Zum Inhalt springen

Cloud-Penetrationstest (AWS, Azure, GCP)

Ein Cloud-Penetrationstest prüft, ob sich Ihre AWS-, Azure- oder Google-Cloud-Umgebung missbrauchen lässt, um an Daten zu kommen oder Ressourcen zu übernehmen. Mr Cyber prüft Identitäten, Berechtigungen, Netzwerkfreigaben, Speicher und Logging anhand der CIS Benchmarks und testet die relevanten Wege anschließend manuell – zum Festpreis und mit kostenlosem Retest.

Festpreis ab 3.300 € · 4 Testtage · Retest inklusive

Festpreis berechnen

Lieber erst sprechen? Gespräch buchen

Storage assets logs backups Workload VM web-01 Rolle app-runtime Richtlinie der Rolle app-runtime allow storage:Read on * alle 3 Buckets nötig: assets
Die Rolle eines Webservers darf jeden Storage-Bucket lesen, auch die Backups.
  • 4–8 Testtage4 Testtage im Einstiegspreis
  • CIS Benchmarks+ 4 weitere Standards
  • Bericht + Gesprächinnerhalb von 5 Werktagen
  • Kostenloser Retestinnerhalb von 60 Tagen

Für wen

  • SaaS-Anbieter, deren Produkt auf AWS, Azure oder Google Cloud läuft
  • Unternehmen, die Server oder Daten in die Cloud verlagert haben und eine zweite Meinung wollen
  • Teams, die Fragen zu ISO 27001, SOC 2, NIS2, TISAX oder BSI C5 von Kunden beantworten müssen
  • Unternehmen nach einer Übernahme, einer neuen Landing Zone oder schnell gewachsenen Konten

Was wir testen

Identitäten & Berechtigungen

  • Benutzer, Rollen, Service-Accounts und ihre Rechte
  • Wege von eingeschränktem Zugriff zu Admin-Rechten
  • MFA, Zugriffsschlüssel und Föderation

Konfiguration

  • Einstellungen im Abgleich mit den CIS Benchmarks
  • Sicherheitsdienste, Richtlinien und Guardrails
  • Trennung zwischen Accounts, Subscriptions und Projekten

Netzwerk & Erreichbarkeit

  • Aus dem Internet erreichbare Dienste
  • Netzwerksegmentierung und Firewall-Regeln
  • Verwaltungsoberflächen und Fernzugänge

Daten & Geheimnisse

  • Storage-Buckets, Datenbanken und Backups
  • Verschlüsselung und Schlüsselverwaltung
  • Geheimnisse in Code, Pipelines und Konfiguration

Workloads & Erkennung

  • Virtuelle Maschinen, Container, Kubernetes und Serverless-Funktionen
  • Zugriff der CI/CD-Pipeline auf die Cloud
  • Logging, Alarmierung und Audit-Trails
Festpreis berechnen

Lieber erst sprechen? Gespräch buchen

Ebenfalls abgedeckt. Im selben Test, ohne Aufpreis.

Microsoft 365 & Entra ID

Mail, Dateien und Identitäten in Microsoft 365, geprüft nach dem CIS Microsoft 365 Foundations Benchmark. Wir betrachten Admin-Rollen, MFA und Conditional Access, Gastzugriffe, Freigaben in SharePoint, OneDrive und Teams sowie den Mailschutz. Google Workspace prüfen wir auf dieselbe Weise.

Ohne Aufpreis In die Anfrage aufnehmen

Kubernetes & Container

Verwaltete oder selbst betriebene Cluster, geprüft nach dem CIS Kubernetes Benchmark. Wir betrachten Clusterzugriff und RBAC, die Trennung von Namespaces und Workloads, Secrets, Images und Audit-Logging und testen, wie weit ein kompromittierter Container käme.

Ohne Aufpreis In die Anfrage aufnehmen

Kein Aufpreis für das Thema selbst. Braucht es zusätzliche Testtage, steht das vorab im Angebot.

So testen wir Ihre Cloud. Fünf Phasen, ein Tester.

Derselbe erfahrene Tester vom Scope bis zum Retest.

