrag auf dem Apex, der Microsoft 365 autorisiert und mit einem Hard Fail endet: v=spf1 include:spf.protection.outlook.com -all. Verwenden Sie niemals +all, da dies jeden Absender autorisiert.
DKIM	CNAME	Signiert Ihre ausgehende Mail, sodass Empfänger nachweisen können, dass sie unterwegs nicht verändert wurde.	DKIM-Signierung für die Domain im Microsoft Defender Portal aktiviert, mit den beiden veröffentlichten CNAME-Einträgen selector1 und selector2, die dort ausgestellt werden.
DMARC	TXT	Sagt Empfängern, was mit Mail geschehen soll, die SPF oder DKIM nicht besteht, und sendet Ihnen Berichte.	Ein _dmarc-TXT-Eintrag mit mindestens v=DMARC1; p=quarantine und einer rua=-Berichtsadresse. Wechseln Sie zu p=reject, sobald Sie sicher sind. p=none überwacht nur und schützt nicht.
MX	MX	Legt fest, wohin Mail für Ihre Domain zugestellt wird.	MX zeigt auf <ihre-domain>.mail.protection.outlook.com, wenn die Mail über Microsoft 365 läuft.
DNSSEC	-	Signiert Ihre DNS-Antworten, sodass sie auf dem Weg zu einem Resolver nicht gefälscht werden können.	DNSSEC bei Ihrem DNS-Anbieter oder Registrar aktiviert, sodass Ihre Zone signiert ist.
Subdomain-Übernahme	CNAME	Findet verwaiste Einträge, die auf einen nicht mehr genutzten Dienst zeigen und die ein Angreifer beanspruchen könnte.	Kein CNAME, der noch auf einen ungenutzten Dienst zeigt. Entfernen Sie jeden verwaisten Eintrag oder leiten Sie ihn um, bevor jemand anderes ihn beansprucht.

Microsoft 365 Dienst-Einträge

Diese Standard-Einträge ermöglichen es den Microsoft 365 Diensten, ihre Endpunkte auf Ihrer Domain zu finden. Der Scan zeigt jeweils den Wert, auf den der Eintrag zeigen sollte, neben dem Wert, auf den er aktuell zeigt.

Eintrag	Host	Sollte zeigen auf	Zweck
Autodiscover	autodiscover	autodiscover.outlook.com	Ermöglicht Outlook, seine Postfach-Einstellungen automatisch zu finden.
Skype / Teams	lyncdiscover, sip	webdir.online.lync.com, sipdir.online.lync.com	Diensterkennung für Skype for Business / Teams.
Geräteverwaltung	enterpriseregistration, enterpriseenrollment	enterpriseregistration.windows.net, enterpriseenrollment.manage.microsoft.com	Registrierung und Einbindung von Windows-Geräten.

Ein Eintrag, der schlicht fehlt, wird zur Information angezeigt (vielleicht nutzen Sie diesen Dienst nicht). Ein Eintrag, der auf etwas anderes als das Microsoft-Ziel zeigt, wird gekennzeichnet, weil er den Dienst stören kann oder ein Hinweis auf einen veralteten oder gekaperten Eintrag sein kann.

Referenzen.

• Microsoft - Set up SPF und RFC 7208
• Microsoft - Set up DKIM und RFC 6376
• Microsoft - Set up DMARC und RFC 7489
• Microsoft 365 - Create DNS records at any provider
• RFC 9364 - DNS Security Extensions (DNSSEC)
• Microsoft - Prevent dangling DNS entries and subdomain takeover

Offene Endpunkte

Öffentliche Oberflächen, die Ihre Angriffsfläche vergrößern:

• Endpunkte mit Legacy-Authentifizierung - ältere Protokolle, die moderne Anmeldeschutzmechanismen umgehen und ein häufiger Weg für Passwortangriffe sind.
• Externe Freigabe - wie weitreichend SharePoint und OneDrive Freigaben außerhalb Ihrer Organisation erlauben.
• Gastzugriff - wie freizügig Gäste in Ihren Tenant eingeladen werden können.

