Cybervorsorge scheitert nicht am Scan, sondern am Patchen

Ransomware verschlüsselt eine Kundendatenbank, ein Anwalt beantwortet die Abmahnung, ein Datenabfluss braucht eine Meldung ans Amt: Die Cyber- oder Vermögensschadenpolice für Freelancer, Agenturen und IT-Dienstleister zahlt erst, wenn genau das schon eingetreten ist. Ein automatischer Durchlauf über 886 Domains genau dieser Klientel zeigt, wie viel davon vorher sichtbar gewesen wäre: ausschließlich mit Daten, die jeder Browser ohnehin abruft, DNS, HTTP, TLS, ohne Login, ohne Exploit, ohne Eindringen. Das Ergebnis passt in einen Nachmittag.

Die Cyberversicherungs-Plattform CyberDirekt verglich am 5. Mai 2026 die Angebote von elf Anbietern von Schwachstellenscans¹, Cyberversicherer darunter. Alle elf prüfen die IT-Infrastruktur von außen, aus der Sicht eines Angreifers. Neun scannen täglich, wöchentlich oder in Echtzeit. Mehrere melden neu entdeckte Schwachstellen rund um die Uhr, einige rechnen ein gutes Ergebnis in eine günstigere Prämie um. Der Durchlauf über die 886 Domains lief im Juli darauf.

Eine Domain serviert ihren SQL-Dump offen im Netz#

Unter einem öffentlich erreichbaren Pfad liegt bei einem Kunden ein vollständiger SQL-Datenbank-Dump. Wer die Datei abruft, lädt die komplette Datenbank im Klartext herunter, ohne eine einzige Schwachstelle auszunutzen. Ein Programm prüft dafür eine Handvoll notorisch offener Pfade und bestätigt echte Treffer per Signaturvergleich, damit eine 404-Seite nicht fälschlich als Fund zählt. Dass Daten so offen im Netz liegen, ohne dass jemand eine Schwachstelle brauchte, ist kein Einzelfall dieser Klientel, sondern steckt als Voreinstellung ganzer Baukasten-Plattformen² im Fundament: Die Daten liegen frei, weil niemand ein Schloss geschlossen hat, nicht weil jemand eines gebrochen hätte.

Sieben weitere Domains lassen ihr Versionsverwaltungs-Verzeichnis offen begehbar, aus dem sich Quellcode und Struktur rekonstruieren lassen. Sechs zeigen eine öffentlich abrufbare phpinfo-Seite mit Pfaden, Modulen und Konfiguration. Neun weitere verraten über zurückgelassene Verzeichnis-Indizes und .DS_Store-Dateien ihre Ordnerstruktur. 24 Funde insgesamt, jeder schon beim Onboarding sichtbar.

Sechs WordPress-Cores stammen aus der Zeit vor 2018#

Von 380 erkannten WordPress-Seiten weist der Generator-Tag bei sechs die Hauptversion 4 aus, während die aktuelle Linie seit August 2026 bei 7.1³ steht; sieben weitere stehen auf 5.x. Gezählt ist nur, was der Core selbst meldet: Versionsstempel von Plugins und Page-Buildern wie Elementor, All in One SEO oder WPML tragen eigene Nummern und fließen nicht ein.

Die hohen Patch-Stände einiger dieser Seiten zeigen, dass Sicherheits-Backports dort ankommen. Eine Installation läuft seit etwa 2018 unverändert. Der Abstand von der Vierer- zur Siebener-Linie bedeutet Jahre fehlender Härtung: veraltete Hauptversionen sind ein klassischer Einstieg für Ransomware und Defacement.

70 Prozent der Domains lassen sich als Absender fälschen#

620 von 885 geprüften Domains haben keinen DMARC-Eintrag oder einen, der auf „none“ steht und nichts durchsetzt. Eine Mail, die scheinbar von der Geschäftsführung dieser Firmen kommt, lässt sich damit fälschen, ohne dass der Empfänger etwas Verdächtiges sieht. Das ist der technische Nährboden für den Chef-Betrug, bei dem ein vermeintlicher Geschäftsführer die Buchhaltung zur Eilüberweisung anweist. Ein einzelner DNS-Eintrag würde reichen.

70 Prozent sind kein Sonderfall dieser Klientel. Der Dienstleister CipherCue prüfte zwischen dem 14. April und dem 28. Juli 2026 die DNS-Einträge von 67.336 Domains aus dem eigenen Beobachtungsbestand und kam auf 68,4 Prozent ohne durchgesetzte DMARC-Regel⁴, gezählt auf dieselbe Weise: kein Eintrag oder ein Eintrag auf „none“.

