--- title: "Cloud-Penetrationstest für AWS, Azure & GCP | Mr Cyber" url: https://mr-cyber.com/de/leistungen/cloud-penetrationstest language: de-DE description: "Cloud-Sicherheitsprüfung für AWS, Azure und Google Cloud. IAM, Fehlkonfigurationen, offene Dienste, Daten. Festpreis ab 3.300 €, Bericht in 5 Werktagen." --- # Cloud-Penetrationstest (AWS, Azure, GCP) Ein Cloud-Penetrationstest prüft, ob sich Ihre AWS-, Azure- oder Google-Cloud-Umgebung missbrauchen lässt, um an Daten zu kommen oder Ressourcen zu übernehmen. Mr Cyber prüft Identitäten, Berechtigungen, Netzwerkfreigaben, Speicher und Logging anhand der CIS Benchmarks und testet die relevanten Wege anschließend manuell – zum Festpreis und mit kostenlosem Retest. Festpreis **ab 3.300 €** · 4 Testtage · Retest inklusive [Festpreis berechnen](https://mr-cyber.com/de/angebot?service=cloud) Lieber erst sprechen? [Gespräch buchen](https://mr-cyber.com/de/kontakt#book) Die Rolle eines Webservers darf jeden Storage-Bucket lesen, auch die Backups. - **4–8 Testtage**4 Testtage im Einstiegspreis - **CIS Benchmarks**\+ 4 weitere Standards - **Bericht + Gespräch**innerhalb von 5 Werktagen - **Kostenloser Retest**innerhalb von 60 Tagen ## Für wen - SaaS-Anbieter, deren Produkt auf AWS, Azure oder Google Cloud läuft - Unternehmen, die Server oder Daten in die Cloud verlagert haben und eine zweite Meinung wollen - Teams, die Fragen zu ISO 27001, SOC 2, NIS2, TISAX oder BSI C5 von Kunden beantworten müssen - Unternehmen nach einer Übernahme, einer neuen Landing Zone oder schnell gewachsenen Konten ## Was wir testen ### Identitäten & Berechtigungen - Benutzer, Rollen, Service-Accounts und ihre Rechte - Wege von eingeschränktem Zugriff zu Admin-Rechten - MFA, Zugriffsschlüssel und Föderation ### Konfiguration - Einstellungen im Abgleich mit den CIS Benchmarks - Sicherheitsdienste, Richtlinien und Guardrails - Trennung zwischen Accounts, Subscriptions und Projekten ### Netzwerk & Erreichbarkeit - Aus dem Internet erreichbare Dienste - Netzwerksegmentierung und Firewall-Regeln - Verwaltungsoberflächen und Fernzugänge ### Daten & Geheimnisse - Storage-Buckets, Datenbanken und Backups - Verschlüsselung und Schlüsselverwaltung - Geheimnisse in Code, Pipelines und Konfiguration ### Workloads & Erkennung - Virtuelle Maschinen, Container, Kubernetes und Serverless-Funktionen - Zugriff der CI/CD-Pipeline auf die Cloud - Logging, Alarmierung und Audit-Trails ## Ebenfalls abgedeckt. Im selben Test, ohne Aufpreis. ## Microsoft 365 & Entra ID Mail, Dateien und Identitäten in Microsoft 365, geprüft nach dem CIS Microsoft 365 Foundations Benchmark. Wir betrachten Admin-Rollen, MFA und Conditional Access, Gastzugriffe, Freigaben in SharePoint, OneDrive und Teams sowie den Mailschutz. Google Workspace prüfen wir auf dieselbe Weise. Ohne Aufpreis [In die Anfrage aufnehmen](https://mr-cyber.com/de/angebot?service=cloud,m365) ## Kubernetes & Container Verwaltete oder selbst betriebene Cluster, geprüft nach dem CIS Kubernetes Benchmark. Wir betrachten Clusterzugriff und RBAC, die Trennung von Namespaces und Workloads, Secrets, Images und Audit-Logging und testen, wie weit ein kompromittierter Container