Die moderne Zusammenarbeit beschleunigt Prozesse und vergrössert digitale Angriffsflächen. Attack Surface Reduction (ASR) verankert minimale Sicherheitseinstellungen (Baselines) und automatisierte Massnahmen im Alltag. So werden mögliche Schwachstellen erkannt, nach ihrem Risiko bewertet, vermindert und kontinuierlich überwacht. Denn ASR prüft sämtliche Assets, Einstellungen und Abläufe – für nachhaltigen Schutz anstatt einmaliger Sicherheitsprojekte.
Wo setzt ASR an?
Digitale Arbeitsteilung ist heute gängige Praxis: Sie erfolgt über global verteilte Teams, mobile Geräte und die Einführung neuer Funktionen. Während diese Entwicklung die Produktivität steigert, erhöht sie zugleich die Komplexität. Technische Einstellungen verändern sich, Sonderfälle häufen sich und zwischen Regeln entstehen Lücken – ein Nährboden für Sicherheitsrisiken.
Hier kommt ASR ins Spiel. Die Methode nutzt vorhandene Sicherheitsfunktionen einheitlich und legt einen Zielzustand fest. Abweichungen werden automatisch behoben. Statt einem einmaligen Projekt kommt der PDCA-Zyklus – Planen, Durchführen, Prüfen, Verbessern – zur Anwendung, wodurch die Angriffsfläche schrittweise verringert wird.
Die folgenden drei Prinzipien prägen ASR:
-
Standardisieren: Baselines legen fest, wie digitale Identitäten, Geräte und Dienste konfiguriert sind. Sie fördern Nachvollziehbarkeit und teamübergreifendes Verständnis.
-
Härten: Abweichungen werden ermittelt und priorisiert, um kritische Punkte zuerst zu behandeln und Routineprozesse zu automatisieren. Dies erlaubt eine effiziente Ressourcennutzung.
-
Automatisieren: Wiederkehrende Anpassungen werden in Playbooks dokumentiert, sodass die Umsetzung unabhängig von Zuständigkeiten konsistent bleibt.
Diese Prinzipien unterstützen das Alltagsgeschäft, in dem Sicherheit entschieden wird.
ASR berücksichtigt das Zusammenspiel von Onboarding, Gerätelebenszyklus, Projektänderungen und Updates und integriert diese in Routinen. Dies führt nicht nur zu weniger Ticket-Pingpong, sondern auch zu Berichten, die die Wirkung von ASR belegen. Zugleich wird sichtbar, welche Massnahmen greifen und wo Anpassungsbedarf besteht.
Wie konkret präsentiert sich ASR in der Praxis?
Gemäss Andreas Achterholt, Lead Managed Cybersecurity Services bei Adnovum, zeigt die Projekterfahrung, dass es bei ASR nicht darum geht, welches Tool gewählt werden soll. ASR ist vielmehr ein Betriebsmodell. Sein Mehrwert entsteht dort, wo Baselines konsequent definiert, Abweichungen transparent gemacht und Anpassungen automatisiert in den Regelbetrieb integriert werden.
|
«Viele Unternehmen verfügen bereits über leistungsfähige Sicherheitsfunktionen. Entscheidend ist jedoch, diese einheitlich zu nutzen und stetig zu betreiben. ASR hilft dabei, Sicherheit messbar zu machen und dauerhaft zu stabilisieren – auch bei begrenzten Ressourcen.» Andreas Achterholt |
|
Weshalb ist Automatisierung ein entscheidender Faktor?
Während Sicherheitsanforderungen zunehmen, bleibt die Zahl der Security-Fachkräfte begrenzt. Automatisierung hilft, dieses Ungleichgewicht abzufedern: Periodische Massnahmen laufen standardisiert ab, regulatorische Vorgaben werden zuverlässig erfüllt. So entsteht mehr Zeit für Aufgaben, die menschliches Urteilsvermögen erfordern, und nicht zuletzt eine stabile Basis für datenbasierte Innovation und KI.
Die Umsetzung erfolgt in drei Schritten:
-
Standortbestimmung mit klarer Priorisierung
-
Pilotprojekt mit begrenzter Anzahl von Geräten und Konten: Baselines werden aktiviert, automatische Korrekturen getestet und Kommunikationswege überprüft.
-
Übergang in den Regelbetrieb mit monatlichen Intervallen: Dies ermöglicht Transparenz, laufende Anpassungen und messbaren Fortschritt.
Die Einstiegshürde ist niedrig. Für mehr Sicherheit reicht es meist, das Potenzial vorhandener Funktionen vollständig zu nutzen. Entscheidend ist dabei nicht das Tool, sondern dessen Anwendung nach klar definierten Regeln. Standardisierte Beschaffungswege über Cloud-Marktplätze reduzieren die Schnittstellen zwischen Technik, Einkauf und Compliance und erleichtern so einen geordneten Start.
Das Ziel ist letztlich die Handlungsfähigkeit. Eine geringere Angriffsfläche schützt das Alltagsgeschäft und beschleunigt Projekte. ASR bietet hierfür einen praxisnahen Rahmen: zurückhaltend im Auftreten, wirkungsvoll in der Umsetzung. Wer Sicherheit als Standard anstatt als Ausnahmezustand versteht, schafft nachhaltige Stabilität sowie ein Fundament für zukünftige Entwicklungen.
Dieser Artikel ist in gekürzter Form in der Computerworld vom 12. Dezember 2025 erschienen.
