Kurz gesagt

Ein Scanner ist ein Programm, das Adressen automatisiert abklopft, um verwertbare Schwachstellen zu finden. Er liest deine Inhalte nicht und interessiert sich nicht für dein Geschäft. Er probiert Pfade durch, an denen erfahrungsgemäss etwas Brauchbares liegt.

Anders als ein Crawler nennt er sich nicht. Er tarnt sich als Browser oder trägt gar keine erkennbare Kennung.

Was wir messen

Über elf eigene und betreute Hosts, 11. August bis 10. September 2026, 751’386 Zugriffe insgesamt.

Scanner sind mit 263’067 Zugriffen die grösste einzelne Klasse, 35 Prozent des gesamten Verkehrs. Mehr als Menschen, mehr als KI-Crawler und Suchbots zusammen.

Interessanter als der Durchschnitt ist die Spreizung. Je kleiner und ruhiger eine Seite, desto stärker überwiegen sie:

Art der Seite Scanner Menschen Verhältnis
Lokaler IT-Service 46’593 1’851 25 zu 1
Persönliche Seite einer Selbständigen 29’359 1’464 20 zu 1
Online-Lebenslauf 17’460 1’568 11 zu 1
Unsere eigene Firmenseite 80’929 24’526 3 zu 1

Auf einer persönlichen Seite mit ein paar Dutzend Besuchern am Tag kommen also zwanzig automatisierte Zugriffe auf jeden menschlichen. Das ist kein Angriff, das ist der Grundpegel des Internets.

Was sie anfragen

Gemessen an den WAF-Logs von scmc.ch, 30 Tage bis zum 11. September 2026. Die Seite ist eine serverlose Anwendung und läuft nirgends auf WordPress.

Was gesucht wird Anfragen
WordPress-Pfade, vor allem /wp-admin/install.php und /wp-admin/index.php rund 1’900
Umgebungsdateien in fünf Schreibweisen, .env, .env.local, .env.backup, .env.old, .env.production 426
Git-Metadaten, /.git/config und /.git/HEAD 237

Der WordPress-Teil ist der lehrreiche. Allein /wp-admin/install.php wurde 776 Mal abgefragt, auf einer Seite, die kein WordPress hat und nie hatte. Scanner prüfen nicht erst, ob sich der Versuch lohnt. Probieren ist billiger als nachsehen.

Die Umgebungsdateien sind der teure Teil. Wer eine .env ausliefert, liefert in der Regel Zugangsdaten aus.

Der häufigste Denkfehler

“Uns kennt niemand, uns sucht niemand.”

Dich sucht auch niemand. Gefunden wirst du trotzdem, weil niemand gezielt sucht. Die Adressbereiche werden flächendeckend durchprobiert, und eine kleine Seite ist dabei kein kleineres Ziel, sondern nur eine Adresse unter vielen. In unseren Zahlen trifft es die kleinsten Seiten am härtesten, weil dort der menschliche Verkehr fehlt, der das Verhältnis verschiebt.

Abgrenzung

KI-Crawler rufen Inhalte ab, damit ein Modell daraus antworten kann, und nennen sich dabei, siehe KI-Crawler.

Fälschung. Ein Scanner, der die Kennung eines KI-Crawlers trägt, um durchgelassen zu werden. Bei scmc.ch waren 95 Prozent der Anfragen mit Crawler-Kennung solche Fälschungen, siehe Verifizierter Crawl.

Angriff. Ein Scanner-Treffer ist noch kein Vorfall. Er wird erst einer, wenn etwas antwortet, das nicht antworten sollte.

So prüfst du es selbst

Such in deinen Zugriffslogs nach /wp-admin, /.env und /.git/config. Wenn dort Zahlen im dreistelligen Bereich stehen und deine Seite diese Pfade gar nicht kennt, siehst du den Grundpegel. Danach ist die Frage nicht mehr, ob geklopft wird, sondern was passiert, wenn eine Tür aufgeht.

Quellen

  • Eigene Messung über elf Hosts, Munot-Tageswürfel, 11. August bis 10. September 2026
  • Eigene Messung, WAF-Logs von scmc.ch, 30 Tage bis 11. September 2026, CloudWatch Logs Insights