# Eine falsche Berechtigung reicht. Wir finden sie zuerst.

> Ein Cloud-Penetrationstest prüft eine Cloud-Umgebung wie AWS, Azure, Microsoft 365 oder Google Cloud auf Fehlkonfigurationen und Angriffspfade: offen erreichbare Dienste und Speicher, überprivilegierte Identitäten, schwache Authentifizierung und Wege, sich von einem einzelnen Account auf den gesamten Tenant auszuweiten. Zyberum kombiniert ein Konfigurationsreview mit praktischen Angriffen und liefert priorisierte Findings mit Fixes.

Cloud-Pentest und Konfigurationsreview für AWS, Azure, Microsoft 365 und Google Cloud: Identitäten, Berechtigungen, offene Dienste, Angriffspfade.

Source: https://zyberum.com/de/cloud-pentest

Die meisten Cloud-Vorfälle sind keine Hacks des Providers. Es sind offene Speicher, vergessene Schlüssel und Rollen, die zu viel dürfen. Wir prüfen deine Cloud so, wie es ein Angreifer tun würde: von außen und aus einem kompromittierten Account heraus.

## Vom Internet bis zum Tenant-Admin

### Externe Angriffsfläche

Öffentliche Speicher, offene Management-Ports, vergessene Testsysteme und geleakte Zugangsdaten.

### Identitäten & Zugriff

Rollen und Policies, die Privilege Escalation erlauben, fehlende Multi-Faktor-Authentifizierung, riskante Service-Accounts.

### Netzwerk & Segmentierung

Was ein Angreifer nach dem ersten Fuß in der Tür erreicht und was Lateral Movement stoppt.

### Workloads

Virtuelle Maschinen, Container, Kubernetes und Serverless-Funktionen, samt ihrer Secrets.

### Logging & Erkennung

Würdest du es merken? Wir prüfen, ob unsere Angriffe in deinen Logs und Alarmen auftauchen.

### Microsoft 365 & Entra ID

Conditional Access, Gastnutzer, App-Registrierungen, Mail-Weiterleitungen und Freigabeeinstellungen.

## Review plus Angriff

Wir starten mit einem Konfigurationsreview per Lesezugriff. Damit haben wir schnell die gesamte Umgebung im Blick. Dann greifen wir an: aus dem Internet und aus der Position eines normalen Nutzers oder eines kompromittierten Workloads.

Das Ergebnis ist keine Liste mit 400 Einstellungen. Es ist die Handvoll Pfade, die von einem kleinen Fehler zur vollen Kontrolle führen, in der Reihenfolge, in der du sie schließen solltest.

**Das bekommst du**

- Angriffspfade, Schritt für Schritt gezeigt
- Findings nach echtem Risiko priorisiert
- Fixes als konkrete Einstellungen oder Policies
- Nachweise für NIS2- und ISO 27001-Audits
- Nachtest nach dem Fix

## FAQ

**Brauchen wir eine Genehmigung vom Cloud-Provider?**

AWS, Azure und Google Cloud erlauben Penetrationstests eigener Ressourcen ohne vorherige Genehmigung, im Rahmen ihrer veröffentlichten Regeln. Wir halten uns an diese Regeln und legen den Scope schriftlich mit dir fest.

**Welchen Zugriff braucht ihr?**

Lesezugriff für das Konfigurationsreview und einen normalen Nutzer-Account für den Angriffsteil. Deine Administrator-Zugangsdaten brauchen wir nie.

**Ist das dasselbe wie ein Cloud-Security-Audit?**

Ein Audit vergleicht Einstellungen mit einer Benchmark. Das machen wir auch. Danach versuchen wir aber auszunutzen, was wir finden. So weißt du, welche Punkte wirklich zählen.

---
Zyberum GmbH. Canonical page: https://zyberum.com/de/cloud-pentest