Testtage im Einstiegspreis
4
Werktage bis zum Bericht
5
Tage für den kostenlosen Retest
60

In der Regel 4–8 Testtage, abhängig von Accounts, Diensten und Workloads im Scope.

  1. Phase 1

    Scope & Starttermin

    Preis und Starttermin online oder im Gespräch. NDA, unterschriebener Scope und schriftliche Freigabe kommen vor dem ersten Test.

    Termin nach Wahl

  2. Phase 2

    Account- & IAM-Prüfung

    Identitäten, Rollen und Berechtigungen geprüft.

    Testtag 1

  3. Phase 3

    Tests der Angriffsfläche

    Öffentlich Erreichbares und Fehlkonfigurationen von Hand getestet.

    Ab Testtag 2

  4. Phase 4

    Bericht & Abschlussgespräch

    Prüffähiger Bericht und Ticket-Datei, danach ein Gespräch.

    Innerhalb von 5 Werktagen

  5. Phase 5

    Kostenloser Retest

    Ihre Behebungen erneut getestet und schriftlich bestätigt.

    Innerhalb von 60 Tagen

Methodik & Standards

  • CIS Benchmarks (AWS, Azure, Google Cloud)
  • MITRE ATT&CK (Cloud)
  • PTES
  • NIST SP 800-115
  • CVSS 3.1

So testen wir Cloud-Umgebungen

Wir verbinden zwei Blickwinkel. Zuerst eine Konfigurationsprüfung mit Lesezugriff, abgeglichen mit den CIS Benchmarks Ihres Anbieters. Danach manuelle Tests der relevanten Wege: aus dem Internet, von einem kompromittierten Workload oder von einem Benutzer mit eingeschränkten Rechten bis zu Ihren Daten.

Innerhalb der Regeln der Anbieter

AWS, Microsoft Azure und Google Cloud veröffentlichen Regeln für Sicherheitstests. Jeder Test hält sich daran, und der Scope wird vor dem Start schriftlich mit Ihnen vereinbart.

Kritische Befunde warten nicht auf den Bericht

Finden wir während des Tests etwas Kritisches, etwa öffentlich lesbare Daten, erfahren Sie es noch am selben Tag.

Priorisiert für Ihr Team

Jeder Befund nennt die betroffenen Ressourcen, erhält einen CVSS-3.1-Wert (auf Wunsch 4.0) und eine Bewertung des Geschäftsrisikos und zeigt Ihrem Plattform-Team, was zuerst zu tun ist.

Was Sie erhalten

  • Management-Summary für Geschäftsleitung und Prüfer
  • Jeder Befund mit betroffenen Ressourcen, Nachweis und Empfehlung
  • Ergebnisse der CIS Benchmarks pro Account oder Subscription
  • CVSS-3.1-Bewertung plus Geschäftsrisiko und priorisierter Maßnahmenplan
  • Abschlussgespräch mit Ihrem Cloud- und Plattform-Team
  • Kostenloser Retest und aktualisierter Bericht

Immer inklusive

  • Kostenloser Retest innerhalb von 60 Tagen
  • Abschlussgespräch mit Ihrem Team
  • NDA, AVV und Testfreigabe mit dem Angebot
  • Kritische Befunde noch am selben Tag gemeldet
  • Test-Stopp jederzeit auf Ihren Zuruf
  • Prüffähiger Bericht (PDF)
  • Importfertige Tickets für Jira, ServiceNow, GitLab, Azure DevOps und GitHub
  • E-Mail-Import für Helpdesks wie OTRS/Znuny, Zammad, TOPdesk und Matrix42
Festpreis berechnen Zum Bericht
Pentest-Bericht · Admin & Söhne GmbH · MC-2026-021
Risiko: Hoch CVSS 3.1 · 7.5 Offen · Retest inklusive

Rechnungsspeicher für jeden im Internet lesbar

Cloud-Speicher-Bucket „adminsoehne-invoices“ (AWS, eu-central-1)

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Beschreibung

Alle Kundenrechnungen liegen als PDF in einem Cloud-Speicher (Bucket). Der Bucket ist auf „öffentlich“ gestellt: Jeder kann den Inhalt auflisten und jede Rechnung ohne Anmeldung herunterladen. Vermutlich wurde die Einstellung aktiviert, damit Rechnungslinks in E-Mails funktionieren.

