Niemand klopft persönlich: Warum Bots ständig Ihre Website scannen

Ein Server geht online. Keine Ankündigung, kein Eintrag in einer Suchmaschine, nicht einmal ein vollständig propagierter DNS-Eintrag. Nur eine IP-Adresse, die es eine Minute vorher noch nicht gab. Genau diesen Moment hat der Sicherheitsanbieter Sophos in einer globalen Honeypot-Studie vermessen: Der erste Anmeldeversuch auf einem Testserver in São Paulo traf nach 52 Sekunden ein, einer in Ohio wurde nach knapp fünf Minuten entdeckt (1). Niemand kannte diesen Server. Niemand hatte ihn verlinkt, besucht oder auch nur gegoogelt. Trotzdem klopfte es, bevor sein Betreiber den Kaffee ausgetrunken hatte, den er sich zur Feier der Inbetriebnahme gönnte.

Genau an dieser Stelle denken die meisten Betreiber falsch, wenn sie zum ersten Mal einen fremden Pfad im eigenen Zugriffslog entdecken: /cmd_sco.php, /wp-content/uploads/shell.php, /.env, /xmlrpc.php. Die Namen klingen nach Absicht, weil sie tatsächlich etwas Bösartiges suchen. Aber die Anfrage, die dahintersteht, meint niemanden persönlich. Sie meint jeden.

Das Sicherheitsunternehmen GreyNoise hat für dieses Phänomen einen eigenen Geschäftszweig aufgebaut, und schon der Name verrät die These: Internet Background Noise, digitales Hintergrundrauschen (2). Tausende Sensoren weltweit fangen nichts anderes ein als das, was ohnehin auf jeder erreichbaren IP-Adresse landet: botnetzgetriebene Anmeldeversuche, Forschungs-Crawler, Sicherheitsscanner, Exploit-Automaten. Die Instrumentenmetapher, mit der GreyNoise sein eigenes Geschäft beschreibt, trifft die Sache gut: So wie Astronomen das Sensorrauschen einer Kamera vom echten Sternenlicht trennen müssen, muss ein Sicherheitsteam das ständige Klopfen von der eigentlichen, gezielten Bedrohung trennen.

Das Rauschen ist kein Nebeneffekt des Internets, obschon es sich für den Einzelnen so anfühlt. Es ist sein Grundzustand. Wer online ist, wird gescannt, unabhängig davon, ob er beworben, verlinkt oder überhaupt bekannt ist.

Wie das technisch möglich ist, zeigt ein einzelnes Werkzeug besonders deutlich. Masscan, entwickelt vom Sicherheitsforscher Robert Graham, durchsucht bei maximaler Rate den kompletten IPv4-Adressraum (alle 4,3 Milliarden möglichen Adressen) in unter sechs Minuten, bei zehn Millionen Paketen pro Sekunde (3). Dafür braucht es kein Rechenzentrum. Die Software ist frei verfügbar, und selbst 4,3 Milliarden Adressen sind für einen automatisierten Scanner längst keine unüberschaubare Größe mehr.

Nach dem groben Sweep folgt die Feinarbeit, meist ebenfalls automatisiert: Welche Ports sind offen, welche Software antwortet, welche Pfade existieren. Gesucht wird dabei nach immer denselben Dingen: versehentlich veröffentlichten Konfigurationsdateien wie .env, bekannten Webshell-Namen und typischen CMS-Standardpfaden. /cmd_sco.php gehört mit hoher Wahrscheinlichkeit genau in eine solche Wortliste: irgendwann irgendwo einmal gefunden, seither tausendfach automatisiert gesucht.

Bis hier ist die Geschichte beruhigend: stumpfe Automatik, kein Interesse an einer bestimmten Domain, ein 404 als korrekte und ausreichende Antwort. Was sich gerade ändert, ist nicht das Prinzip. Es ist das Tempo, und es ist die Auswahl dahinter.

Laut dem aktuellen Bad-Bot-Report von Imperva/Thales entfielen 2025 bereits 53 Prozent des gesamten Web-Traffics auf automatisierte Zugriffe, 40 Prozentpunkte davon auf explizit bösartige Bots (4). Bemerkenswerter als die Zahl selbst ist ihre Beschleunigung: Die Zahl der KI-gestützten Angriffe, die Imperva täglich blockiert, stieg binnen eines Jahres von durchschnittlich zwei auf 25 Millionen: ein Faktor von 12,5 (4). Nicht jeder sogenannte KI-Bot arbeitet dabei bereits wie ein eigenständiger Angreifer. Entscheidend ist vielmehr, dass sich einzelne Schritte einer Angriffskette (Suche, Auswahl, Verkettung bekannter Lücken) zunehmend automatisieren lassen, ohne dass ein Mensch jeden Schritt einzeln anstößt.

Wie weit das bereits reicht, zeigt ein Fall, den die Threat-Intelligence-Abteilung von Palo Alto Networks im Mai 2026 dokumentierte. Ein Angreifer gab einem autonomen KI-Agenten auf Basis von DeepSeek eine einzige Aufgabe und überließ ihm den Rest. Der Agent suchte selbstständig über die Suchmaschine FOFA nach angreifbaren Servern, wertete öffentliche Exploit-Sammlungen aus, verkettete zwei bekannte Schwachstellen und entschied sich schließlich für ein bestimmtes Ziel: die Workflow-Plattform n8n, von der über 647.000 Installationen weltweit erreichbar waren (5). Kein Mensch wählte dieses Ziel aus. Der Agent traf diese Entscheidung selbst, nachdem ein erster Versuch an einem anderen System gescheitert war.

