Angriffs-Lageradar

Was gerade im Netz gescannt wird

ALLSmartSecurity wertet automatisierte Angriffs- und Scanner-Anfragen aus, die über unsere Sensoren laufen. Du siehst anonymisiert und in Echtzeit, welche Angriffsvektoren gerade hochkochen, was dahintersteckt, und wie du deine eigene Anwendung prüfst und absicherst.

Beschreibungen und Lagebild zuletzt aktualisiert: 2026-08-16T06:00:30.730450+00:00. Aktivität live.

Zur großen Landkarte

Lagebild

Lage: Der Traffic wird massiv von automatisierten Scannern dominiert, die vor allem über User-Agents identifiziert werden, gefolgt von systematischen Versuchen, Datenbank-Administrationswerkzeuge und Konfigurationsdateien zu finden.

Auffälligkeiten: Es fällt ein extrem hohes Volumen an Requests auf Standardpfade wie `/`, `/public` und diverse Varianten von Datenbank-Admin-Interfaces (z. B. `/phpmyadmin`, `/myadmin`) sowie auf Konfigurationsdateien wie `.env`-Varianten auf. Die Anzahl der einzigartigen Muster ist im Vergleich zum Gesamtvolumen gering, was auf hochautomatisierte, wiederkehrende Skripte hindeutet.

Einordnung: Dies ist klassisches Routine-Grundrauschen des Internets. Die Angriffe sind breit gestreut und zielen auf bekannte, standardisierte Endpunkte ab. Es handelt sich um massenhaftes Reconnaissance-Rauschen, nicht um gezielte, komplexe Angriffe auf spezifische Schwachstellen.

Was das für Betreiber heißt: Stellen Sie sicher, dass keine sensiblen Dateien wie `.env` oder Standard-Admin-Pfade öffentlich erreichbar sind. Nutzen Sie Web Application Firewalls oder Rate-Limiting, um das Rauschen zu filtern, da eine manuelle Analyse einzelner Requests kaum Sinn ergibt.

KI & Security

Aktuell ist Prompt Injection das führende Risiko für KI-Anwendungen, da Modelle keine klare Trennung zwischen vertrauenswürdigen Systemanweisungen und untrusted Benutzereingaben vornehmen können [5]. Angreifer nutzen diese Schwachstelle, um Sicherheitsrichtlinien zu umgehen und durch sogenannte Jailbreaks unbefugte Aktionen auszulösen [3]. Die Bedrohung hat sich zu einer neuen Malware-Klasse entwickelt, bei der bösartige Code-Stücke („Promptware“) speziell entwickelt wurden, um KI-gestützte Sicherheitstools und autonome Agenten zu kompromittieren [2], [6]. Diese Angriffe erfolgen oft ohne traditionelle Exploit-Code oder CVEs, sondern rein durch sprachliche Manipulation, was zu schwerwiegenden Datenlecks oder der Übernahme von Kontrollrechten führt [4], [6].

Quellen

Herkunft der Angriffe

Länder der Scanner-Quellen, relativ; gespeichert wird nur der Ländercode, nie die IP

🇩🇪Deutschland84 Prozent

🇫🇷Frankreich4 Prozent

🇺🇸Vereinigte Staaten4 Prozent

🇧🇷Brasilien1 Prozent

🇳🇱Niederlande1 Prozent

🇸🇪Schweden1 Prozent

🇸🇬SG1 Prozent

🇬🇧Vereinigtes Königreich1 Prozent

🇨🇦Kanada1 Prozent

🇵🇱Polen0 Prozent

🇸🇨SC0 Prozent

🇨🇭Schweiz0 Prozent

🇮🇹Italien0 Prozent

🇫🇮Finnland0 Prozent

🇧🇬Bulgarien0 Prozent

Aggressivste Netze

Netzbetreiber (ASN) der Angriffsquellen, relativ; kein Personenbezug

MEVSPACE sp. z o.o.82 Prozent

Bucklog SARL3 Prozent

Microsoft Corporation3 Prozent

Google LLC1 Prozent

Modat B.V.1 Prozent

Cloudflare, Inc.1 Prozent

FORTE TELECOM LTDA.1 Prozent

HostPapa1 Prozent

Feo Prest SRL0 Prozent

DM AUTO EOOD0 Prozent

Pfcloud UG (haftungsbeschrankt)0 Prozent

Hetzner Online GmbH0 Prozent

Angriffsvektoren

nach Aktivität sortiert, was hochkocht zuerst

Scanner (nur UA) fallend 2 CVE

Angreifer nutzen automatisierte Scanner, um die Datei robots.txt zu analysieren, um verbotene oder sensible Pfade einer Website zu identifizieren. Diese Informationen dienen dazu, gezielte Angriffe auf nicht öffentlich zugängliche Bereiche, sensible Daten oder veraltete Verwaltungsoberflächen durchzuführen. Der Angriff nutzt die oft unzureichende Absicherung dieser Datei aus, um die Angriffsfläche der Anwendung zu vergrößern.

