EASM verständlich erklärt: Wie Unternehmen ihre externe Angriffsfläche sichtbar machen

Die meisten Unternehmen wissen, welche Systeme sie betreiben möchten. Schwieriger ist die Frage, welche Systeme tatsächlich von außen sichtbar und erreichbar sind.

Neue Cloud-Ressourcen werden bereitgestellt, Subdomains entstehen, Testumgebungen bleiben länger online als geplant und externe Dienstleister veröffentlichen Anwendungen im Namen ihrer Kunden. Gleichzeitig verändern sich IP-Adressen, Zertifikate, DNS-Einträge und eingesetzte Technologien laufend.

Für Angreifer ist diese Außenperspektive entscheidend: Sie suchen nicht in der internen Dokumentation eines Unternehmens, sondern im öffentlich erreichbaren Internet. Genau hier setzt EASM an. Die Abkürzung steht für External Attack Surface Management, also das Management der externen Angriffsfläche.

EASM hilft Unternehmen dabei, ihre von außen sichtbaren digitalen Assets kontinuierlich zu entdecken, zu überwachen und sicherheitsrelevant einzuordnen. Damit schließt EASM eine Lücke, die klassische Asset-Listen und punktuelle Sicherheitsprüfungen häufig offenlassen.

In diesem Beitrag erfahren Sie:

• was EASM genau bedeutet,
• welche Assets zur externen Angriffsfläche gehören,
• wie EASM typischerweise funktioniert,
• worin der Unterschied zu Vulnerability Management und Penetrationstests liegt,
• warum kontinuierliche Sichtbarkeit wichtig ist und
• worauf Unternehmen bei der Einführung einer EASM-Lösung achten sollten.

Was bedeutet EASM?

External Attack Surface Management (EASM) bezeichnet den kontinuierlichen Prozess, internetseitig erreichbare digitale Assets eines Unternehmens zu identifizieren, zu überwachen und sicherheitsrelevante Risiken zu reduzieren.

Der entscheidende Perspektivwechsel lautet: EASM betrachtet die Organisation so, wie sie von außen sichtbar ist — aus der Sicht eines Angreifers, eines Sicherheitsforschers oder eines automatisierten Scanners.

Zu dieser externen Angriffsfläche können unter anderem gehören:

• Domains und Subdomains,
• öffentlich erreichbare IP-Adressen,
• Webanwendungen und APIs,
• Cloud-Ressourcen,
• Remote-Zugänge,
• Mail- und DNS-Infrastruktur,
• Server und Netzwerkdienste,
• TLS-Zertifikate,
• Entwicklungs- und Testumgebungen,
• von Drittanbietern betriebene digitale Dienste sowie
• veraltete oder vergessene Systeme.

Das britische National Cyber Security Centre (NCSC) beschreibt EASM als einen Teilbereich von Attack Surface Management, der sich auf über das Internet erreichbare Assets konzentriert. EASM-Produkte unterstützen dabei insbesondere die automatisierte Erkennung und laufende Überwachung dieser Assets. NCSC: External attack surface management (EASM) buyer's guide

EASM ist mehr als ein Scan

EASM besteht nicht nur aus einem technischen Scan und einer Liste von CVE-Nummern. Eine leistungsfähige EASM-Praxis verbindet mehrere Schritte:

1. Entdecken: Welche externen Assets gehören zu meinem Unternehmen?
2. Zuordnen: Welchem Unternehmen, Geschäftsbereich, Standort oder Dienstleister ist ein Asset zuzuordnen?
3. Verstehen: Welche Technologie, welcher Dienst und welche Abhängigkeit stehen dahinter?
4. Bewerten: Welche Risiken und Fehlkonfigurationen sind erkennbar?
5. Priorisieren: Welche Findings verdienen zuerst Aufmerksamkeit?
6. Nachverfolgen: Wurde das Risiko behoben und ist die Änderung von außen sichtbar?

Der Wert entsteht also nicht durch möglichst viele Treffer, sondern durch eine belastbare Verbindung von Sichtbarkeit, Kontext und Handlung.

Warum die externe Angriffsfläche schwer kontrollierbar ist

Die digitale Außenwelt eines Unternehmens ist selten an einem einzigen Ort dokumentiert. Informationen verteilen sich über CMDBs, Cloud-Konten, DNS-Verwaltung, Entwicklerteams, Dienstleister, Zertifikatsstellen und Projektunterlagen.

