Angriffs-Radar: Was unsere Server jeden Tag abwehren
Jede Website wird ständig automatisch abgeklopft, auch die kleinste. Hier steht mit echten Zahlen von unseren eigenen Servern, wonach Bots suchen, woher sie kommen und was die Abwehr blockiert. Ohne IP-Adressen und mit Erklärungen für alle, die keine Technik-Fans sind.
Stand: · stündlich aktualisiert
113
automatische Sperren, letzte 24 Stunden
2.515
abgewiesene Spähversuche, letzte 24 Stunden
870
Sperren in den letzten 7 Tagen
28
Herkunftsländer in 7 Tagen
Die letzten 24 Stunden
Jeder Punkt ist eine Sperre: ein Angreifer, den die Abwehr erkannt hat. In der Mitte steht unser Server, je näher ein Punkt daran liegt, desto kürzer ist es her. Der Sektor zeigt, worauf der Angriff zielte.
Sperren nach Art, 24 Stunden
Abtasten und Ausspähen: Schnelles Durchprobieren vieler Adressen, um herauszufinden, welche Software läuft.
Woher die Angriffe kommen
Das Land zeigt, wo der angreifende Rechner steht, nicht wo die Person dahinter sitzt. Meist sind es gemietete Server in großen Rechenzentren, die für wenig Geld rund um die Uhr das ganze Internet abscannen. Der Zeitraffer spielt die letzten 24 Stunden ab: eine Sekunde pro Stunde, jede Sperre einzeln.
Zeitraffer, letzte 24 Stunden
0Sperren
Abgewiesene Spähversuche pro Stunde: Angriffe kommen in Wellen
| Stunde | Abgewiesene Spähversuche pro Stunde: Angriffe kommen in Wellen |
|---|---|
| 02:00 | 48 |
| 03:00 | 144 |
| 04:00 | 0 |
| 05:00 | 1 |
| 06:00 | 66 |
| 07:00 | 83 |
| 08:00 | 4 |
| 09:00 | 12 |
| 10:00 | 5 |
| 11:00 | 310 |
| 12:00 | 83 |
| 13:00 | 79 |
| 14:00 | 88 |
| 15:00 | 166 |
| 16:00 | 53 |
| 17:00 | 0 |
| 18:00 | 106 |
| 19:00 | 491 |
| 20:00 | 85 |
| 21:00 | 106 |
| 22:00 | 424 |
| 23:00 | 68 |
| 00:00 | 71 |
| 01:00 | 22 |
Zeitraffer, letzte 24 Stunden
0Sperren
- Belgien0
- Vereinigte Staaten0
- Bulgarien0
- Italien0
- Litauen0
- Weitere Länder0
Abgewiesene Spähversuche pro Stunde: Angriffe kommen in Wellen
| Stunde | Abgewiesene Spähversuche pro Stunde: Angriffe kommen in Wellen |
|---|---|
| 02:00 | 48 |
| 03:00 | 144 |
| 04:00 | 0 |
| 05:00 | 1 |
| 06:00 | 66 |
| 07:00 | 83 |
| 08:00 | 4 |
| 09:00 | 12 |
| 10:00 | 5 |
| 11:00 | 310 |
| 12:00 | 83 |
| 13:00 | 79 |
| 14:00 | 88 |
| 15:00 | 166 |
| 16:00 | 53 |
| 17:00 | 0 |
| 18:00 | 106 |
| 19:00 | 491 |
| 20:00 | 85 |
| 21:00 | 106 |
| 22:00 | 424 |
| 23:00 | 68 |
| 00:00 | 71 |
| 01:00 | 22 |
Länder, 7 Tage
- Belgien238
- Vereinigte Staaten177
- Deutschland47
- Schweiz43
- Litauen33
- Polen30
- Bulgarien29
- Taiwan29
- Weitere Länder244
Netze, 7 Tage
- Google Cloud522
- Microsoft Azure117
- DigitalOcean49
- Tencent Cloud18
- Amazon Web Services6
- Andere Netze158
Wonach Bots bei uns suchen
Abgewiesene Anfragen der letzten 24 Stunden nach Ziel. Auffällig: Unsere Website nutzt weder WordPress noch PHP, gefragt wird trotzdem. Die Bots arbeiten blind eine Liste ab.
1.852
.env-Dateien
Darin stehen bei vielen Web-Projekten Datenbank-Passwörter und API-Schlüssel. Liegt die Datei offen, ist der Zugang weg.
142
WordPress-Ordner
Suche nach WordPress-Installationen und Plugins mit bekannten Lücken.