Aktivitätsanteil: hoch, 57 Prozent

Config-/Secret-Leak fallend 1 CVE

Angreifer scannen Webserver gezielt nach öffentlich zugänglichen Konfigurationsdateien wie .env oder Git-Metadaten (.git/config, .git/HEAD), um sensible Geheimnisse oder den gesamten Quellcode zu stehlen. Durch den direkten HTTP-Zugriff auf diese Pfade können sie Umgebungsvariablen, Datenbankpasswörter oder Versionshistorien extrahieren, was oft der erste Schritt zu einer vollständigen Kompromittierung ist. Dieser Angriff nutzt häufig fehlende Serverkonfigurationen aus, die den Zugriff auf versteckte Verzeichnisse nicht blockieren.

Aktivitätsanteil: erhöht, 14 Prozent

Port-Scan fallend

Ein Port-Scan ist eine automatisierte Technik, bei der Angreifer systematisch verschiedene Netzwerkports (wie 8080, 465, 3389) auf einem Zielserver abfragen, um offene Dienste und potenzielle Schwachstellen zu identifizieren. Das Ziel besteht darin, die Angriffsfläche zu vergrößern und geeignete Einfallstore für nachfolgende Exploits zu finden. Der Ablauf erfolgt typischerweise schnell und unauffällig, um nicht sofort erkannt zu werden, indem häufige Standardports auf ihre Erreichbarkeit geprüft werden.

Aktivitätsanteil: gering, 11 Prozent

DB-Admin-Tool fallend 3 CVE

Angreifer scannen gezielt nach öffentlich zugänglichen Administrations-Oberflächen wie phpMyAdmin, um unbefugten Zugriff auf Datenbanken zu erlangen. Oft werden dabei bekannte Schwachstellen wie SQL-Injection oder Cross-Site-Scripting ausgenutzt, um die Systeme zu kompromittieren. Das Ziel ist meist der Diebstahl sensibler Daten oder die Übernahme der Serverkontrolle.

Aktivitätsanteil: gering, 7 Prozent

PHP-Scan fallend 1 CVE

Das Muster 'PHP-Scan' besteht aus automatisierten Scans, die spezifische PHP-Dateien wie '1.php' oder 'admin.php' aufrufen, um nach bekannten Schwachstellen wie der kritischen Remote-Code-Execution-Lücke CVE-2024-4577 zu suchen. Angreifer nutzen diese Anfragen, um unbefugten Zugriff auf den Webserver zu erlangen und oft Malware wie Cryptominer zu installieren. Der Angriff erfolgt durch das Senden von HTTP-Requests an typische Ziel-Pfade, um die Anfälligkeit des PHP-Cores zu testen.

Aktivitätsanteil: gering, 6 Prozent

WordPress-Scan fallend 1 CVE

Dieses Muster beschreibt automatisierte Scans, die gezielt nach bekannten Schwachstellen in WordPress-Installationen suchen, insbesondere nach der kritischen Lücke CVE-2020-25213 im Plugin wp-file-manager. Angreifer nutzen diese Lücke, um ohne Authentifizierung beliebige Dateien hochzuladen und Remote Code Execution (RCE) zu erreichen. Ziel ist es oft, Webshells zu installieren, um den Server zu kompromittieren und beispielsweise Kryptomining-Malware wie Kinsing zu deployen.

Aktivitätsanteil: gering, 2 Prozent

Framework-Probe ruhig 1 CVE

Das Muster 'Framework-Probe' mit dem Ziel-Pfad /manager/html dient der automatisierten Erkennung von Verwaltungsinterfaces, insbesondere des Apache Tomcat Manager. Angreifer scannen gezielt nach diesen Pfaden, um unbefugten Zugriff auf die Server-Verwaltung zu erlangen oder bekannte Schwachstellen in der Webanwendungsplattform auszunutzen. Dieser Schritt ist oft der Anfang einer Kette, die auf Remote Code Execution oder Datenexfiltration abzielt.

Aktivitätsanteil: gering, 1 Prozent

Shell-/RCE-Probe fallend 1 CVE

Dieses Muster beschreibt automatisierte Scans auf die Remote-Code-Execution-Lücke CVE-2017-9841 in PHPUnit, bei der Angreifer über die Datei eval-stdin.php beliebigen PHP-Code ausführen können. Der Angriff nutzt typischerweise POST-Anfragen an Pfade wie /lib/phpunit/... oder /vendor/phpunit/..., um Shell-Zugriff zu erlangen. Solche Proben dienen oft der Initial Access-Phase für Malware wie Androxgh0st oder dem Platzieren von Webshells.

Aktivitätsanteil: gering, 1 Prozent

Path-Traversal fallend

Beschreibung wird bei der nächsten Aktualisierung erzeugt.

Aktivitätsanteil: gering, 1 Prozent

Admin-Login-Suche ruhig

Beschreibung wird bei der nächsten Aktualisierung erzeugt.