Selbst gut gepflegte interne Inventare können deshalb Lücken enthalten. Typische Ursachen sind:

1. Dynamische Cloud- und IT-Umgebungen

Cloud-Ressourcen lassen sich schnell bereitstellen und ebenso schnell wieder vergessen. Öffentliche Speicher, virtuelle Maschinen, Load Balancer oder Entwicklungsumgebungen können dabei unbeabsichtigt im Internet erreichbar bleiben.

2. Schatten-IT und dezentrale Entscheidungen

Fachbereiche beauftragen Tools und Plattformen häufig direkt. Dadurch können neue Webauftritte, Formulare, Portale oder SaaS-Dienste entstehen, die nicht vollständig in zentrale Sicherheitsprozesse eingebunden sind.

3. Test-, Entwicklungs- und Übergangssysteme

Umgebungen, die ursprünglich nur vorübergehend gedacht waren, bleiben manchmal online. Sie werden seltener aktualisiert, enthalten aber unter Umständen reale Daten, Zugangspunkte oder produktionsnahe Komponenten.

4. Veränderungen durch Wachstum und Übernahmen

Neue Marken, Tochtergesellschaften, Standorte und Akquisitionen vergrößern die digitale Außenfläche. Gleichzeitig ist oft unklar, welche Alt-Systeme weiter betrieben werden und wer für sie verantwortlich ist.

5. Abhängigkeiten von externen Partnern

Ein Unternehmen kann digitale Services selbst nutzen, aber von einem Dienstleister betreiben lassen. Damit wird die Sicherheitslage des Partners zu einem relevanten Teil der eigenen externen Sichtbarkeit und Lieferkette.

6. Technische Altlasten

Nicht mehr benötigte Subdomains, alte DNS-Einträge, abgelaufene Zertifikate oder verwaiste Cloud-Ressourcen sind Beispiele für Spuren, die nach einer organisatorischen oder technischen Änderung zurückbleiben können.

Der gemeinsame Nenner: Was intern als erledigt, unbekannt oder nebensächlich gilt, kann von außen weiterhin sichtbar sein.

Wie funktioniert EASM?

EASM-Lösungen beginnen typischerweise mit bekannten Ausgangspunkten — etwa Domains, IP-Adressbereichen, Marken, Tochtergesellschaften oder Organisationseinheiten. Von diesen Ausgangspunkten aus erweitern sie die Sicht auf die öffentlich zugängliche Umgebung.

Dafür können verschiedene Informationsquellen und technische Verfahren kombiniert werden, zum Beispiel:

• DNS- und Subdomain-Analysen,
• Informationen aus Zertifikatstransparenzdatenbanken,
• historische DNS-Daten,
• Zuordnung von IP-Adressen und Netzwerken,
• Erkennung erreichbarer Dienste und Ports,
• Identifikation eingesetzter Technologien,
• Analyse öffentlich erreichbarer Webanwendungen,
• Cloud- und weitere Datenquellen sowie
• Hinweise aus relevanter Threat Intelligence.

Anschließend werden die gefundenen Informationen zusammengeführt, validiert und mit den bekannten Assets abgeglichen. Das ist wichtig, weil eine reine Sammlung technischer Daten noch nicht automatisch beweist, dass ein Asset tatsächlich zum eigenen Unternehmen gehört.

Das NCSC empfiehlt bei der Auswahl einer EASM-Lösung unter anderem darauf zu achten, wie Assets entdeckt und validiert werden, ob Konfidenzwerte oder vergleichbare Qualitätsindikatoren vorhanden sind und ob nicht relevante Funde ausgeschlossen werden können. NCSC: How is the attack surface discovered?

Von der Entdeckung zur Sicherheitsbewertung

Nach der Asset-Erkennung untersucht EASM, welche Dienste und Technologien öffentlich erreichbar sind und ob daraus relevante Risiken entstehen. Dazu können unter anderem gehören:

• veraltete oder nicht mehr unterstützte Software,
• öffentlich erreichbare Dienste, die nicht öffentlich sein sollten,
• schwache DNS-Konfigurationen,
• Risiken durch verwaiste oder fehlgeleitete DNS-Einträge,
• abgelaufene oder falsch eingesetzte Zertifikate,
• fehlende oder unzureichende E-Mail-Sicherheitskontrollen,
• exponierte Administrationsoberflächen,
• unsichere Webserver-Konfigurationen,
• bekannte Schwachstellen sowie
• Hinweise auf kompromittierte oder missbrauchte Assets.

