Dass neue Server im Internet schnell gefunden werden, ist bekannt. Aber wie schnell genau? Und wie schnell wird aus einer offenen Tür eine vollständige Übernahme? Das hat unser Head of AI, Torsten Katthöfer, im September im Rahmen eines Cybersecurity-Tests gemessen.

Auslöser war ein brandneuer Server, der erst wenige Minuten zuvor seine IP-Adresse erhalten hatte. Kurz nach der Installation einer Software hatten (autonome) Angreifer ihn bereits übernommen. Das hat uns überrascht und neugierig gemacht.

Die Geschichte im Detail:

Anlass war ein Vorfall auf einem nagelneuen, ansonsten leeren Entwicklungsserver, über den Software ausgerollt werden sollte. Dafür wurde Dokploy installiert, eine Open-Source-Plattform, mit der Unternehmen Anwendungen auf eigenen Servern bereitstellen können.

Nach der Installation muss als Erstes ein Administratorkonto angelegt werden. Bis dahin steht die Tür sperrangelweit offen: Wer in diesem Moment die IP-Adresse kennt und auf den Server zugreift, kann sich selbst zum Administrator machen.

Am 23. September scheiterte die automatische Einrichtung dieses Kontos, die Verwaltungsoberfläche blieb ungeschützt. Wenige Minuten nach der Installation registrierte sich ein Fremder als erster Administrator. Elf Sekunden später lag ein als Systemdienst getarnter Krypto-Miner auf dem Server, ein Schadprogramm, das heimlich die Rechenleistung nutzt, um Kryptowährungen zu erzeugen. Auf dem übernommenen Server lief außerdem ein Werkzeug, das selbst nach offenen Dokploy-Instanzen sucht. Der Ablauf deutet auf eine vollautomatische Übernahme hin. Der Server wurde daraufhin gelöscht.

Um zu verstehen, wie schnell und von wem solche Server gefunden werden, stellte das Team einen neuen Server ins Netz, diesmal bewusst als Falle, als sogenannten Honeypot. Er beantwortete jede Anfrage so, wie es ein echtes System tun würde, ließ aber nichts zu, was eine Übernahme ermöglicht hätte. Das Ziel: messen, wie schnell, wie oft und wie tief Angreifer aktiv werden.

In knapp acht Tagen protokollierte die Falle 3.466 Angriffsversuche von 285 verschiedenen Angreifern. Der erste fremde Zugriff erfolgte nach knapp 13 Minuten, fast alle Anfragen sprachen den Server direkt über seine IP-Adresse an.

Eine unbekannte, nagelneue IP-Adresse schützt also nicht. Der Grund: Laut den Entwicklern des Scanners ZMap lässt sich der gesamte IPv4-Adressraum auf einem Port in unter 45 Minuten durchsuchen. Einschränkend weist das Team darauf hin, dass es sich um einen Server, einen Hoster und eine Messung über knapp acht Tage handelt. Andere Netze können anders aussehen.

Die Suche läuft systematisch und automatisiert.

Drei Muster fielen besonders auf:

Dokploy-Scans: 63 verschiedene Server prüften mit exakt derselben Abfolge von 16 Anfragen, ob auf dem neuen Server Dokploy läuft, im Median alle 55 Minuten. Die Absender waren fast ausschließlich günstige Hosting-Server. Das Team hält es für wahrscheinlich, aber nicht belegt, dass es sich überwiegend um bereits übernommene Server handelt, die weitersuchen.

Angriffe auf Next.js: 102 Versuche zielten auf eine kritische Sicherheitslücke in Next.js-Anwendungen, vierzehn davon versuchten, Schadcode von einem fremden Server nachzuladen.

Suche nach offenen Dateien und Schnittstellen: Ein einzelner Absender fragte in knapp drei Minuten 397 Pfade ab, um versehentlich öffentlich erreichbare Dateien wie Konfigurationen mit Passwörtern, Backups und Schlüssel zu finden. Auch Schnittstellen für KI-Agenten (MCP) wurden gesucht. Dazu passt eine Analyse von Wiz vom Juli 2026: Demnach stellt etwa jede sechste Cloud-Umgebung mit MCP mindestens einen MCP-Server offen ins Netz.

Was heißt das für Ihr Unternehmen?

Eine offene Tür bleibt im Netz nicht lange unbemerkt. Wer heute einen Server ans Netz bringt, muss davon ausgehen, dass er innerhalb von Minuten gefunden und geprüft wird.

IT-Sicherheit ist deshalb kein nachgelagertes Thema, sondern gehört von der ersten Minute an zu jedem IT-Projekt. Sich aktiv mit Sicherheit zu beschäftigen, ist genauso wichtig, wie sich mit der IT selbst zu beschäftigen.

Quellen: Torsten Katthöfer, southwestX, Honeypot-Experiment Dokploy (Stand 1. Oktober 2026) · ZMap (USENIX Security 2013) · Tenable · Wiz