Zusätzliche Domains

Der Scan muss wissen, welche Hosts er betrachten soll. Es gibt zwei Arten von Zielen.

Automatisch erkannte Domains

Wenn ein Scan läuft, liest Aether365 die verifizierten Domains aus Ihrem verbundenen Microsoft 365 Tenant und scannt diese automatisch, zusammen mit den daraus abgeleiteten standardmäßigen Microsoft 365 Dienst-Hostnamen (etwa autodiscover und owa). Da Microsoft bereits bestätigt hat, dass diese Domains Ihnen gehören, gelten sie als vertrauenswürdig und werden ohne zusätzlichen Schritt von Ihrer Seite gescannt.

Sie können einen automatisch erkannten Host vom Scan ausschließen, wenn Sie ihn nicht einbeziehen möchten, aber Sie können ihn nicht löschen - er würde beim nächsten Scan einfach wieder gefunden.

Eigene Domains

Sie können Ihre eigenen Domains hinzufügen, zum Beispiel eine Marketing-Website oder eine Produkt-Domain, die nicht Teil Ihres Microsoft 365 Tenants ist. Öffnen Sie Zusätzliche Domains, geben Sie einen reinen Domainnamen ein (wie example.com, ohne https:// und ohne Pfad) und fügen Sie ihn hinzu.

Bevor ein Verifizierungsschritt ausgegeben wird, bestätigt Aether365, dass die Domain tatsächlich registriert ist und auflöst (sie existiert im DNS und hat Adress- oder Mail-Einträge). Eine falsch geschriebene oder geparkte Domain wird von vornherein abgelehnt, weil es nichts zu scannen gäbe. Domains, die bereits von Ihrem Microsoft 365 Tenant abgedeckt sind, werden ebenfalls abgelehnt, da sie automatisch gescannt werden.

Eigene Domains müssen dann verifiziert werden, bevor Aether365 sie scannt. So weisen Sie nach, dass Sie die Domain kontrollieren, und verhindern, dass jemand unseren Scanner auf eine Website richtet, die ihm nicht gehört.

Eine eigene Domain verifizieren

Wenn Sie eine eigene Domain hinzufügen, startet sie als Nicht verifiziert und wird noch nicht gescannt. So verifizieren Sie sie:

1. Suchen Sie die Domain unter Zusätzliche Domains. Es wird ein zu veröffentlichender DNS-TXT-Eintrag in folgender Form angezeigt:

   aether365-site-verification=<your-unique-token>

2. Fügen Sie diesen Wert als TXT-Eintrag bei Ihrem DNS-Anbieter direkt auf der Domain selbst hinzu (dem Apex). Die genauen Schritte hängen von Ihrem Anbieter ab, aber Sie erstellen einen neuen TXT-Eintrag, dessen Wert die in der App angezeigte Zeile ist. Verwenden Sie die Schaltfläche Eintrag kopieren, um ihn exakt zu übernehmen.

3. Speichern Sie den Eintrag bei Ihrem Anbieter und geben Sie dem DNS ein paar Minuten Zeit zur Verbreitung.

4. Klicken Sie zurück in Aether365 auf Verifizieren. Wir rufen die TXT-Einträge der Domain ab und prüfen, ob Ihrer vorhanden ist. Sobald er übereinstimmt, wird die Domain als Verifiziert markiert und in Ihren nächsten Scan einbezogen.

DNS braucht etwas Zeit

Wenn die Verifizierung direkt nach dem Veröffentlichen des Eintrags fehlschlägt, warten Sie ein paar Minuten und versuchen Sie es erneut - DNS-Änderungen sind nicht immer sofort sichtbar. Das Token bleibt gültig, sodass Sie es so oft wiederholen können, wie Sie möchten.

Sie müssen jede eigene Domain nur einmal verifizieren. Automatisch erkannte Microsoft 365 Domains benötigen diesen Schritt nie.