Wichtig ist die Unterscheidung zwischen einem Hinweis auf eine mögliche Betroffenheit und dem Nachweis einer tatsächlich ausnutzbaren Schwachstelle. Die Aussagekraft hängt unter anderem von der Qualität der Asset-Zuordnung, der Technologieerkennung, der Aktualität der Daten und der verwendeten Prüfmethode ab.

Warum kontinuierliches EASM wichtiger ist als eine Momentaufnahme

Eine einmalige Analyse kann einen hilfreichen Ausgangspunkt schaffen. Sie beantwortet jedoch nur, wie die externe Angriffsfläche zu einem bestimmten Zeitpunkt aussah.

In der Zwischenzeit können neue Systeme entstehen, Softwareversionen wechseln, Zertifikate auslaufen, DNS-Einträge verändert werden oder ein Dienstleister seine Infrastruktur umstellen. Die Sicherheitslage ist damit dynamisch.

Kontinuierliches EASM soll vor allem die Zeit verkürzen zwischen:

• dem Entstehen eines neuen externen Assets und seiner Entdeckung,
• der Veröffentlichung oder Erkennung eines Risikos und seiner Bewertung,
• der Meldung eines Findings und der Zuständigkeit im Unternehmen,
• der Umsetzung einer Maßnahme und ihrer technischen Validierung.

Das NCSC hebt die laufende Überwachung und automatisierte Asset-Erkennung als zentrale Vorteile von EASM-Produkten hervor. Gleichzeitig weist es darauf hin, dass Aktualisierungsintervalle je nach Lösung und Prüfart unterschiedlich sein können. Unternehmen sollten deshalb genau prüfen, wie aktuell die jeweils benötigten Daten sind. NCSC: Benefits of using EASM products

EASM bedeutet daher nicht unbedingt, dass jedes Asset zu jedem Zeitpunkt vollständig und identisch geprüft wird. Entscheidend ist, dass neue oder veränderte externe Risiken verlässlich erkannt, eingeordnet und in einen wirksamen Prozess überführt werden.

EASM, Vulnerability Management, CAASM und Penetrationstests: Wo liegt der Unterschied?

Die Begriffe rund um digitale Assets und Schwachstellen werden häufig vermischt. Eine klare Abgrenzung hilft, Erwartungen an EASM realistisch zu halten.

EASM und klassisches Asset Management

Klassisches Asset Management dokumentiert, welche Systeme und Komponenten ein Unternehmen besitzt oder betreibt. EASM ergänzt diese Sicht um die Frage:

Was ist von außen tatsächlich sichtbar und erreichbar — auch wenn es nicht in unseren internen Listen steht?

EASM kann dadurch unbekannte, vergessene oder falsch zugeordnete Assets sichtbar machen. Es ersetzt jedoch nicht automatisch eine vollständige interne Inventarisierung.

EASM und Vulnerability Management

Vulnerability Management konzentriert sich auf die Identifikation, Bewertung und Behebung von Schwachstellen in bekannten Systemen. EASM hilft zunächst dabei, die relevante externe Umgebung zu entdecken und zu verstehen.

Vereinfacht gesagt:

• EASM fragt: Welche externen Assets und Angriffswege existieren?
• Vulnerability Management fragt: Welche Schwachstellen bestehen in den bekannten Systemen und wie beheben wir sie?

Beide Disziplinen ergänzen sich. Ohne ausreichende Asset-Sicht besteht das Risiko, dass Schwachstellen in unbekannten oder nicht verwalteten Systemen unentdeckt bleiben.

EASM und CAASM

CAASM steht für Cyber Asset Attack Surface Management. Der Schwerpunkt liegt häufig auf der Zusammenführung und Normalisierung von Informationen aus internen Systemen, beispielsweise aus Endpoint-, Cloud-, Identitäts- oder Asset-Management-Quellen.

EASM nimmt dagegen die externe Perspektive ein und untersucht, was über das Internet sichtbar ist. Je nach Plattform können beide Perspektiven miteinander verbunden werden.

