Cloud Pentest

Für die üblichen Tests innerhalb Ihrer eigenen Umgebung ist heute keine gesonderte Genehmigung mehr nötig – die großen Anbieter erlauben das ausdrücklich, solange sich der Test auf Ihre eigenen Ressourcen beschränkt. Für einzelne Verfahren wie Lasttests gelten Sonderregeln. Wir prüfen das vor Testbeginn für Ihre konkrete Umgebung und dokumentieren es.

Gerade dann. Bei verwalteten Diensten kümmert sich der Anbieter um Betriebssystem und Patches – die Konfiguration bleibt aber vollständig bei Ihnen, und dort liegen die typischen Vorfälle: offene Datenspeicher, zu weit gefasste Rollen, fehlende Verschlüsselung, deaktivierte Protokollierung. Weniger Server bedeutet nicht weniger Angriffsfläche, sondern eine andere.

Deutlich weniger als bei einem klassischen Pentest. Wir brauchen einen lesenden Zugang mit Auditrechten, einen Ansprechpartner für Rückfragen und die Freigabe. Der Aufwand auf Ihrer Seite liegt erfahrungsgemäß bei wenigen Stunden – der Großteil davon in der Vorbereitung und in der Ergebnisbesprechung.

Nein, es beantwortet eine andere Frage. Ein CSPM-Werkzeug meldet Abweichungen von Regeln – dauerhaft und breit. Wir prüfen, welche dieser Abweichungen in Ihrer konkreten Umgebung tatsächlich zu einem Angriffspfad führen, und finden zusätzlich die Ketten, die aus mehreren für sich harmlosen Einstellungen entstehen. Beides zusammen ergibt ein realistisches Bild.

Cloud-Umgebungen ändern sich schneller als klassische Infrastruktur, deshalb ist eine jährliche Prüfung ein sinnvoller Rhythmus – zusätzlich anlassbezogen, wenn Sie eine neue Plattform einführen, das Rechtemodell umbauen oder größere Workloads migrieren. Für die Zeit dazwischen ist kontinuierliches Monitoring der passendere Ansatz.