käme. Ohne Aufpreis [In die Anfrage aufnehmen](https://mr-cyber.com/de/angebot?service=cloud,kubernetes) Kein Aufpreis für das Thema selbst. Braucht es zusätzliche Testtage, steht das vorab im Angebot. ## So testen wir Ihre Cloud. Fünf Phasen, ein Tester. Derselbe erfahrene Tester vom Scope bis zum Retest. Testtage im Einstiegspreis 4 Werktage bis zum Bericht 5 Tage für den kostenlosen Retest 60 In der Regel 4–8 Testtage, abhängig von Accounts, Diensten und Workloads im Scope. 1. Phase 1 ### Scope & Starttermin Preis und Starttermin online oder im Gespräch. NDA, unterschriebener Scope und schriftliche Freigabe kommen vor dem ersten Test. Termin nach Wahl 2. Phase 2 ### Account- & IAM-Prüfung Identitäten, Rollen und Berechtigungen geprüft. Testtag 1 3. Phase 3 ### Tests der Angriffsfläche Öffentlich Erreichbares und Fehlkonfigurationen von Hand getestet. Ab Testtag 2 4. Phase 4 ### Bericht & Abschlussgespräch Prüffähiger Bericht und Ticket-Datei, danach ein Gespräch. Innerhalb von 5 Werktagen 5. Phase 5 ### Kostenloser Retest Ihre Behebungen erneut getestet und schriftlich bestätigt. Innerhalb von 60 Tagen ## Methodik & Standards - CIS Benchmarks (AWS, Azure, Google Cloud) - MITRE ATT&CK (Cloud) - PTES - NIST SP 800-115 - CVSS 3.1 ## So testen wir Cloud-Umgebungen Wir verbinden zwei Blickwinkel. Zuerst eine Konfigurationsprüfung mit Lesezugriff, abgeglichen mit den [CIS Benchmarks](https://www.cisecurity.org/cis-benchmarks) Ihres Anbieters. Danach manuelle Tests der relevanten Wege: aus dem Internet, von einem kompromittierten Workload oder von einem Benutzer mit eingeschränkten Rechten bis zu Ihren Daten. ### Innerhalb der Regeln der Anbieter AWS, Microsoft Azure und Google Cloud veröffentlichen Regeln für Sicherheitstests. Jeder Test hält sich daran, und der Scope wird vor dem Start schriftlich mit Ihnen vereinbart. ### Kritische Befunde warten nicht auf den Bericht Finden wir während des Tests etwas Kritisches, etwa öffentlich lesbare Daten, erfahren Sie es noch am selben Tag. ### Priorisiert für Ihr Team Jeder Befund nennt die betroffenen Ressourcen, erhält einen **CVSS-3.1**\-Wert (auf Wunsch 4.0) und eine Bewertung des Geschäftsrisikos und zeigt Ihrem Plattform-Team, was zuerst zu tun ist. ## Was Sie erhalten - Management-Summary für Geschäftsleitung und Prüfer - Jeder Befund mit betroffenen Ressourcen, Nachweis und Empfehlung - Ergebnisse der CIS Benchmarks pro Account oder Subscription - CVSS-3.1-Bewertung plus Geschäftsrisiko und priorisierter Maßnahmenplan - Abschlussgespräch mit Ihrem Cloud- und Plattform-Team - Kostenloser Retest und aktualisierter Bericht ### Immer inklusive - Kostenloser Retest innerhalb von 60 Tagen - Abschlussgespräch mit Ihrem Team - NDA, AVV und Testfreigabe mit dem Angebot - Kritische Befunde noch am selben Tag gemeldet - Test-Stopp jederzeit auf Ihren Zuruf - Prüffähiger Bericht (PDF) - Importfertige Tickets für Jira, ServiceNow, GitLab, Azure DevOps und GitHub - E-Mail-Import für Helpdesks wie OTRS/Znuny, Zammad, TOPdesk und Matrix42 Pentest-Bericht · Admin & Söhne GmbH · MC-2026-021 Risiko: Hoch CVSS 3.1 · 7.5 Offen · Retest inklusive ### Rechnungsspeicher für jeden im