EASM und Penetrationstests

Ein Penetrationstest ist eine zeitlich begrenzte, methodisch geplante Sicherheitsprüfung, bei der autorisierte Experten versuchen, Schwachstellen unter definierten Bedingungen auszunutzen.

EASM ist typischerweise kontinuierlicher und breiter angelegt. Es soll die externe Angriffsfläche laufend beobachten und Veränderungen sichtbar machen. Ein EASM-System ersetzt deshalb keinen Penetrationstest — und ein Penetrationstest ersetzt kein kontinuierliches Asset Monitoring.

Was bringt EASM konkret?

Richtig eingesetzt, unterstützt EASM mehrere Ziele gleichzeitig.

Mehr Transparenz

Security-Teams erhalten ein aktuelleres Bild der öffentlich sichtbaren Systeme, Dienste und Technologien. Das schafft eine bessere Grundlage für Sicherheitsentscheidungen.

Weniger blinde Flecken

Unbekannte oder vergessene Assets können entdeckt und anschließend einem Verantwortlichen zugeordnet werden. Das ist besonders relevant in komplexen, gewachsenen und dezentralen IT-Umgebungen.

Schnellere Priorisierung

Nicht jedes Finding ist gleich kritisch. EASM kann technische Erkenntnisse mit Kontext wie Erreichbarkeit, Exploitierbarkeit, Asset-Bedeutung oder Threat-Intelligence-Hinweisen anreichern.

Bei der Priorisierung sollten Unternehmen nicht allein auf einen generischen Schweregrad vertrauen. Sinnvoll ist eine Kombination aus mindestens drei Fragen:

1. Wie wahrscheinlich ist eine Ausnutzung?
2. Welche Auswirkungen hätte ein erfolgreicher Angriff?
3. Wie exponiert und geschäftskritisch ist das betroffene Asset?

Für bekannte, aktiv ausgenutzte Schwachstellen kann beispielsweise der CISA Known Exploited Vulnerabilities Catalog als zusätzliche Informationsquelle dienen. Er sollte jedoch immer gemeinsam mit der eigenen Asset-Kritikalität und dem konkreten Kontext bewertet werden.

Bessere Zusammenarbeit

Technische Findings sind nur dann wirksam, wenn sie die zuständigen Personen erreichen. Klare Asset-Zuordnung, Statusinformationen, Kommentare, Exporte oder Integrationen in bestehende Workflows helfen dabei, Erkenntnisse in Maßnahmen zu überführen.

Messbarer Sicherheitsfortschritt

Eine kontinuierliche Sicht ermöglicht es, Entwicklungen über die Zeit zu beobachten, zum Beispiel:

• Anzahl neu entdeckter externer Assets,
• Anzahl unbekannter oder nicht zugeordneter Assets,
• offene kritische Risiken,
• Zeit bis zur Zuordnung eines Findings,
• Zeit bis zur Behebung,
• wiederkehrende Fehlkonfigurationen und
• Anzahl verifizierter Behebungen.

Damit wird EASM von einer technischen Bestandsaufnahme zu einem steuerbaren Bestandteil des Risikomanagements.

Wie starten Unternehmen mit EASM?

Eine EASM-Einführung muss nicht mit einem maximalen Scope beginnen. Ein klar abgegrenzter Start erhöht die Chance, dass Erkenntnisse tatsächlich bearbeitet werden.

Schritt 1: Ziel und Verantwortliche festlegen

Definieren Sie zunächst, welches Problem gelöst werden soll. Geht es um unbekannte Web-Assets, Cloud-Exposure, M&A, externe Dienstleister oder eine allgemein bessere Übersicht?

Legen Sie außerdem fest, wer für die Bewertung und Bearbeitung der Ergebnisse verantwortlich ist. Ein neu entdecktes Asset ohne Owner bleibt auch mit einem guten Tool ein ungelöstes Problem.

Schritt 2: Den Ausgangsbestand definieren

Sammeln Sie bekannte Domains, Marken, IP-Bereiche, Tochtergesellschaften, Cloud-Umgebungen und relevante Dienstleister. Diese Informationen dienen als Startpunkt und helfen bei der späteren Qualitätskontrolle.

Schritt 3: Entdeckungen validieren

Prüfen Sie, ob gefundene Assets tatsächlich zur Organisation gehören. Gute EASM-Prozesse unterscheiden zwischen bestätigten, wahrscheinlichen und nicht relevanten Zuordnungen.

