Blog
Exposure-Management vs. Angriffsflächenmanagement
Drei Begriffe, ein gemeinsames Wort und ein Markt, der in vier Jahren zweimal die Etiketten getauscht hat. Angriffsflächenmanagement war 2021 die Kategorie, die man kaufte. 2024 verkauften die meisten derselben Anbieter Exposure-Management, und 2025 signalisierte Gartner, dass die älteren Etiketten in breiteren Plattformen aufgehen würden. Die zugrunde liegenden Fähigkeiten haben sich weit weniger verändert als die Namen. Es lohnt sich daher, genau zu benennen, was jeder Begriff abdeckt und wo er aufhört.
Drei Definitionen
External Attack Surface Management, EASM, ist Discovery von außen nach innen. Ein EASM-Werkzeug betrachtet Ihre Organisation ohne Zugangsdaten aus dem Internet und erfasst, was die Aufklärung eines Angreifers finden würde: Domains und Subdomains, Zertifikate, exponierte IPs und Dienste, Cloud-Speicher, Code-Repositories, geleakte Zugangsdaten, Seiten Dritter, die Ihre Marke tragen. Seine Leitfrage lautet: „Was haben wir im Internet, von dem wir nichts wussten?“
Cyber Asset Attack Surface Management, CAASM, ist Inventarisierung von innen nach außen. Ein CAASM-Werkzeug verbindet sich per API mit den Systemen, die Sie bereits betreiben (Scanner, EDR, Cloud-Konten, Identitätsanbieter, CMDB, MDM), und gleicht sie zu einer einzigen Sicht auf jedes Asset ab, wobei die Lücken zwischen den Quellen sichtbar werden. Seine Leitfrage lautet: „Was besitzen wir, und ist jedes Asset von den Sicherheitsmaßnahmen abgedeckt, von denen wir das annehmen?“
Exposure-Management ist das Programm, das CTEM (kontinuierliches Threat-Exposure-Management) beschreibt, und die Werkzeugkategorie, die Gartner inzwischen Exposure-Assessment-Plattformen nennt. Es übernimmt die Discovery, woher sie auch kommt, EASM und CAASM eingeschlossen, ordnet Exposures nach Ausnutzbarkeit und geschäftlicher Auswirkung, validiert die wichtigsten und treibt die Behebung voran. Seine Leitfrage lautet: „Welche Exposures würde ein Angreifer tatsächlich nutzen, und sind sie behoben?“
Die ersten beiden sind Discovery-Techniken. Das dritte ist ein Zyklus aus fünf Phasen, von denen die Discovery eine ist. Diese Asymmetrie ist der ganze Unterschied.
Wo jedes davon endet
EASM endet am Perimeter und bei der Discovery. Es sieht die vergessene Subdomain und das exponierte Admin-Panel, und es kann Ihnen die Dienstversion nennen und sagen, ob ein bekannter Exploit existiert. Es sieht nicht das überprivilegierte Servicekonto hinter dem Panel, es weiß nicht, welchen Geschäftsprozess der Host unterstützt, und es testet nicht, ob der Exploit gegen Ihre Konfiguration funktioniert. Manche EASM-Produkte bieten eine leichte Priorisierung, meist den Schweregrad des exponierten Dienstes plus die Frage, ob das Asset zuvor unbekannt war. Keines davon validiert oder mobilisiert über Warnmeldungen hinaus.
CAASM endet bei Inventar und Abdeckung durch Sicherheitsmaßnahmen. Es ist sehr gut bei „diese 340 Server haben keinen EDR-Agenten“ und „diese Cloud-Konten werden nicht gescannt“. Das ist ein Discovery-Ergebnis, und ein nützliches, denn die Exposures, die am meisten schaden, liegen oft auf Assets, die niemand gescannt hat. Aber CAASM sucht nicht selbst nach Exposures; es aggregiert, was andere Werkzeuge gefunden haben. Es hat keinen Blick auf Angriffspfade, keine Validierung, und seine Mobilisierung ist ein Ticket mit dem Text „Agent installieren“.
