Kubernetes Security Audit: Würden Ihre Cluster bestehen?

Ja, sehr wahrscheinlich. Vom einzelnen Cluster bis zur Multi-Cluster-Umgebung, Kubernetes und OpenShift gleichwertig: on-premises, in der Cloud oder hybrid, einschließlich EKS, AKS, GKE und Rancher.

Geprüft wird das Umfeld gleich mit:

• Container-Images und Registries
• CI/CD-Pipelines
• GitOps und Monitoring

Das sind zwei verschiedene Dinge. Kensho ist ein strukturiertes Security-Audit ohne aktive Exploitation: Wir prüfen Konfiguration, Architektur und Evidenz, ohne in den laufenden Betrieb einzugreifen.

Ein Penetrationstest verfolgt einen anderen Ansatz und versucht aktiv, Schwachstellen auszunutzen. Für Kontexte wie DORA-Resilienztests ist er eine sinnvolle Ergänzung, kein Ersatz: Der Kensho-Report liefert dafür die technische Grundlage.

Das Audit-Scoping ist ein kostenloses, unverbindliches Vorgespräch von rund 30 Minuten und verpflichtet Sie zu nichts. Kensho selbst wird in drei Stufen mit Festpreis angeboten: Focus, Deep Dive und 360. Der Preis ergibt sich aus Stufe und Scope, nicht aus Stunden, also aus:

• den einbezogenen Clustern
• den beteiligten Umgebungen
• den geprüften Repositories

Beides klären wir im kostenlosen Audit-Scoping. Anschließend erhalten Sie ein schriftliches Angebot mit Festpreis, Leistungsumfang und Zeitplan: vor Beauftragung und ohne versteckte Aufwände. Dass hier bewusst keine Zahlen stehen, hat einen Grund: Wir nennen Preise verbindlich statt ungefähr.

Ja, als technische Grundlage: Sie erhalten technische Evidenz mit Kontroll-Mapping als Basis für Ihre Nachweise, gestaffelt nach Stufe:

• Focus: CIS und NSA/CISA
• Deep Dive: zusätzlich BSI APP.4.4/SYS.1.6 und ISO 27001
• 360: zusätzlich NIS2 und DORA

Eine Zertifizierung oder Rechtsberatung ist das Audit nicht. Die Rollenteilung bleibt dabei klar: Wir liefern die technische Evidenz, den Prüfschluss zieht Ihre interne Revision beziehungsweise Ihr Auditor.

Wahrscheinlich ja, wenn Sie in einem der betroffenen Sektoren arbeiten: Ob NIS2 greift, hängt von Branche, Unternehmensgröße und Ihrer Rolle in der Lieferkette ab. Erfasst sind wichtige und besonders wichtige Einrichtungen aus 18 Sektoren, teils schon ab 50 Mitarbeitenden, und über die Lieferkette auch deren Zulieferer.

Eine verbindliche Einstufung ist Rechtsberatung und nicht Teil des Audits. Im kostenlosen Scoping ordnen wir Ihre Situation aber unverbindlich ein, damit Sie wissen, wo Sie stehen.

Als unverbindliche Richtwerte, abhängig von Scope und Auslastung:

• Focus: typischerweise 2 Wochen
• Deep Dive: 3 bis 4 Wochen
• Kensho 360: wird im Scoping terminiert

Erste Quick Wins erhalten Sie bereits während des Audits, nicht erst mit dem Abschlussbericht. Steht ein Kunden-Fragebogen mit Frist an? Sagen Sie es im Scoping: Fragebogen-relevante Evidenz ziehen wir zeitlich vor.

Ihr eigener Aufwand bleibt gering: Zugänge einmalig bereitstellen, Kick-off, für Rückfragen erreichbar sein. Bei Deep Dive kommen Team-Interviews von insgesamt zwei bis drei Stunden dazu. Ihr Betrieb läuft dabei normal weiter.

Ein priorisierter Maßnahmenplan, keine Rohdaten-Sammlung. Jeder Report enthält:

• alle validierten Findings, priorisiert nach Impact und Ausnutzbarkeit, mit Severity-Einstufung und Security-Scoring
• die Quick-Win-Liste für schnell umsetzbare Verbesserungen
• das Kontroll-Mapping je Finding

Je nach Stufe kommen Architektur-Skizzen, Management-Summary oder Board-Vorlage hinzu. Zusätzlich enthält jeder Report Plattform-Empfehlungen: Auffälligkeiten und sinnvolle nächste Schritte, die uns bei der Analyse auffallen. Den Aufbau zeigen wir Ihnen gern im Scoping-Gespräch.

Ja, aber ausschließlich lesend. Der Zugriff folgt dem Least-Privilege-Prinzip und ist dabei:

• zeitlich begrenzt,
• transparent dokumentiert,
• an Ihren Sicherheitsrichtlinien ausgerichtet.

Änderungen an produktiven Systemen nehmen wir nicht vor.

Und Ihre Secrets? Lesezugriff kann Secret-Objekte technisch umfassen. Auf Wunsch schränken wir das per RBAC auf Metadaten ein oder klammern Secret-Werte vollständig aus. Geprüft wird, wie Secrets verwaltet werden, nicht was darin steht.

CKS-zertifizierte Senior Engineers, die Kubernetes-Security nicht nur prüfen, sondern auch unterrichten. Wir bilden CKS-Teilnehmer aus, und dieselbe Praxiserfahrung fließt in jedes Audit ein.

Ihren Auditor lernen Sie spätestens im Kick-off persönlich kennen. Er begleitet das Audit durchgehend, von der Analyse bis zum Ergebnis-Workshop.

Direkt weiterarbeiten: Sie erhalten einen priorisierten Maßnahmenplan, konkret formuliert und mit Aufwandsschätzung, sodass Ihr Team die Umsetzung eigenständig starten kann. Was danach passiert, hängt von der Stufe ab:

• Focus liefert den Plan als Grundlage für die eigene Umsetzung.
• Deep Dive prüft kritische Findings nach der Behebung in einem inkludierten Wirksamkeits-Nachtest erneut.
• 360 ergänzt diesen Nachtest um eine Verifikations-Dokumentation.

Auf Wunsch begleiten wir die Umsetzung oder übernehmen sie gemeinsam mit Ihrem Team, die Hoheit über Ihre Umgebung bleibt dabei bei Ihnen. Viele Kunden machen aus dem Audit einen Quartals-Rhythmus: der einfachste Einstieg in unsere laufende Begleitung Mamori.