Welche Cloud-Anbieter prüfen Sie?

AWS, Azure und Google Cloud sowie die umgebende Identity-, Netzwerk-, Datenspeicher-, Secrets- und Logging-Konfiguration. Wir arbeiten mit schreibgeschützten, auf den Scope beschränkten Zugangsdaten, die Sie bereitstellen.

Benötigen Sie Admin-Zugriff auf die Produktion?

Nein. Die Prüfung erfolgt schreibgeschützt mit Least-Privilege-Zugangsdaten, kombiniert mit Architektur-Walkthroughs mit Ihrem Team. Wir fordern keinen Admin-Zugriff auf die Produktion an.

Ist das dasselbe wie ein Penetration Test?

Nein, ein Cloud Security Review untersucht Konfiguration und Architektur auf riskante Standardeinstellungen und Exposition, anstatt eine laufende Anwendung aktiv auszunutzen. Beide ergänzen sich.

Assessments

Cloud-Security-Review

Read-only-Review mit von Ihnen bereitgestellten, eng gefassten Credentials, kombiniert mit Architektur-Walkthroughs mit Ihrem Team. Produktions-Admin-Zugriff brauchen wir nicht und fragen wir nicht an.

← Assessments

Umfang

Identity & Access Management: Rollen, Policies, Schlüssel- und Credential-Hygiene
Netzwerk-Exposition: öffentliche Endpunkte, Security Groups, Ingress-Pfade
Datenspeicher: Verschlüsselung, Zugriffsrichtlinien, Backup-Exposition
Secrets-Management und Konfigurationsdrift
Logging-, Monitoring- und Alerting-Abdeckung

Methode

Ergebnis

Eine priorisierte Befundliste, in der jeder Punkt die betroffene Ressource, das Risiko im Kontext und die konkrete Konfigurationsänderung zur Behebung benennt.

Vorgehen

So arbeiten wir

Umfang

Jedes Engagement beginnt mit einem Scoping-Gespräch und endet dieses Gespräch mit einer schriftlichen Vereinbarung: Ihr Zielframework oder die Systeme und Umgebungen im Umfang, was ausdrücklich außerhalb liegt, welche Konten und Daten wir nutzen und der Zeitrahmen.

Prüfung

Wir messen, wo Sie stehen: ein Gap-Assessment gegen Ihr Zielframework, eine Prüfung von Kontrollen, Policies und Risiken sowie praxisnahe Tests, wo es darauf ankommt. Die Arbeit ist manuell und methodisch, geleitet davon, wie das System tatsächlich genutzt wird und was ein Angreifer wirklich davon will. Tooling unterstützt die Arbeit; es ersetzt sie nicht.

Erklärung

Sie erhalten einen schriftlichen Bericht und einen Walkthrough-Call. Die Management-Summary ist für Menschen geschrieben, die nicht dabei waren; jeder Befund enthält Belege, Reproduktionsschritte, geschäftliche Auswirkung und einen konkreten Fix.

Nachtest

Hat Ihr Team behoben, testen wir die betroffenen Befunde erneut und liefern einen aktualisierten Bericht, der klar ausweist, was behoben, teilweise behoben oder offen ist. Bei einem Zertifizierungsprogramm bereiten wir die Evidenz vor und stehen Ihnen durch das Audit zur Seite, dann helfen wir Ihnen, sie aktuell zu halten.

Häufig gestellte Fragen

Welche Cloud-Anbieter prüfen Sie?: AWS, Azure und Google Cloud sowie die umgebende Identity-, Netzwerk-, Datenspeicher-, Secrets- und Logging-Konfiguration. Wir arbeiten mit schreibgeschützten, auf den Scope beschränkten Zugangsdaten, die Sie bereitstellen.
Benötigen Sie Admin-Zugriff auf die Produktion?: Nein. Die Prüfung erfolgt schreibgeschützt mit Least-Privilege-Zugangsdaten, kombiniert mit Architektur-Walkthroughs mit Ihrem Team. Wir fordern keinen Admin-Zugriff auf die Produktion an.
Ist das dasselbe wie ein Penetration Test?: Nein, ein Cloud Security Review untersucht Konfiguration und Architektur auf riskante Standardeinstellungen und Exposition, anstatt eine laufende Anwendung aktiv auszunutzen. Beide ergänzen sich.

Weiterführende Artikel

6 Min. Lesezeit

Was ist VAPT? Schwachstellenbewertung und Penetrationstests erklärt

VAPT steht für Vulnerability Assessment and Penetration Testing (Schwachstellenbewertung und Penetrationstests). Hier erfahren Sie, was jede der beiden Hälften bedeutet, wie sie sich unterscheiden, was ein VAPT-Einsatz umfasst und wann Sie ihn tatsächlich benötigen.

Weitere Assessments

Web- & API-Tests Application-Security-Review KI-System-Tests Digitale Forensik Compliance- & Zertifizierungs-Readiness

Engagements haben nach Vereinbarung festen Umfang und Festpreis. Wenn Sie unsicher sind, welcher Service passt, ob Zertifizierungs-Readiness, GRC-Beratung oder ein Penetrationstest, beschreiben Sie Ihre Situation und wir empfehlen einen Umfang, einschließlich der ehrlichen Auskunft, falls Sie uns noch nicht brauchen.