--- title: "Cloud Security Beratung und technische Absicherung | SKAFFON" description: "Cloud Security Assessment und Hardening für AWS, Azure und STACKIT: IAM, Netz, Verschlüsselung, Logging und Fehlkonfigurationen, mit Prüfkatalog und Einstufung." url: https://skaffon.de/cybersecurity/cloud-security/ --- ![Person mit Mütze sitzt im abgedunkelten, blau beleuchteten Raum an einer Tastatur](/_astro/muetze-raum-tastatur.CU-Eduag_9E0Lv.jpg) 1. [Startseite](/) 2. [Cybersecurity](/cybersecurity/) 3. Cloud Security Beratung und technische Absicherung Cloud Security für AWS, Azure und STACKIT # Cloud Security Beratung und technische Absicherung Über Jahre gewachsene Konten, Rollen und Schlüssel, Ressourcen ohne gemeinsame Vorgaben: Wir prüfen Ihre Cloud-Umgebung technisch auf Schwachstellen in Identitäten, Netzen, Verschlüsselung, Protokollierung und Konfiguration und härten sie gemeinsam mit Ihrem Team. Sie erhalten eine priorisierte Liste konkreter Befunde und einen Maßnahmenplan. [Projekt anfragen](/projekt-anfragen/) [Musterbericht ansehen (PDF)](/downloads/beispielbericht-cloud-security/SKAFFON-Beispielbericht-Cloud-Security.pdf) - Analyse lesend, ohne Zugriff auf Produktivdaten - Befunde mit Konfigurationsauszügen belegt - Härtung als Infrastructure as Code Autor: [Ibrahim Yesilay](/unternehmen/ibrahim-yesilay/), Gründer und Geschäftsführer Stand: 13.11.2026 Wann Sie uns brauchen ## Vier Lagen, in denen niemand den Stand der Cloud-Konfiguration kennt Typisch für IT-Leitung und CTO: Die Cloud läuft, aber ob sie sicher konfiguriert ist, kann gerade niemand belegen. Vier Ausgangslagen, in denen wir meist angefragt werden. - ### Konten und Schlüssel sind über Jahre gewachsen Rollen, Konten und Zugriffsschlüssel häufen sich an, und niemand kennt den vollständigen Stand. - ### Mehrere Teams, keine gemeinsamen Vorgaben Ressourcen wurden von verschiedenen Teams angelegt, ohne dass ein einheitlicher Rahmen galt. - ### Migration abgeschlossen, Sicherheit nur funktional übernommen Die Cloud-Migration ist fertig, die Sicherheitskonfiguration wurde aber nur funktional übernommen. - ### Ein Dritter verlangt belegbare Maßnahmen Ein Kunde, eine Versicherung oder eine gesetzliche Pflicht (zum Beispiel [NIS2](/cybersecurity/nis2-beratung/)) verlangt Nachweise. Vorgehen ## Von der Frage, was kritisch ist, bis zur Nachprüfung der Behebung Die Arbeit folgt sechs Bausteinen. Der erste legt fest, welche Befunde für Sie schwer wiegen, der letzte prüft, ob die Behebung hält. ## Was in jedem der sechs Bausteine passiert 1. 01 ### Bedrohungsmodell 1 Welche Daten und Dienste sind kritisch, wer greift darauf zu, über welche Wege? Daraus folgt, welche Befunde für Sie schwer wiegen. 2. 02 ### IAM-Prüfung 2 Rollen, Richtlinien, Dienstkonten, langlebige Zugangsschlüssel, Administratorzugänge, MFA und die Verwaltung über die jeweilige Plattform (AWS IAM, Azure-Rollenmodell, Rollenmodell von STACKIT). 3. 03 ### Fehlkonfigurationen finden 3 Öffentlich erreichbare Speicher oder Datenbanken, offene Verwaltungsports, überbreite Freigaben, fehlende Verschlüsselung. Wo sinnvoll, mit Cloud-Security-Posture-Management-Werkzeugen (CSPM) und dem passenden Regelwerk, zum Beispiel den CIS-Benchmarks der Plattform. 4. 04 ### Härtung 4 Konkrete Konfigurationsänderungen, als Infrastructure as Code, damit sie reproduzierbar bleiben. 5. 05 ### Segmentierung 5 Trennung von Umgebungen, Netzregeln nach Default-Deny, kontrollierter ausgehender Verkehr, private Anbindung von Diensten. 6. 06 ### Behebung und Nachprüfung 6 Priorisierter Plan, Umsetzung nach Absprache (Remediation), anschließend Nachprüfung. Prüfumfang ## Sechs Prüfbereiche, die wir in jeder Cloud-Umgebung abklopfen Der Katalog ist unser Standard-Prüfumfang. Er wird auf Ihre Plattform und Ihr Bedrohungsmodell angepasst. __Prüfkatalog Cloud Security nach Bereichen__ | Bereich | Prüfpunkte | | ----------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | IAM | Keine Alltagsarbeit mit Root- oder Global-Admin-Konten; MFA für alle menschlichen Administratoren; keine langlebigen Schlüssel, wo kurzlebige Anmeldungen möglich sind; Rollen nach Least Privilege; ungenutzte Konten und Rechte; Dienstkonten mit begrenztem Umfang; Break-Glass-Zugang dokumentiert und überwacht | | Netz | Keine Verwaltungsports aus dem offenen Internet; Segmentierung nach Umgebung und Schutzbedarf; Default-Deny-Regeln; Kontrolle des ausgehenden Verkehrs; private Endpunkte für Datendienste | | Verschlüsselung und