Angriffs-Lageradar

Was gerade im Netz gescannt wird

ALLSmartSecurity wertet automatisierte Angriffs- und Scanner-Anfragen aus, die über unsere Sensoren laufen. Du siehst anonymisiert und in Echtzeit, welche Angriffsvektoren gerade hochkochen, was dahintersteckt, und wie du deine eigene Anwendung prüfst und absicherst.

Beschreibungen und Lagebild zuletzt aktualisiert: 2026-10-14T06:01:58.558109+00:00. Aktivität live.

Zur großen Landkarte

Lagebild

Lage: Der überwiegende Teil des Traffic besteht aus automatisierten Scans auf Standarddienste wie SSH und Telnet sowie dem Abfragen von Konfigurationsdateien. Es handelt sich dabei um massenhaftes Grundrauschen, das typisch für das öffentliche Internet ist.

Auffälligkeiten: Besonders stark ist die Anzahl der Treffer bei Dienst-Proben für Telnet und SSH. Zudem fallen viele Versuche auf, Umgebungsdateien wie .env oder Git-Konfigurationen auszulesen. Auch WordPress-spezifische Endpunkte werden häufig angesteuert.

Einordnung: Dies ist Routine-Grundrauschen. Die hohen Zahlen bei Port-Scans und Dienst-Proben deuten auf generische Scanner hin, die das gesamte Internet nach offenen Ports und Schwachstellen absuchen. Es gibt keine Anzeichen für gezielte, gezielte Angriffe auf spezifische Systeme in diesem Zeitraum.

Was das für Betreiber heißt: Stellen Sie sicher, dass unnötige Dienste wie Telnet oder alte Protokolle nicht öffentlich erreichbar sind. Veröffentlichen Sie keine sensiblen Konfigurationsdateien wie .env oder .git-Ordner im Webroot.

KI & Security

Prompt-Injection-Angriffe gelten aktuell als die Nummer-eins-Sicherheitsherausforderung für Unternehmens-KI-Systeme, da Angreifer die grundlegende Verarbeitung von Anweisungen durch große Sprachmodelle ausnutzen, um Sicherheitsprotokolle zu umgehen [1]. Diese Technik hat sich zu einem bevorzugten Vektor für Jailbreaks entwickelt, wobei mehrstufige Angriffe und multimodale Injectionen, etwa über Bilder oder QR-Codes, zunehmend genutzt werden [5].

Die Bedrohungslage hat sich konkretisiert, da nun erstmals Malware identifiziert wurde, die speziell Prompt-Injection gegen KI-gestützte Sicherheitsanalyse-Tools ausnutzt, was als neue Malware-Klasse bezeichnet wird [2]. Angreifer verfeinern ihre Taktiken, indem sie schädliche Anweisungen in Dokumentenmakros verstecken, um KI-Systeme zu kompromittieren und verborgene Daten durch Parser preiszugeben [6]. Zudem zeigen Laborstudien, dass KI-Sicherheitsagenten eine sehr hohe Ausbeutequote bei solchen Angriffen aufweisen, was die Gefahr für automatisierte Schutzmechanismen unterstreicht [3].

