AWS Penetrationstest Sicherheit Ihrer Amazon-Web-Services-Umgebung

Ja. AWS gestattet Kunden das Penetrationstesting ihrer eigenen Ressourcen für eine Reihe von Diensten ohne vorherige Genehmigung, im Rahmen der AWS Customer Support Policy for Penetration Testing. Bestimmte Tests (z. B. groß angelegte oder DoS-artige) bedürfen weiterhin einer Abstimmung mit AWS. Wir halten diese Vorgaben strikt ein.

Schwerpunkte sind IAM (überprivilegierte Rollen, Privilege Escalation), S3-Speicher (öffentliche oder falsch berechtigte Buckets), Netzwerk (Security Groups, exponierte Dienste) sowie Workloads wie EC2, Lambda und Container inklusive Secrets-Handling.

Im AWS Shared Responsibility Model ist Amazon für die Sicherheit der Cloud-Infrastruktur selbst verantwortlich, der Kunde für die Sicherheit in der Cloud - also Konfiguration, Identitäten, Daten und Anwendungen. Genau dieser Kundenbereich ist Gegenstand des Pentests.

Ja. Neben AWS prüfen wir auch andere Cloud-Umgebungen. Der Ansatz aus Konfigurationsanalyse plus aktiver Exploitation der Kundenressourcen ist vergleichbar, die konkreten Dienste und Schwachstellenklassen unterscheiden sich je Anbieter.

Der Preis richtet sich nach Anzahl der Konten, den genutzten Diensten und der gewünschten Testtiefe. Ein manueller AWS-Pentest liegt meist zwischen 4.000 und 20.000 €. Spürbar mehr Aufwand entsteht bei Multi-Account-Umgebungen mit AWS Organizations, weil dort zusätzlich die Rollenübergänge zwischen den Konten und die Berechtigungsgrenzen von IAM einzeln nachgestellt werden.

Typischerweise ein bis drei Wochen zwischen Teststart und Berichtsübergabe. Ein einzelnes Konto mit überschaubarer Dienstlandschaft ist in wenigen Tagen geprüft, eine Multi-Account-Organisation mit mehreren Regionen und Serverless-Workloads braucht deutlich länger. Den Zeitraum legen wir im Scoping verbindlich fest.

Für die Konfigurationsanalyse eine IAM-Rolle mit lesenden Rechten, üblicherweise auf Basis von SecurityAudit oder ReadOnlyAccess. Für die aktive Testphase zusätzlich ein Testkonto mit der Rechteausstattung eines normalen Nutzers, um Privilege-Escalation-Pfade nachzuweisen. Ein rein externer Test ohne Zugang ist möglich, findet aber deutlich weniger.

Diese Dienste melden bekannte Fehlkonfigurationen und auffälliges Verhalten und sind sinnvoll als laufende Überwachung. Sie bewerten aber nicht, ob sich mehrere unauffällige Einstellungen zu einem echten Angriffspfad verketten lassen, etwa von einer Lambda-Rolle über eine Policy-Lücke zu administrativen Rechten. Genau das prüft der Penetrationstest.

Nein. Wir arbeiten überwiegend lesend, verändern keine produktiven Ressourcen und stimmen jeden aktiven Schritt vorab mit Ihnen ab. Lasttests und DoS-artige Szenarien sind ausgeschlossen, da sie auch die AWS-Testrichtlinie untersagt. Auf Wunsch testen wir gegen ein gespiegeltes Konto statt gegen die Produktion.

Ja. Der Bericht dient als technischer Wirksamkeitsnachweis: für ISO 27001 zum Umgang mit technischen Schwachstellen nach Control A.8.8, für NIS2 zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen und für Art. 32 DSGVO als Beleg eines Verfahrens zur regelmäßigen Überprüfung technischer Maßnahmen. Sie erhalten ihn auf Deutsch und Englisch.