Ein Scanner, der stumpf jede Tür prüft, ist ein Problem der Statistik. Ein Agent, der selbst entscheidet, welche Tür sich lohnt, ist ein Problem der Geschwindigkeit.

Welche Folgen dieses beschleunigte Vorgehen bereits hat, zeigt der Data Breach Investigations Report 2026 von Verizon, der auf der Auswertung von über 22.000 Sicherheitsvorfällen beruht. Zum ersten Mal in der 19-jährigen Geschichte des Reports hat die Ausnutzung von Schwachstellen den Diebstahl von Zugangsdaten als häufigsten Einstiegspunkt für Angriffe abgelöst: 31 Prozent gegenüber 13 Prozent (6). Verizon benennt den Grund direkt: Angreifer nutzen KI, um Schwachstellen schneller auszunutzen. Das Verteidigungsfenster hat sich dadurch von Monaten auf Stunden verkürzt (6).

Dagegen steht eine Zahl, die die eigentliche Lücke offenlegt: Die mittlere Zeit bis zur vollständigen Behebung einer bekannten Schwachstelle liegt laut demselben Report bei 43 Tagen (6). Zwischen dem Moment, in dem eine Lücke öffentlich wird, und dem Moment, in dem sie ausgenutzt wird, liegen Stunden. Zwischen ihrem Bekanntwerden und ihrer Behebung liegen anderthalb Monate. In dieser Differenz entstehen die Vorfälle, die tatsächlich zählen.

Für diese eine Anfrage heißt das zunächst: Entwarnung. Ein 404 auf /cmd_sco.php bedeutet, dass an dieser Stelle nichts zu finden war: nicht mehr, aber auch nicht weniger. Über den Gesamtzustand einer Website sagt ein einzelner Treffer im Log nichts aus. Das Bundesamt für Sicherheit in der Informationstechnik formuliert die Kehrseite dieser Beruhigung so knapp wie unbequem: "Wer seine Angriffsflächen nicht schützt, wird Opfer" (7). Die Zahl der bekannten Schwachstellen ist laut BSI allein zwischen dem vierten Quartal 2025 und dem ersten Quartal 2026 von 10.702 auf 10.806 gestiegen (7): nicht dramatisch, aber stetig, und jede einzelne davon ist ein potenzieller Treffer für genau die Scanner, die ohnehin schon an der Tür stehen.

Besonders betroffen sind kleine und mittlere Unternehmen, Verbände und ähnliche Organisationen ohne eigenes Sicherheitsteam. Laut BSI richten sich rund 80 Prozent der angezeigten Angriffe, etwa mit Ransomware, in Deutschland gegen genau diese Gruppe (7). Sie sind nicht interessanter. Sie sind nur leichter erreichbar.

Was zu tun ist, wenn aus einem harmlosen 404 tatsächlich ein 200 wird, haben wir im Artikel Zero-Day-Exploits: Hilfe, ich wurde gehackt! ausführlich beschrieben. Hier geht es um den Moment davor: warum überhaupt ständig jemand an der Tür rüttelt, und warum das Rütteln schneller wird, als sich die meisten Türschlösser austauschen lassen.

Unsichtbarkeit schützt nicht. Man muss Sie nicht kennen, um Sie zu finden.

Was bedeutet ein Zugriff auf /cmd_sco.php in meinem Server-Log? In aller Regel nichts Persönliches. Der Name folgt dem Muster klassischer Webshell-Bezeichnungen, wie sie in den Wortlisten automatisierter Scanner stehen. Solche Anfragen prüfen, ob zufällig eine Datei mit genau diesem Namen existiert, meist als Rest einer früheren, fremden Kompromittierung. Antwortet der Server darauf mit 404, war unter diesem Pfad nichts zu finden.

Bedeutet ein 404 auf einen verdächtigen Pfad, dass meine Website angegriffen wurde? Nein, jedenfalls nicht im Sinne eines gezielten oder erfolgreichen Angriffs. Ein 404 zeigt lediglich, dass die angefragte Datei nicht existiert. Solche Anfragen sind Teil des permanenten, automatisierten Grundrauschens des Internets und treffen praktisch jede öffentlich erreichbare Domain, unabhängig von ihrer Bekanntheit oder Größe.

Wie unterscheide ich harmloses Scannen von einem echten Angriff? Wiederholte 404-Antworten auf bekannte Scanner-Pfade sind zunächst typisch und für sich genommen kein Beleg für eine erfolgreiche Kompromittierung. Aufmerksamkeit verdient es, wenn eine solche Anfrage mit 200 beantwortet wird, obwohl dort keine erwartete öffentliche Ressource liegen sollte, oder wenn danach ungewöhnliche Prozesse, neue Nutzerkonten oder unerklärliche Änderungen auftauchen.

Werden KI-gestützte Scanner Angriffe grundsätzlich gefährlicher machen? Sie verändern vor allem das Tempo und die Zielauswahl, weniger die Grundmechanik. Wo klassische Scanner blind jede Tür prüfen, können KI-Agenten selbstständig entscheiden, welches Ziel sich lohnt, Schwachstellen verketten und ganze Angriffsketten ohne durchgehende menschliche Steuerung durchführen. Das verkürzt das Zeitfenster zwischen dem Bekanntwerden einer Lücke und ihrer Ausnutzung erheblich.

Was kann ich als kleines Unternehmen oder Verein konkret tun? Aktuelle Software, ein funktionierendes Update-Management und ein Blick ins Zugriffslog reichen als Basis meist aus, um den Unterschied zwischen Rauschen und echter Bedrohung zu erkennen. Wer keine eigene Kapazität dafür hat, sollte laufendes Monitoring auslagern, statt sich auf gelegentliche, punktuelle Kontrollen zu verlassen.