Einen Scan ausführen

Öffnen Sie die Seite Angriffsfläche und wählen Sie Scan starten. Der Scan läuft im Hintergrund, und die Seite zeigt seinen Fortschritt an; wenn er abgeschlossen ist, füllen sich die drei Bereiche mit Befunden, und die Sicherheitsübersicht oben spiegelt den letzten Lauf wider. Sie können einen Scan jederzeit bei Bedarf starten, wenn Sie ein aktuelles Bild wünschen.

Die Ergebnisse lesen

Die Ergebnisse sind nach Domain gruppiert. Jede Domain hat ihre eigene Karte, und jeder Microsoft 365 Dienst-Hostname (etwa autodiscover.example.com oder sip.example.com) befindet sich innerhalb der Karte seiner Root-Domain statt als separater Eintrag. Eine Karte ist standardmäßig geöffnet; klicken Sie auf ihre Kopfzeile, um sie einzuklappen.

Innerhalb einer Karte sind die Prüfungen nach den Diensten aufgeteilt, zu denen sie gehören - Mail-Sicherheit, Domain-Sicherheit, Autodiscover, Skype / Teams, Geräteverwaltung, Zertifikate und Offene Endpunkte - sodass zusammengehörige Einträge beieinanderstehen.

Jede Karte öffnet sich als übersichtliche Liste, und ein Tabelle-Umschalter in der Kopfzeile der Karte stellt die DNS-Einträge in einer übersichtlichen Tabelle dar, sodass Sie jeden Eintrag auf einen Blick lesen können. Die Tabelle hat eine Zeile pro Eintrag mit vier Spalten:

Spalte	Was sie zeigt
Typ	Der Eintragstyp als Pill: TXT, CNAME, MX und so weiter.
Host / Name	Der Host, auf dem der Eintrag liegt, etwa autodiscover.example.com.
Status	Ein farbiges Pill: Übereinstimmung (grün), wenn der veröffentlichte Wert korrekt ist, Abweichung (rot), wenn ein Wert veröffentlicht ist, aber falsch, oder Fehlt (gelb), wenn nichts veröffentlicht ist.
Veröffentlichter Wert	Der aktuell veröffentlichte Wert. Wenn ein Eintrag behoben werden muss, wird der von Microsoft 365 erwartete Wert direkt darunter angezeigt, sodass Sie erwartet und aktuell nebeneinander vergleichen können. Lange Werte wie DKIM-Schlüssel bleiben in einer Zeile, bis Sie sie ausklappen.

Einträge, die Aufmerksamkeit benötigen, werden zuerst aufgelistet, sodass die behebenswerten oben stehen. Ein fehlender Eintrag kann in Ordnung sein, wenn Sie diesen Dienst nicht nutzen. Welche Ansicht Sie auch verwenden, jeder Befund verlinkt auf weitere Details zur jeweiligen Prüfung.

Die Übersicht oben auf der Seite summiert die offenen Probleme nach Schweregrad, und jede Domain-Karte zeigt, wie viele ihrer Einträge Aufmerksamkeit benötigen, damit Sie sehen, wo Sie zuerst hinschauen sollten. Jeder Befund verlinkt auf weitere Details zur jeweiligen Prüfung.

Häufig gestellte Fragen

Greift der Scan auf meine Server zu? Nein. Er liest nur Informationen, die bereits öffentlich sind - DNS-Einträge, TLS-Handshakes auf Standardports und Certificate-Transparency-Logs.

Warum wird eine eigene Domain nicht gescannt? Sie ist wahrscheinlich noch nicht verifiziert. Fügen Sie den unter Zusätzliche Domains angezeigten TXT-Eintrag hinzu und klicken Sie auf Verifizieren. Solange eine eigene Domain nicht verifiziert ist, wird sie übersprungen.

Kann ich eine automatisch erkannte Domain entfernen? Sie können sie nicht löschen, aber Sie können sie ausschließen, sodass sie bei Scans außen vor bleibt.