Ihre Situation
Sie nutzen Azure, AWS, Google Cloud oder Microsoft 365 und sind unsicher, ob Sie die Absicherungsmöglichkeiten ausschöpfen? Im Cloud Security Assessment prüfen wir Ihre Konfiguration und die vereinbarten Prozesse zur Cloud-Nutzung.
Prozesse zur Cloud-Nutzung und technische Konfigurationen prüfen – mit passenden CIS Benchmarks und Empfehlungen zur Behebung.
Kostenfrei und unverbindlich.
Ihre Situation
Immer mehr Organisationen nutzen hybride oder reine Cloud-Architekturen in Microsoft Azure, Amazon Web Services (AWS) oder der Google Cloud Platform (GCP), um Aufwand für den klassischen IT-Betrieb zu verlagern. Bei Diensten wie Microsoft Office oder Atlassian Confluence ist der Wechsel in die Cloud oft nicht einmal gewollt, aber unvermeidbar.
Die Cloud vereinfacht den Betrieb und die Skalierung, nimmt Ihnen Administration und Absicherung aber nicht ab. Cloud-Umgebungen müssen genauso sicher konfiguriert und verwendet werden wie On-Premise-Strukturen. Komplexe Strukturen, viele verfügbare Komponenten und Abhängigkeiten zwischen Funktionen erschweren das allerdings. Die Frage ist: Schöpfen Sie die Absicherungsmöglichkeiten Ihrer Umgebung aus?
Im Cloud Security Assessment (CSA) auditieren wir Ihre Cloud-Nutzung prozessorientiert und technisch – für Cloud-Umgebungen, Kubernetes- und Container-Umgebungen ebenso wie für SaaS-Dienste wie Microsoft 365, Google Workspace, Zoom oder Atlassian Cloud. Grundlage der technischen Prüfung sind vor allem die CIS Benchmarks. Sie erhalten konkrete Empfehlungen zur Behebung.
Sie bieten selbst Cloud-Dienste an und benötigen einen Nachweis nach dem BSI-Kriterienkatalog? Dann passt unsere C5-Beratung. Anwendungen in der Cloud prüfen wir im Penetrationstest.
Leistung & Ergebnisse
Sie erfahren, wo Sie die Absicherungsmöglichkeiten Ihrer Cloud noch nicht ausschöpfen – in Microsoft Azure, AWS, Google Cloud, Microsoft 365 sowie Kubernetes- und Container-Umgebungen. Grundlage sind Workshops zu Ihren Prozessen anhand eines Fragenkatalogs aus Best Practices und Standards und die technische Prüfung der Konfiguration der vereinbarten Umgebungen.
Das Cloud Security Assessment gliedert sich in Auftaktgespräch, organisatorisches Assessment, technische Begutachtung, Klärung unstimmiger Punkte und Ergebnisbericht. Organisatorischen und technischen Teil können Sie auch einzeln beauftragen; bei reinen Cloud-Diensten wie Microsoft 365 entfällt der organisatorische Teil.
Zu Beginn klären wir, welche Cloud-Umgebung oder welcher Cloud-Dienst geprüft wird und welche Schritte zur Absicherung Sie bereits umgesetzt haben. Darauf basiert die Entscheidung, welche Prüfungen sinnvoll sind. Anschließend planen wir gemeinsam die nächsten Schritte.
Im ersten Prüfteil erarbeiten unsere Prüfer:innen mit Ihnen in Workshops den aktuellen Stand Ihrer Prozesse zur Cloud-Nutzung. Grundlage ist ein Fragenkatalog, der auf Best Practices, Standards zur Informationssicherheit und unseren Erfahrungen aus Projekten basiert. Themenbereiche sind zum Beispiel:
Im zweiten Prüfteil begutachten wir die technische Konfiguration Ihrer Umgebung und identifizieren fehlende, unvollständige oder unsichere Einstellungen. Als Best Practice setzen wir vor allem die CIS Benchmarks ein – den Industriestandard für Härtungsmaßnahmen, der für die gängigen Cloud-Umgebungen und -Dienste sowie für Kubernetes vorliegt. Kubernetes- und Container-Umgebungen beziehen wir in die Prüfung ein.
Bei reinen SaaS-Diensten wie Microsoft 365, Google Workspace, Zoom oder Atlassian Cloud haben Sie weniger Einfluss auf die IT-Prozesse. Hier führen wir eine rein technische Begutachtung nach derselben Vorgehensweise durch.
Bevor wir den Bericht schreiben, klären wir mit Ihren Verantwortlichen die Punkte, die aus Workshop und technischer Begutachtung nicht eindeutig hervorgehen.