Schritt 4: Kritikalität und Prioritäten festlegen

Definieren Sie, welche Assets besonders schützenswert oder geschäftskritisch sind. Ein öffentlich erreichbarer Dienst ist nicht automatisch gleich riskant — aber ein öffentlich erreichbarer Dienst mit hoher Geschäftsrelevanz verdient besondere Aufmerksamkeit.

Schritt 5: Findings in bestehende Prozesse integrieren

EASM sollte nicht als isolierte Sicherheitsinsel betrieben werden. Verknüpfen Sie Ergebnisse mit Vulnerability Management, Incident Response, Cloud Security, Change Management und — sofern relevant — Third-Party-Risk-Management.

Schritt 6: Ergebnisse regelmäßig überprüfen

Bewerten Sie nicht nur neue Findings, sondern auch die Qualität des Prozesses: Werden Assets richtig zugeordnet? Werden Maßnahmen fristgerecht bearbeitet? Werden behobene Risiken tatsächlich erneut geprüft?

Der NIST Cybersecurity Framework 2.0 bietet hierfür einen übergeordneten Rahmen, um Cybersicherheitsrisiken zu verstehen, zu bewerten und zu verbessern. EASM kann insbesondere zur Sichtbarkeit und Bewertung der externen digitalen Umgebung beitragen, ist aber kein eigenständiger Ersatz für ein vollständiges Cybersecurity-Programm. NIST Cybersecurity Framework 2.0

Worauf sollte man bei einer EASM-Plattform achten?

Bei der Auswahl einer Lösung sollten Unternehmen nicht nur auf die Anzahl möglicher Checks achten. Wichtiger ist, ob die Plattform die eigenen Sicherheitsziele und Arbeitsabläufe unterstützt.

Abdeckung und Discovery-Qualität

• Welche externen Asset-Typen werden erkannt?
• Wie werden unbekannte Assets entdeckt?
• Wie werden Domains, IPs, Cloud-Ressourcen und Drittanbieterbezüge zugeordnet?
• Wie werden Fehlzuordnungen und False Positives behandelt?

Aktualität

• Wie häufig werden Assets und Findings aktualisiert?
• Sind unterschiedliche Prüfintervalle möglich?
• Gibt es On-Demand-Prüfungen?
• Wie schnell werden neue relevante Risiken berücksichtigt?

Kontext und Priorisierung

• Werden Kritikalität, Erreichbarkeit und Exploitierbarkeit berücksichtigt?
• Sind Quellen und Belege eines Findings nachvollziehbar?
• Können unternehmensspezifische Prioritäten abgebildet werden?
• Lassen sich akzeptierte Risiken und Ausnahmen sauber dokumentieren?

Workflow und Zusammenarbeit

• Können Findings Verantwortlichen zugewiesen werden?
• Gibt es Status, Kommentare, Fristen und Historien?
• Sind Exporte oder Integrationen in Ticketing- und SIEM-Systeme möglich?
• Lassen sich Management-Übersichten und operative Detailansichten unterscheiden?

Sichere und verantwortungsvolle Prüfung

EASM-Prüfungen sollten kontrolliert und transparent erfolgen. Das betrifft insbesondere aktive Prüfungen oder Funktionen zur technischen Validierung von Schwachstellen. Vor der Nutzung sollten Unternehmen klären, welche Systeme geprüft werden dürfen, wie Scan-Traffic erkennbar ist und wie sich mögliche Auswirkungen auf produktive Dienste begrenzen lassen.

ATLAS: Von der Sichtbarkeit zur handlungsfähigen Übersicht

Eine praxisnahe Übersicht, wie externe Assets, Risiken und Zuständigkeiten zusammengeführt werden können, bietet die Qseidon-ATLAS-Plattform unter www.qseidon.com/atlas.

EASM liefert seinen größten Nutzen nicht durch eine möglichst lange Liste technischer Beobachtungen, sondern durch eine verständliche Übersicht darüber, was sichtbar ist, warum es relevant ist und wer handeln sollte.

Genau hier setzt ATLAS als Plattform an: Die externe digitale Umgebung soll nicht in isolierten Listen, Tabellen und Einzelberichten verborgen bleiben. Stattdessen können Assets, Risiken und Zusammenhänge in einer gemeinsamen Arbeitsgrundlage betrachtet werden.