Reproduktion

  1. Einen Rechnungslink aus der E-Mail einer Testbestellung öffnen und die Speicheradresse notieren.
  2. Den Dateinamen aus der Adresse entfernen und die Stammadresse des Buckets im Browser öffnen.
  3. Die vollständige Liste der Rechnungsdateien erscheint, jede lässt sich ohne Anmeldung herunterladen.
GET / HTTP/1.1
Host: adminsoehne-invoices.s3.eu-central-1.amazonaws.com

HTTP/1.1 200
<ListBucketResult> <Key>2024/INV-100001.pdf</Key> …

Geschäftliche Auswirkung

Jede je ausgestellte Rechnung mit Namen, Adressen und Einkäufen ist öffentlich. Automatisierte Scanner suchen rund um die Uhr nach offenen Buckets, eine Kopie kann also schon existieren. Nach DSGVO binnen 72 Stunden meldepflichtig, Bußgelder möglich.

Empfehlung

„Block public access“ für den Bucket und das ganze Konto aktivieren. Rechnungen über kurzlebige, signierte Links nach der Anmeldung ausliefern. In den Zugriffsprotokollen prüfen, ob die Dateien bereits heruntergeladen wurden.

OWASP Top 10 2021: A01 Broken Access Control · CWE-284 (Improper Access Control) · MITRE ATT&CK T1530 (Data from Cloud Storage)

Festpreis ab

3.300 €

4 Testtage · Bericht in 5 Werktagen · Retest inklusive

Leistungen ausschließlich für Unternehmen. · Wie sich der Preis zusammensetzt

Festpreis berechnen

Lieber erst sprechen? Gespräch buchen

Häufige Fragen

Was kostet ein Cloud-Penetrationstest?
Festpreise beginnen bei 3.300 € für ein bis drei Accounts oder Subscriptions. Weitere Accounts erhöhen den Aufwand. Microsoft 365 und Kubernetes lassen sich ohne Aufpreis für das Thema selbst einbeziehen; braucht es zusätzliche Testtage, steht das vorab im Angebot. Das Anfrageformular zeigt Ihren verbindlichen Festpreis sofort, das schriftliche Angebot (PDF) erhalten Sie direkt nach Ihrer Anfrage per E-Mail.
Stört der Test unsere produktiven Workloads?
Nein. Die Konfigurationsprüfung nutzt nur Lesezugriff. Aktive Tests stimmen wir vorab ab, sie folgen den Testregeln der Anbieter und enthalten keine Lasttests oder destruktiven Aktionen.
Was brauchen Sie von uns?
Eine Rolle mit Lesezugriff in jedem Account oder jeder Subscription im Scope, eine Aufstellung des Scopes und einen Notfallkontakt. Die genauen Berechtigungen schicken wir Ihnen vor dem Start.
Ist nicht der Cloud-Anbieter für die Sicherheit zuständig?
Der Anbieter sichert die Plattform. Identitäten, Berechtigungen, Konfiguration und Daten liegen in Ihrer Verantwortung. Genau dort entstehen die meisten Befunde in der Cloud.
Was unterscheidet das von einem Cloud-Security-Tool?
Posture-Tools listen Einstellungen auf, die von einer Vorgabe abweichen. Ein Tester prüft zusätzlich, welche sich zu einem echten Weg zu Ihren Daten kombinieren lassen und welche Warnungen nur Rauschen sind.

Passende Leistungen

NIS2 & Compliance

Cloud-Pentest: Festpreis in Sekunden

Wählen Sie aus, um Ihre Anfrage zu starten. Sie erhalten Ihren verbindlichen Festpreis sofort und das schriftliche Angebot (PDF) direkt nach Ihrer Anfrage per E-Mail.

Festpreis berechnen

Lieber erst sprechen? Gespräch buchen