Internet lesbar Cloud-Speicher-Bucket „adminsoehne-invoices“ (AWS, eu-central-1) CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N #### Beschreibung Alle Kundenrechnungen liegen als PDF in einem Cloud-Speicher (Bucket). Der Bucket ist auf „öffentlich“ gestellt: Jeder kann den Inhalt auflisten und jede Rechnung ohne Anmeldung herunterladen. Vermutlich wurde die Einstellung aktiviert, damit Rechnungslinks in E-Mails funktionieren. #### Reproduktion 1. Einen Rechnungslink aus der E-Mail einer Testbestellung öffnen und die Speicheradresse notieren. 2. Den Dateinamen aus der Adresse entfernen und die Stammadresse des Buckets im Browser öffnen. 3. Die vollständige Liste der Rechnungsdateien erscheint, jede lässt sich ohne Anmeldung herunterladen. ``` GET / HTTP/1.1 Host: adminsoehne-invoices.s3.eu-central-1.amazonaws.com HTTP/1.1 200 2024/INV-100001.pdf … ``` #### Geschäftliche Auswirkung Jede je ausgestellte Rechnung mit Namen, Adressen und Einkäufen ist öffentlich. Automatisierte Scanner suchen rund um die Uhr nach offenen Buckets, eine Kopie kann also schon existieren. Nach DSGVO binnen 72 Stunden meldepflichtig, Bußgelder möglich. #### Empfehlung „Block public access“ für den Bucket und das ganze Konto aktivieren. Rechnungen über kurzlebige, signierte Links nach der Anmeldung ausliefern. In den Zugriffsprotokollen prüfen, ob die Dateien bereits heruntergeladen wurden. OWASP Top 10 2021: A01 Broken Access Control · CWE-284 (Improper Access Control) · MITRE ATT&CK T1530 (Data from Cloud Storage) ## Festpreis ab [3.300 €](https://mr-cyber.com/de/angebot?service=cloud) 4 Testtage · Bericht in 5 Werktagen · Retest inklusive Leistungen ausschließlich für Unternehmen. · [Wie sich der Preis zusammensetzt](https://mr-cyber.com/de/preise) ## Häufige Fragen Was kostet ein Cloud-Penetrationstest? Festpreise beginnen bei 3.300 € für ein bis drei Accounts oder Subscriptions. Weitere Accounts erhöhen den Aufwand. Microsoft 365 und Kubernetes lassen sich ohne Aufpreis für das Thema selbst einbeziehen; braucht es zusätzliche Testtage, steht das vorab im Angebot. Das Anfrageformular zeigt Ihren verbindlichen Festpreis sofort, das schriftliche Angebot (PDF) erhalten Sie direkt nach Ihrer Anfrage per E-Mail. Stört der Test unsere produktiven Workloads? Nein. Die Konfigurationsprüfung nutzt nur Lesezugriff. Aktive Tests stimmen wir vorab ab, sie folgen den Testregeln der Anbieter und enthalten keine Lasttests oder destruktiven Aktionen. Was brauchen Sie von uns? Eine Rolle mit Lesezugriff in jedem Account oder jeder Subscription im Scope, eine Aufstellung des Scopes und einen Notfallkontakt. Die genauen Berechtigungen schicken wir Ihnen vor dem Start. Ist nicht der Cloud-Anbieter für die Sicherheit zuständig? Der Anbieter sichert die Plattform. Identitäten, Berechtigungen, Konfiguration und Daten liegen in Ihrer Verantwortung. Genau dort entstehen die meisten Befunde in der Cloud. Was unterscheidet das von einem Cloud-Security-Tool? Posture-Tools listen Einstellungen auf, die von einer Vorgabe abweichen. Ein Tester prüft zusätzlich, welche sich zu einem echten Weg zu Ihren Daten kombinieren lassen und welche Warnungen nur Rauschen sind.