Quellen

Herkunft der Angriffe

Drehbare Weltkugel, ziehen zum Drehen

🇨🇳Volksrepublik China44 Prozent

🇵🇰Pakistan20 Prozent

🇺🇸Vereinigte Staaten5 Prozent

🇳🇱Niederlande5 Prozent

🇫🇷Frankreich4 Prozent

🇸🇮Slowenien3 Prozent

🇰🇷Südkorea2 Prozent

🇩🇪Deutschland2 Prozent

🇨🇦Kanada2 Prozent

🇹🇷Türkei2 Prozent

🇮🇳Indien1 Prozent

🇦🇩Andorra1 Prozent

🇸🇬Singapur1 Prozent

🇬🇧Vereinigtes Königreich1 Prozent

🇻🇳Vietnam1 Prozent

Aggressivste Netze

Netzbetreiber (ASN) der Angriffsquellen, relativ; kein Personenbezug

CHINA UNICOM China169 Backbone44 Prozent

Cyber Internet Services (Private) Limited14 Prozent

TechTies Inc.3 Prozent

VPS Dedicated LLC3 Prozent

National Telecommunication Corporation2 Prozent

Nasstec Airnet Networks Private Limited2 Prozent

BANATSYNC SRL2 Prozent

Microsoft Corporation2 Prozent

Saero Network Service LTD2 Prozent

Mitchell Seaforth Cable T. V. Ltd.2 Prozent

DigitalOcean, LLC2 Prozent

VG Telekomunikasyon Ticaret Limited Sirketi2 Prozent

Angriffsvektoren

nach Aktivität sortiert, was hochkocht zuerst

Dienst-Probe fallend 1 CVE

Das Dienst-Probe-Muster beschreibt automatisierte Scans, bei denen Angreifer offene Ports wie 22, 23, 80, 443, 445 und 8080 untersuchen, um verwundbare Dienste zu identifizieren. Dabei werden oft HEAD-Anfragen gesendet, um die Verfügbarkeit von Diensten wie SSH, Telnet, HTTP oder Redis zu prüfen. Ziel ist es, Schwachstellen wie CVE-2015-8080 in Redis oder andere exponierte Dienste aufzuspüren, um sie später auszunutzen. Solche Proben dienen der ersten Erkundungsphase vor gezielten Angriffen.

Aktivitätsanteil: hoch, 90 Prozent

Port-Scan fallend 2 CVE

Ein Port-Scan ist ein automatisierter Vorgang, bei dem Angreifer systematisch verschiedene Netzwerkports wie 25, 53, 80, 443, 3389, 8080 oder 465 auf einem Zielsystem prüfen. Ziel ist es, offene Ports zu identifizieren und darauf laufende Dienste wie SMTP, DNS, RDP oder Webserver zu erkennen. Diese Information dient der Vorbereitung weiterer Angriffe, da spezifische Schwachstellen in den gefundenen Diensten ausgenutzt werden können.

Aktivitätsanteil: gering, 4 Prozent

Scanner (nur UA) fallend

CVE-Scanning bezeichnet den automatisierten Abgleich von Software-Komponenten mit Datenbanken wie dem NVD, um bekannte Schwachstellen (CVEs) zu identifizieren. Angreifer nutzen diese Muster, um gezielt nach Systemen mit öffentlich bekannten, aber ungepatchten Sicherheitslücken zu suchen. Der Prozess erfolgt typischerweise durch das Auslesen von Versionsinformationen und den Abgleich mit aktuellen Bedrohungsdatenbanken, um auszunutzen. Dies hilft Sicherheitsteams, priorisierte Maßnahmen zur Behebung kritischer Lücken zu ergreifen.

Aktivitätsanteil: gering, 2 Prozent

PHP-Scan fallend 2 CVE

Der PHP-Scan zielt auf die Datei info.php, die oft die phpinfo()-Funktion aufruft, um detaillierte Serverkonfigurationen preiszugeben. Angreifer nutzen diese Information, um die PHP-Version zu identifizieren und gezielt nach bekannten Schwachstellen für diese Version zu suchen. Dies kann zur Ausnutzung von Cross-Site-Scripting oder anderen Angriffen führen, wenn die Datei ungeschützt im Web erreichbar ist.

Aktivitätsanteil: gering, 2 Prozent

Config-/Secret-Leak fallend

Automatisierte Scanner durchsuchen das Web kontinuierlich nach öffentlich zugänglichen Konfigurations- und Geheimnisdateien wie .env, .git/config oder Backups. Angreifer nutzen diese Dateien, um sensible Zugangsdaten, API-Schlüssel oder Datenbankpasswörter zu stehlen. Der Angriff erfolgt oft innerhalb weniger Minuten nach dem versehentlichen Hochladen der Dateien in ein Repository oder auf einen Webserver.

Aktivitätsanteil: gering, 1 Prozent

WordPress-Scan fallend 2 CVE

Angreifer nutzen den WordPress-Scan, um Systeme zu identifizieren und Schwachstellen wie ungeschützte AJAX-Endpunkte oder veraltete Plugins aufzuspüren. Dabei werden oft brute-force-Angriffe auf die Login-Seite oder die Ausnutzung von Privilegienhebungen über spezifische CVEs kombiniert. Das Ziel ist der unerlaubte Zugriff auf das Backend oder die Installation von Hintertüren.

Aktivitätsanteil: gering, 1 Prozent

DB-Admin-Tool fallend 3 CVE

Das Muster zielt auf Web-basierte Datenbank-Verwaltungstools wie phpMyAdmin ab, die oft unter standardisierten oder leicht abgeleiteten Pfaden wie /phpmyadmin/ oder /myadmin/ erreichbar sind. Angreifer scannen automatisch nach diesen Endpunkten, um bekannte Schwachstellen wie SQL-Injection, Remote Code Execution oder CSRF auszunutzen, um unbefugten Zugriff auf die Datenbank zu erlangen. Der Angriff erfolgt typischerweise durch das Ausnutzen veralteter Versionen oder unsicherer Konfigurationen dieser Admin-Oberflächen.