Abschließend dokumentiert der Bericht die identifizierten Schwachstellen in der Verwendung oder Konfiguration Ihrer Cloud-Umgebung.
Ihr CSA-Bericht
Befunde zu Prozessen und Konfiguration mit Empfehlungen zur Behebung, um Ihre Prozesse und Daten besser abzusichern.
Das Cloud Security Assessment bieten wir seit 2023 an, als Teil unseres Portfolios technischer Sicherheitsprüfungen. secuvera ist vom BSI zertifizierter IT-Sicherheitsdienstleister für Penetrationstests und führt Pentests seit dem Jahr 2000 durch.
Wie große Cloud-Umgebungen mit spezialisierten Werkzeugen effizient, reproduzierbar und skalierbar auf Fehlkonfigurationen und Sicherheitsrisiken geprüft werden, hat unser Kollege Viktor Rechel im iX-Special „Security Tools“ 2025 beschrieben.
Für die Verbindung von Prozess- und Technikprüfung kennen unsere Prüfer:innen neben den technischen Werkzeugen auch Standards wie ISO 27001 und BSI-Grundschutz. Der Fragenkatalog des organisatorischen Assessments verbindet beides mit unseren Erfahrungen aus Projekten.
Unser Fachbeitrag im iX-Special Securitytools beschreibt, wie große Cloud-Umgebungen geprüft werden können. Er verbindet die Auswahl von Prüfwerkzeugen mit der fachlichen Bewertung der Cloud-Konfiguration.
Fachartikel zur Cloud-Prüfung bei iX lesen
Das Bundesamt für Sicherheit in der Informationstechnik führt secuvera als zertifizierten IT-Sicherheitsdienstleister für IS-Penetrationstests. Die Zertifizierung gilt für diesen Leistungsbereich.
Pentest-Zertifizierung im BSI-VerzeichnisIm Team ist die Qualifikation Certified Information Systems Security Professional (CISSP) vertreten. Sie umfasst Informationssicherheit, Risikomanagement und Sicherheitsarchitektur.
CISSP-Qualifikationsprofil bei ISC2Ihr Einstieg
Beschreiben Sie die verwendete Cloud-Umgebung oder den Cloud-Dienst und die bereits gewählten Absicherungsmaßnahmen. Darauf aufbauend besprechen wir die sinnvollen Prüfungen und den benötigten Zugang.
Sie können das organisatorische oder das technische Assessment einzeln beauftragen. Wir wählen die Module nach Ihrer Umgebung und Ihren konkreten Fragen aus.
Geprüft werden die vereinbarten Umgebungen, Dienste und Konfigurationen. Das Assessment ist kein C5-Testat und keine Zusicherung vollständiger Cloud-Sicherheit.
Das Angebot umfasst gängige Umgebungen wie Azure, AWS und Google Cloud, Kubernetes- und Container-Umgebungen sowie SaaS-Dienste wie Microsoft 365, Google Workspace, Zoom oder Atlassian Cloud. Zu Beginn klären wir die konkret eingesetzten Dienste und die beeinflussbaren Einstellungen. Davon hängen Prüfgrundlagen, Zugänge und Module ab.
Das organisatorische Modul betrachtet Prozesse zur Nutzung der Cloud in Workshops mit Ihren Verantwortlichen. Die technische Prüfung untersucht Konfigurationen auf fehlende, unvollständige oder unsichere Einstellungen, insbesondere anhand geeigneter CIS Benchmarks.
Ja. Für reine Cloud-Dienste beschreibt das Angebot eine technische Begutachtung der beeinflussbaren Einstellungen. Das organisatorische Assessment entfällt dabei. Vorgehen und Kriterien werden auf den konkreten Dienst abgestimmt.
Nein. Bei Bedarf kann nur der organisatorische oder nur der technische Teil durchgeführt werden. Die Auswahl richtet sich nach Ihrer Umgebung und danach, ob Sie Fragen zu Verantwortlichkeiten und Prozessen oder zur Konfiguration beantworten möchten.
Nein. Sie erhalten eine Bewertung der geprüften Cloud-Nutzung beziehungsweise Konfiguration und Empfehlungen zur Behebung der Befunde. Die Vorbereitung eines C5-Testats für einen Cloud-Dienst ist eine andere Leistung; das Testat wird durch einen Wirtschaftsprüfer ausgestellt.
Diese Frage stellt unser Geschäftsführer Tobias Glemser in seinem neuen Kommentar im iX-Magazin. Mit dem neuen NIS2-Meldeportal schafft das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine zentrale, …
Im Juni haben Darmstädter Forscher veröffentlicht, dass rund 30% von den 1100 untersuchten Images kritische Informationen beinhalten. Dies haben Forscher aus Frankreich tiefgehender untersucht und dabei festgestellt, …