123 Domains übertragen bei jedem Aufruf die Besucher-IP an Google#

123 der Domains laden ihre Schriftarten direkt von Googles Servern. Bei jedem Seitenaufruf wandert die IP-Adresse des Besuchers dabei in die USA. Das Landgericht München I hat genau diese Übertragung für abmahnfähig erklärt und einem Kläger 100 Euro Schadensersatz samt Unterlassungsanspruch⁵ zugesprochen (Urteil vom 20. Januar 2022, Az. 3 O 17493/20).

Der naheliegende Einwand, das stehe doch in der Datenschutzerklärung, trägt nicht. Das Gericht verlangt für die Rechtmäßigkeit entweder eine vorherige Einwilligung oder das Ausliefern der Schriften vom eigenen Server. Ein Absatz in der Datenschutzerklärung ist keine Einwilligung, und die Übertragung passiert beim Laden der Seite, bevor der Besucher etwas anklicken konnte. Der Scan erkennt die Ferneinbindung im Quelltext; was er pro Seite nicht auflöst, ist der seltene Fall, in dem ein Consent-Banner die Schrift erst nach dem Klick nachlädt. Beim fest im Theme verdrahteten Schrift-Link, dem Normalfall, feuert die Übertragung, sobald die Seite lädt.

15 Mailserver stehen auf seriösen Blocklisten#

Die IP-Adressen von 15 Domains tauchen auf anerkannten Blocklisten wie Spamhaus und Barracuda auf, eine davon auf beiden zugleich. Das kann zwei Dinge bedeuten: einen gekaperten Server, der gerade Spam verschickt, oder eine bereits verbrannte Mail-Reputation, an der die eigene Zustellung scheitert. Ein Fund dieser Art gehört auf den Tisch, bevor eine Police ihn absichert.

97 Prozent der Subdomain-Prüfung blieben ergebnislos#

Die Prüfung auf gekaperte Subdomains lief bei 97 Prozent der Domains ins Leere: Das kostenlose Tageskontingent der genutzten Datenquelle war erschöpft. Das ist ein „nicht nachgesehen“, kein „sauber“. Die Suche nach Tippfehler-Domains produziert tausende Rohtreffer, die zum großen Teil aus eigenen Schwester-Domains und Zufallskollisionen bestehen und erst eine Nachsortierung brauchen. Auch die Prüfung auf offengelegte Cloud-Schlüssel und auf Domains im Leak-Korpus blieb leer, weil diese Klientel andere Technik einsetzt.

Cybervorsorge rechnet anders als die Police#

Cyberversicherung rechnet über den Bestand: Prämie gegen erwarteten Schaden, quer über tausende Kunden. Nach den Zahlen des Gesamtverbandes der Deutschen Versicherungswirtschaft⁶ stiegen die Leistungen der Cyber-Sparte 2023 um knapp 50 Prozent auf 180 Millionen Euro. Die Schaden-Kosten-Quote sprang im selben Jahr von 77,7 auf 97 Prozent.

Der Anbietervergleich vom Mai misst das Finden: Scanfrequenz, Meldeweg, Prämieneffekt. Ausgeführt wird die Behebung dort, wo die Installation läuft. Ob die 886 Domains bei einem der elf versichert sind, sagt der Durchlauf nicht; er sagt, was im Juli 2026 von außen sichtbar war. Dass ein Einbruch sich nicht von selbst meldet, zeigt der Fall Anthropic: Dort blieb er mindestens drei Monate unbemerkt⁷.

Die Funde aus dem Durchlauf liegen quer zu dieser Rechnung. Jeder war vor jedem Vorfall sichtbar, aus öffentlichen Daten, und jeder hat eine Behebung, für die niemand einen Schadensfall abwarten muss: das Versionsupdate, der eine DNS-Eintrag, die auf den eigenen Server verschobene Schriftdatei. Ein Cyber-Schaden kostete 2023 im Schnitt 45.370 Euro.

Datengrundlage ist eine eigene passive OSINT-Erhebung vom Juli 2026 über 886 Domains von Freelancern, Agenturen und IT-Dienstleistern, ausschließlich aus öffentlich abrufbaren DNS-, HTTP- und TLS-Antworten, ohne Login und ohne aktives Eindringen. Einzelne Domains werden bewusst nicht genannt, um offene Schwachstellen nicht auf konkrete Ziele zu lenken. Die Marktzahlen stammen aus dem Whitepaper „Schwachstellenscans“ von CyberDirekt (5. Mai 2026), der DMARC-Erhebung von CipherCue (14. April bis 28. Juli 2026) und der Statistik des Gesamtverbandes der Deutschen Versicherungswirtschaft gdv.de ↗ für das Jahr 2023. Das Google-Fonts-Urteil: Landgericht München I, 20. Januar 2022, Az. 3 O 17493/20 gesetze-bayern.de ↗. WordPress-Versionslinien nach den offiziellen Release-Daten des Projekts wordpress.org ↗.