Kubernetes Security Hardening: CIS-Benchmark & NIS2 für Container

Pexon Consulting | 10 Min. Lesezeit | 19.06.2026

TL;DR

NIS2-pflichtige Unternehmen müssen ihre Kubernetes-Cluster nach strukturierten Sicherheits-Standards konfigurieren — CIS-Benchmark plus Pod Security Standards sind 2026 die Mainstream-Antwort. Pexon Consulting bringt typische Mittelstands-Cluster in 2 Wochen von 40-60% CIS-Compliance auf 92-98%, als Festpreis-Sprint zwischen 14 und 22k EUR. Inklusive Pen-Test und Audit-Doku.

Was NIS2 für Container konkret fordert

Wir hören das in fast jedem CISO-Erstgespräch 2026: „Wir wissen NIS2 kommt. Aber was bedeutet das für unser Kubernetes-Setup konkret?“

Die NIS2-Umsetzung in Deutschland (NIS2UmsuCG) fordert „angemessene Maßnahmen zum Risiko-Management“. Für Container-Workloads bedeutet das in der Praxis sechs konkrete Anforderungs-Bereiche.

Anforderung 1: Strukturierte Sicherheits-Konfiguration. Cluster muss nach anerkanntem Standard konfiguriert sein — typisch CIS Kubernetes Benchmark. Mehr zur breiten AI-Landing-Zone für KRITIS und NIS2.

Anforderung 2: Pod-Isolation. Pod Security Standards (PSS) auf Restricted-Profile als Default. Privileged-Container nur mit dokumentierter Ausnahme.

Anforderung 3: Network-Segmentierung. Network Policies mit Default-Deny-Logik. Jeder Pod hat explizite Allow-Regeln.

Anforderung 4: Supply-Chain-Sicherheit. Image-Signing plus Vulnerability-Scanning vor jedem Deployment. Mehr zum Compliance-as-Code-Pattern.

Anforderung 5: Strukturierter Audit-Trail. Kubernetes-API-Calls geloggt, in dediziertes SIEM gesendet, 12-24 Monate aufbewahrt.

Anforderung 6: Incident-Response-Pipeline. Definierte Eskalations-Pfade, automatisierte Alerting bei Anomalien.

Die CIS-Benchmark-Lage konkret

CIS Kubernetes Benchmark v1.10 (Stand Mitte 2026) hat 122 Kontrollen. Pexon-Audits ergeben typische Lage bei Mittelstands-Clustern.

Typischer Stand vor Hardening.

• 40-60% der Kontrollen passen
• 30-45% sind Konfigurations-Anpassungen nötig
• 5-15% brauchen architektonische Änderungen

Nach Pexon-Sprint typisch: 92-98% Compliance. Die letzten 2-8% sind explizit dokumentierte Ausnahmen mit Risiko-Bewertung.

Die Pod Security Standards in der Praxis

Drei Profile in Kubernetes definiert.

Privileged — keine Einschränkungen. Nur für System-Komponenten.

Baseline — minimale Einschränkungen. Dev- und Test-Workloads typisch.

Restricted — maximale Einschränkungen. Production-Workloads in regulierten Branchen Standard.

apiVersion: v1
kind: Namespace
metadata:
  name: production-chatbot
  labels:
    pod-security.kubernetes.io/enforce: restricted
    pod-security.kubernetes.io/enforce-version: v1.30
    pod-security.kubernetes.io/audit: restricted
    pod-security.kubernetes.io/warn: restricted

Damit werden privileged Container in dem Namespace abgelehnt. Audit-Logs zeigen Verstöße, Warnings erscheinen beim Apply.

Image-Signing und Vulnerability-Scanning

Supply-Chain-Sicherheit als zentrale NIS2-Anforderung.

Image-Signing mit cosign. Bei jedem Image-Build wird signiert, bei jedem Deployment wird verifiziert. Bei Mismatch wird das Deployment abgelehnt.

# Beispiel: Image signieren beim Build
cosign sign --key cosign.key registry.firma.de/openwebui:v0.4.2

# Beispiel: Verification-Policy für AKS
apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: check-image-signature
spec:
  validationFailureAction: enforce
  rules:
    - name: check-signature
      match:
        any:
        - resources:
            kinds:
              - Pod
            namespaces:
              - production-chatbot
      verifyImages:
        - imageReferences:
            - "registry.firma.de/*"
          attestors:
            - entries:
              - keys:
                  publicKeys: |
                    -----BEGIN PUBLIC KEY-----
                    ...
                    -----END PUBLIC KEY-----

Vulnerability-Scanning mit Trivy oder Snyk. Pipeline-Schritt bei jedem Build. Bei kritischen CVEs Build-Abbruch.

Pexon-Sprint und Investment

2-Wochen-Festpreis-Sprint:

• Woche 1 — Audit und Hardening. CIS-Benchmark-Run, Konfigurations-Anpassungen, PSS-Aktivierung, Network Policies, Image-Signing.
• Woche 2 — Pen-Test und Doku. Synthetische Angriffsvektoren, NIS2-konforme Doku, Übergabe-Workshop.

Investment-Festpreis: 14-22k EUR. Bei Banking-Setup mit zusätzlicher BaFin-Doku eher am oberen Ende.

Häufig gestellte Fragen

Was kostet die NIS2-Doku selbst?

Bei Pexon im Sprint-Festpreis enthalten. Bei externer Doku-Erstellung typisch 8-15k EUR.

Was bei sehr alten Clustern (K8s < 1.25)?

Erst Cluster-Upgrade. PSS sind seit 1.25 stabil, vorher PSP (deprecated). Mehr zum breiten Cluster-Update-Pattern.

Wie verhält sich das mit OpenShift Security Profiles?

OpenShift SCC ist konzeptuell ähnlich zu PSS, technisch unterschiedlich. Mehr im Kubernetes vs OpenShift-Vergleich.

Was wenn Engineering-Teams sich gegen Restricted-Profile wehren?

Häufige Realität. Wir machen den Sprint mit Engineering-Workshops und schrittweisem Roll-out — Restricted in neuen Namespaces, bestehende mit Migration-Plan. Akzeptanz steigt nach 4-6 Wochen.

Welche Tools nutzt Pexon im Hardening?

CIS-Benchmark via kube-bench, PSS nativ, Image-Signing via cosign, Policy-Enforcement via Kyverno oder Gatekeeper, Vulnerability-Scanning via Trivy.

Nächster Schritt

Wenn euer Cluster unter NIS2-Pflicht fällt: 30-Minuten-Discovery-Call. Wir skizzieren Sprint.

Verwandte Themen