140
Konfigurationsdateien
wp-config.php, config.json und ähnliche Dateien mit Zugangsdaten, die nie öffentlich erreichbar sein sollten.
117
Git-Verzeichnisse
Ein offenes .git-Verzeichnis verrät den Quellcode samt Verlauf, oft mit alten Passwörtern darin.
82
Backups und Datenbank-Exporte
Vergessene .zip-, .sql- oder .bak-Dateien enthalten oft die komplette Website samt Kundendaten.
41
Docker-Zugangsdaten
Docker-Konfigurationen enthalten oft Zugänge zu Image-Speichern und Passwörter für Datenbanken.
Außerdem gesucht: Spring-Boot-Diagnose (38) · WordPress XML-RPC (35) · Cloud-Schlüssel (33) · WordPress-Anmeldung (28) · Webshells (4) · Server-Statusseiten (2) · CGI-Skripte (1)
Alte Lücken, täglich gesucht
Bekannte Sicherheitslücken, nach denen in den letzten 7 Tagen gezielt gesucht wurde. Die meisten sind seit Jahren geschlossen: Bots setzen darauf, dass irgendwo noch ein System ohne Updates läuft.
- CVE-2021-26086Jira: interne Dateien auslesenbekannt seit 202123 Versuche
- CVE-2017-9841PHPUnit: fremden Code ausführen über eine vergessene Testdateibekannt seit 20172 Versuche
Was daraus für jeden Betrieb folgt
- Updates zeitnah einspielenDie gesuchten Lücken sind fast alle längst geschlossen, aber nur auf Systemen, die ihre Updates auch bekommen.
- Keine Zugangsdaten im Webordner.env-, Backup- und Konfigurationsdateien gehören nicht in den öffentlichen Bereich einer Website. Das lässt sich schnell prüfen.
- Anmeldeseiten schützenStarke Passwörter, Zwei-Faktor-Anmeldung und eine Sperre nach Fehlversuchen machen Passwort-Raten wertlos.
- Automatisch sperrenEine Abwehr, die Angriffsmuster erkennt und Absender sperrt, hält den größten Teil des Rauschens fern, bevor es die Website erreicht.
So entstehen die Zahlen
- Quelle sind die Angriffserkennung und die Zugriffsprotokolle unserer eigenen Server, auf denen auch diese Website läuft.
- Einmal pro Stunde zählt ein Skript die Ereignisse aus und gibt nur Zahlen weiter. IP-Adressen, angegriffene Adressen und Uhrzeiten genauer als die Stunde verlassen den Server nicht.
- Die Anzeige läuft ein bis zwei Stunden hinterher. So lässt sich hier nicht live beobachten, ob ein Angriff erkannt wurde.
- Gezählt werden nur abgewiesene Anfragen mit eindeutigen Angriffsmustern. Normale Besuche tauchen nicht auf.
- Das Herkunftsland stammt aus der Zuordnung der IP-Adresse und zeigt den Standort des Rechners, nicht den der Person.
Zahlen als JSONDieselben Werte wie auf dieser Seite, maschinenlesbar.
Häufige Fragen
Wird wirklich jede Website angegriffen?
Ja. Bots scannen rund um die Uhr das gesamte Internet und probieren bei jeder erreichbaren Adresse dieselben Listen durch. Ob Konzern oder Handwerksbetrieb spielt dabei keine Rolle: Gesucht wird nach Fehlern, nicht nach bestimmten Firmen.
Heißt das, dass die Server von Keil&Schick gehackt wurden?
Nein. Gezeigt werden nur Anfragen, die abgewiesen wurden, und Absender, die die Abwehr gesperrt hat. Das ist der normale Hintergrundlärm im Internet.
Was bedeutet „gesperrt“?
Erkennt die Abwehr ein Angriffsmuster, nimmt sie von diesem Absender für eine gewisse Zeit keine Anfragen mehr an. Bekannte Angreifer stehen zusätzlich auf einer gemeinsamen Sperrliste.
Ist eine Website ohne WordPress sicher?
Sie ist kein Ziel für WordPress-Lücken. Die Bots suchen aber genauso nach Backups, Zugangsdaten und Lücken in anderer Software. Entscheidend sind Updates, eine saubere Konfiguration und eine Abwehr, die automatisch sperrt.
Warum werden die Zahlen öffentlich gezeigt?
Weil IT-Sicherheit oft abstrakt bleibt. Die Zahlen zeigen, was jeden Tag passiert, und warum Wartung, Updates und Monitoring kein Luxus sind.
Reden wir über das Projekt
Das Erstgespräch ist kostenlos und unverbindlich. Danach folgt ein klares Angebot zum Festpreis.