KMS | Ruhende Daten verschlüsselt; TLS für Übertragung; Schlüsselverwaltung über KMS mit getrennten Zuständigkeiten; Rotation; Zugriff auf Schlüssel protokolliert | | Logging | Audit-Logs der Plattform aktiviert, zentral gesammelt, manipulationsgeschützt aufbewahrt; Alarmierung für kritische Ereignisse (Rollenänderung, Anmeldung ohne MFA, Löschung von Logs) | | Fehlkonfiguration | Öffentliche Speicher, Snapshots oder Datenbanken; Standardzugangsdaten; ungepatchte Basis-Images; unverschlüsselte Backups | | Backup | Kopie in getrennter Umgebung, Zugriffstrennung, Restore getestet | ## Härtung als Code: Änderungen, die nachvollziehbar und wiederholbar bleiben Was wir als Schwachstelle finden, beheben wir nicht per Klickpfad in der Konsole. Konfigurationsänderungen entstehen als Infrastructure as Code und gehen durch Review, damit sie reproduzierbar bleiben und Ihr Betrieb sie übernehmen kann. - Jede Änderung geht durch Review, bevor sie ausgerollt wird - Der Stand lässt sich jederzeit aus dem Code nachvollziehen - Ihr Betrieb kann die Konfiguration ohne Konsolenwissen weiterpflegen ![Aufgeklappter Laptop mit der Aufschrift Cyber Security auf dem Bildschirm in einem Großraumbüro](/_astro/aufgeklappter-laptop-aufschrift-cyber.Gr4wLU3i_1hKIcR.jpg) Einstufung ## Vier Stufen, die Ihnen die Reihenfolge der Behebung vorgeben Unser Schema ist eine praktische Einordnung, kein CVSS-Ersatz. 1. 01 ### Behebung sofort Kritisch Aus dem Internet ohne Besonderheiten ausnutzbar oder erlaubt vollständige Kontoübernahme. 2. 02 ### Behebung kurzfristig Hoch Ausnutzbar mit niedrigem Aufwand oder durch einen kompromittierten internen Zugang mit großem Schadensradius. 3. 03 ### Behebung im regulären Maßnahmenplan Mittel Erfordert zusätzliche Bedingungen oder hat begrenzte Auswirkung. 4. 04 ### Behebung bei Gelegenheit Niedrig Abweichung von Best Practice ohne direkten Angriffsweg. ## Drei Faktoren entscheiden über die Stufe Maßgeblich sind Erreichbarkeit (extern oder intern), Schadensradius (ein System oder ganzes Konto) und vorhandene Gegenmaßnahmen. Wie ein Ergebnisbericht aufgebaut ist, zeigt unser Musterbericht. Er beschreibt eine fiktive Umgebung und ist kein Kundenprojekt. [Musterbericht Cloud Security (PDF)](/downloads/beispielbericht-cloud-security/SKAFFON-Beispielbericht-Cloud-Security.pdf) Ergebnisse ## Was Sie am Ende in der Hand haben - Befundbericht mit Einstufung und Belegen (Konfigurationsauszüge) - Maßnahmenplan mit Abhängigkeiten und Aufwandseinschätzung - Gehärtete Konfiguration als IaC-Änderungen (bei beauftragter Umsetzung) - Übergabe-Dokumentation für Ihren Betrieb Zusammenarbeit ## Lesender Zugriff, befristete Zugänge, keine Dateninhalte Die Analyse arbeitet standardmäßig lesend. Änderungen gehen nur über abgestimmte Änderungsprozesse und IaC-Reviews. - ### Lesender Zugriff nach Least Privilege Auf Konten, Subscriptions oder Projekte, mit Ihrer Freigabe und ohne Zugriff auf Produktivdaten. - ### Befristete Zugänge Zugangsdaten werden nicht in Repositories abgelegt, wir arbeiten mit befristeten Zugängen. - ### Konfigurationen und Metadaten, nicht Ihre Daten Wir greifen nicht auf Inhalte Ihrer Daten zu, sondern auf Konfigurationen und Metadaten. - ### Was wir von Ihnen brauchen Architekturunterlagen und Ansprechpartner je Plattform, Klärung Ihres Schutzbedarfs und gesetzlicher Vorgaben sowie einen Freigabe-Prozess für Änderungen an produktiven Umgebungen. ## Konfigurationsprüfung statt Angriffssimulation: Was diese Leistung ist und was nicht ### Das liefern wir - Technische Prüfung und Härtung der Cloud-Konfiguration mit belegten Befunden. - Bewertung der Befunde und Umsetzung der Behebung gemeinsam mit Ihrem Team. ### Das ist etwas anderes - Ein Penetrationstest mit Ausnutzung von Schwachstellen oder eine Red-Team-Übung ist eine eigene Disziplin. - Ein Zertifikat oder Gutachten für Dritte gehört nicht zum Umfang. - Ein Dauerbetrieb mit laufender Selbstbehebung durch Werkzeuge ist nicht gemeint: Werkzeuge liefern Befunde, Bewertung und Behebung bleiben technische Arbeit. Anfrage ## Welche Plattformen, welcher Umfang, welcher Anlass? Nennen Sie uns AWS, Azure oder STACKIT, die ungefähre Zahl der Konten oder Subscriptions und den Anlass der Prüfung. Weitere Sicherheitsbereiche finden Sie unter [Cybersecurity](/cybersecurity/), zur Weiterentwicklung der Plattform siehe [Cloud-Beratung](/leistungen/cloud-beratung/). [Projekt anfragen](/projekt-anfragen/) [Alle Sicherheitsbereiche](/cybersecurity/)