Exposure-Management endet dort, wo die Behebungskapazität endet. Im Prinzip deckt es alle fünf Phasen ab, in der Praxis ist die Plattformkategorie jedoch stark bei Discovery und Priorisierung und dünn bei der Validierung, weshalb Gartner Adversarial Exposure Validation als eigene Kategorie führt (Gartner, März 2025). Unser Tools-Leitfaden geht das Phase für Phase durch.
| Frage | EASM | CAASM | Exposure-Management |
|---|---|---|---|
| Blickwinkel | Von außen nach innen, nicht authentifiziert | Von innen nach außen, per API zu Ihren eigenen Werkzeugen | Beides, plus Geschäftskontext |
| Was es findet | Unbekannte, aus dem Internet erreichbare Assets und exponierte Dienste | Jedes Asset, das Sie besitzen, und Abdeckungslücken | Exposures, geordnet nach Ausnutzbarkeit und Auswirkung |
| CTEM-Phasen | Discovery (extern) | Discovery (Inventar) | Alle fünf, Validierung oft über einen Partner |
| Endet bei | Dem Perimeter | Dem Inventar | Behebungskapazität und Scope |
| Typische Zuständigkeit | Security Operations | IT-Asset-Management oder Security Engineering | Schwachstellen- oder Exposure-Management-Programm |
Was Gartner mit den Etiketten gemacht hat
Gartners 2024 Hype Cycle for Security Operations (Gartner, Juli 2024, Research für Abonnenten) verortete EASM im Tal der Enttäuschungen und verwies auf Unternehmen, die nicht darauf vorbereitet waren, die Ergebnisse zu verarbeiten und zu operationalisieren, wie IONIX zusammenfasst. In der Ausgabe 2025 (Gartner) stufte Gartner sowohl CAASM als auch EASM als „obsolete before plateau“ ein, wie Axonius zusammenfasst. In Gartners Vokabular bedeutet das: Die Fähigkeit wird voraussichtlich in breiteren Plattformen aufgehen, bevor sie als eigenständiges Produkt den Massenmarkt erreicht.
Das ist die Marktsicht eines Analysten, kein Urteil darüber, ob die Fähigkeiten nützlich sind. Discovery von außen nach innen und ein abgeglichenes Inventar sind beide weiterhin notwendig; der Punkt ist, dass sie zu Funktionen von Exposure-Plattformen werden statt zu Produkten, die man separat kauft. Die praktische Folge: Die meisten EASM- und CAASM-Anbieter bezeichnen sich inzwischen als Exposure-Management, und Käufer müssen hinter das Etikett schauen, um herauszufinden, welche Phasen ein Produkt abdeckt. Genau dafür gibt es das Verzeichnis.
Welches Sie tatsächlich brauchen
Wenn Sie Ihre aus dem Internet erreichbaren Assets nicht mit Sicherheit auflisten können, brauchen Sie EASM oder das EASM-Modul der Plattform, die Sie bereits haben. Es ist der günstigste verfügbare Discovery-Gewinn und der übliche erste Scope für ein 90-Tage-Programm.
Wenn Scanner, EDR und CMDB sich nicht einig sind, wie viele Server Sie haben, brauchen Sie CAASM oder einen gleichwertigen Abgleich. Möglicherweise brauchen Sie kein Produkt; zwei Exporte und ein Join bringen einen ersten Zyklus durch. Was Sie brauchen, ist die Disziplin, die Lücke zu verfolgen.
Wenn Sie beides haben und trotzdem nicht sagen können, welche zehn Exposures diesen Monat am wichtigsten sind oder ob eine davon getestet wurde, brauchen Sie den Rest des Zyklus: Priorisierung nach Angriffspfad, Validierung und Mobilisierung mit benannten Verantwortlichen. Das ist Exposure-Management, und es ist überwiegend Prozess mit Werkzeugen darunter.
Der häufige Fehler ist der Kauf in der falschen Reihenfolge: eine Exposure-Plattform, bevor die Discovery verlässlich ist, sodass die Priorisierung auf einem unvollständigen Inventar läuft. Der zweithäufigste Fehler ist, nach der Discovery aufzuhören, sodass das Programm eine sehr vollständige Liste erzeugt, die niemand validiert oder behebt. Beides sieht nach Aktivität aus. Keines von beiden verringert die Exposure.
Ein Test für Ihre aktuellen Werkzeuge
Nehmen Sie das, was Sie Ihr Angriffsflächen- oder Exposure-Werkzeug nennen, und stellen Sie ihm drei Fragen. Kann es ein aus dem Internet erreichbares Asset zeigen, von dem Sie letzten Monat nichts wussten? Kann es ein Asset zeigen, das Sie kennen, das aber kein Scanner abdeckt? Kann es eine Exposure zeigen, deren Ausnutzbarkeit es bewiesen hat, und das Ticket, mit dem sie geschlossen wurde?
Ja auf die erste ist EASM. Ja auf die zweite ist CAASM. Ja auf die dritte ist Exposure-Management. Die meisten Werkzeuge antworten auf eine mit Ja, und das ist in Ordnung, solange Sie wissen, auf welche, und einen Plan für die anderen haben.
Weiter
Lesen Sie Was ist CTEM für die fünf Phasen im Detail, und nutzen Sie das Anbieterverzeichnis, um zu sehen, welche Phasen ein bestimmtes Produkt tatsächlich abdeckt, wie auch immer es sich nennt.