Für Security-Teams bedeutet das einen praktischeren Ablauf:

1. externe Assets sichtbar machen,
2. relevante Risiken und Veränderungen erkennen,
3. technische Informationen mit organisatorischem Kontext verbinden,
4. Maßnahmen priorisieren,
5. Verantwortlichkeiten und Status nachverfolgen und
6. den Sicherheitsfortschritt über die Zeit nachvollziehen.

ATLAS ersetzt dabei weder fachliche Bewertung noch die Verantwortlichen in IT und Security. Die Plattform schafft vielmehr die Grundlage, damit diese Entscheidungen auf einem möglichst aktuellen und konsistenten Bild der externen Angriffsfläche beruhen.

Fazit: EASM schafft den Überblick, den moderne Sicherheitsarbeit braucht

Die externe Angriffsfläche eines Unternehmens ist dynamisch, verteilt und nicht immer vollständig dokumentiert. Neue Cloud-Ressourcen, Subdomains, APIs, Dienstleister und technische Altlasten können die Sichtbarkeit und damit auch das Risiko laufend verändern.

EASM hilft, diese Außenperspektive systematisch einzunehmen. Es entdeckt internetseitig erreichbare Assets, unterstützt bei ihrer Zuordnung, macht Risiken sichtbar und liefert eine Grundlage für Priorisierung und Nachverfolgung.

Dabei gilt: Entdeckung allein reduziert noch kein Risiko. Erst wenn Findings verstanden, Verantwortlichen zugeordnet und wirksam behoben werden, entsteht ein nachhaltiger Sicherheitsgewinn.

Unternehmen, die EASM erfolgreich einsetzen möchten, sollten deshalb drei Dinge verbinden:

• eine möglichst vollständige und aktuelle Sicht auf die externe Angriffsfläche,
• eine risikobasierte Bewertung mit unternehmensspezifischem Kontext und
• einen klaren Prozess von der Erkenntnis bis zur verifizierten Maßnahme.

So wird EASM vom technischen Überblick zu einem festen Bestandteil moderner Cybersecurity.

Häufige Fragen zu EASM

Was ist EASM einfach erklärt?

EASM steht für External Attack Surface Management. EASM zeigt, welche digitalen Systeme und Dienste eines Unternehmens von außen über das Internet sichtbar oder erreichbar sind, welche Risiken damit verbunden sein können und wo Sicherheitsmaßnahmen erforderlich sind.

Was gehört zur externen Angriffsfläche?

Dazu gehören beispielsweise Domains, Subdomains, IP-Adressen, Webanwendungen, APIs, Cloud-Ressourcen, Remote-Zugänge, DNS-Einträge, Zertifikate, E-Mail-Infrastruktur und externe digitale Dienste von Partnern.

Warum reicht eine interne Asset-Liste nicht aus?

Interne Listen beschreiben, was ein Unternehmen kennt oder offiziell verwaltet. EASM ergänzt diese Sicht um die Frage, was tatsächlich öffentlich sichtbar ist. Dadurch können auch unbekannte, vergessene oder falsch zugeordnete Assets erkannt werden.

Ersetzt EASM einen Penetrationstest?

Nein. EASM ist auf kontinuierliche externe Sichtbarkeit und laufende Risikoerkennung ausgerichtet. Ein Penetrationstest ist eine zeitlich begrenzte, autorisierte Sicherheitsprüfung mit einer anderen Zielsetzung. Beide Ansätze ergänzen sich.

Ist EASM nur für große Unternehmen relevant?

Nein. Auch kleinere Unternehmen können von unbekannten Subdomains, veralteten Webanwendungen, Fehlkonfigurationen oder externen Dienstleistern betroffen sein. Umfang, Prioritäten und Lösung sollten zur Größe und Komplexität der Organisation passen.

Wie häufig sollte die externe Angriffsfläche überprüft werden?

Das hängt von der Dynamik und Kritikalität der Umgebung ab. Bei häufigen Änderungen, vielen Cloud-Ressourcen oder geschäftskritischen Internetdiensten ist eine kontinuierliche Überwachung sinnvoll. Unternehmen sollten die Aktualisierungsintervalle je Asset- und Prüftyp konkret bewerten.