Wissen · Tool-Anleitungen
Subdomains finden: versteckte Server über Certificate Transparency aufspüren
Fast jede Organisation betreibt mehr Server im Netz, als auf ihrer Website verlinkt sind: ein Test-System, ein VPN-Zugang, ein internes Werkzeug, eine alte Kampagnenseite. Diese Adressen stehen in keinem Menü und in keiner Sitemap – erreichbar sind sie trotzdem. Wer Subdomains finden will, ohne die Zielserver anzutasten, hat mit Certificate Transparency eine überraschend ergiebige, rein öffentliche Quelle. Genau darauf baut das Werkzeug «Zertifikate & Subdomains» auf.
Was Certificate Transparency verrät
Seit 2018 verlangen die grossen Browser, dass jedes öffentlich vertrauenswürdige TLS-Zertifikat in sogenannte CT-Logs eingetragen wird – öffentliche, nur anfügbare Verzeichnisse, die von unabhängigen Stellen geführt werden. Gedacht ist das, um falsch ausgestellte Zertifikate aufzudecken. Als Nebeneffekt entsteht ein durchsuchbares Protokoll nahezu aller jemals ausgestellten Zertifikate.
Jedes Zertifikat trägt die Namen, für die es gilt: im Feld «Common Name» und in den «Subject Alternative Names». Stellt eine Firma ein Zertifikat für staging.beispiel-ag.ch aus, steht dieser Name ab sofort dauerhaft in einem öffentlichen Log – ganz gleich, ob die Seite je verlinkt oder von Google indexiert wurde. Das Werkzeug fragt diese Logs ab und listet die gefundenen Namen zu einer Domain auf. Der Vorgang ist passiv: Er liest nur aus einem Archiv und schickt keine einzige Anfrage an die Server der Zielorganisation.
Ein Beispiel: Was in den Logs auftaucht
Eine Abfrage für die fiktive Domain beispiel-ag.ch könnte so aussehen:
Interessant sind hier vor allem vpn. und intern.: Namen, die man auf der Website nie zu sehen bekommt, die aber über das Zertifikat verraten wurden. Genau solche vergessenen oder nicht beworbenen Zugänge sind es, die bei einer Sicherheitsprüfung zuerst kontrolliert werden.
Warum das nützlich ist – und wo die Grenze liegt
Für Verantwortliche ist die Liste eine ehrliche Bestandsaufnahme: Welche meiner Server sind öffentlich sichtbar, und läuft auf jedem noch etwas Aktuelles? Für die Recherche liefert sie einen Startpunkt, um die Angriffsfläche einer Organisation zu verstehen – ohne einen einzigen Verbindungsversuch zum Ziel. Wer das Ganze im Auftrag durchführen lassen möchte, kann den KI-Agenten damit beauftragen.
Zwei Dinge kann das Verfahren aber nicht:
- Es sieht nicht alles. Wildcard-Zertifikate (*.beispiel-ag.ch) decken die konkreten Namen ab. Server mit einem firmeneigenen (privaten) Zertifikat oder ganz ohne TLS erscheinen gar nicht in den Logs. Ein leeres oder kurzes Ergebnis bedeutet also nicht, dass es keine weiteren Subdomains gibt.
- Ein Treffer ist kein Beweis für einen laufenden Server. CT-Logs sind ein Archiv: Ein Name bleibt dort für immer stehen, auch wenn der Server längst abgeschaltet wurde. Ein Zertifikat belegt nur, dass es einmal ausgestellt wurde – nicht, dass die Adresse heute erreichbar ist oder wirklich der Organisation gehört.
So gehen Sie vor
- Domain ohne www ins Werkzeug «Zertifikate & Subdomains» eingeben (z. B. beispiel-ag.ch).
- Trefferliste sichten und auffällige Namen markieren: vpn., staging., test., intern., admin., old.
- Gültigkeitsdaten beachten – abgelaufene Zertifikate deuten eher auf alte oder stillgelegte Systeme hin.
- Erst danach separat prüfen, ob ein Name heute überhaupt auflöst und erreichbar ist – der CT-Fund allein sagt das nicht.
- Taucht eine gefundene Adresse in einer verdächtigen Nachricht auf, zusätzlich den Betrugswarner nutzen und weitere Anleitungen unter Wissen durchgehen.