Kubernetes Security

Kubernetes Security: erst prüfen, dann härten, dann nachweisen

DACH-Beratung: Kubestronauten härten den Cluster, den Sie schon haben. Das Audit ist der Cluster-Check, kein Tool-Trial und kein kostenloses Assessment. CIS-Benchmark mit Ampel und Prioritäten, lesender Zugang, Härten nach dem Report. Weiter zur Kubernetes Beratung und zum Cluster-Review.

Cluster-Check buchen (45 Min)Preise und Umfang ansehen

ab 850 EUR

Angriffsflächen-Check mit Report

2 bis 5

Werktage bis zum Report

0 von 17

Anbieter mit buchbarem Security-Produkt

ISO 27001

zertifiziert

Auf einen Blick

Pexon prüft und härtet Kubernetes-Cluster gegen den CIS-Benchmark: RBAC, Network Policies, Pod Security, CVE-Scan. Kein Pentest, kein Prüfsiegel, sondern ein Konfigurations-Review mit Befunden, Ampel und Prioritäten im schriftlichen Report. Self-Check kostenlos, Angriffsflächen-Check ab 850 EUR.

Kern-Themen: Was ihr bekommt · Preise · Security-Prüfung im Vergleich · So läuft der Check · Hardening-Checkliste

Zielgruppe

CTOs, Head of Platform und DevOps-Leads bei SaaS-Anbietern und im regulierten Mittelstand, die einen Produktions-Cluster ohne eigenes Security-Team betreiben

Prüfebenen

RBAC-Rechte · Network Policies · Pod Security · CVE-Scan auf Images und Runtime, jeweils gegen den CIS-Benchmark

Einstiege

Self-Check kostenlos, 20 Punkte · Angriffsflächen-Check ab 850 EUR · Compliance-Snapshot 1.250 EUR, dokumentiert zum Weitergeben

Unsere Lösungen

Drei Einstiege, alle mit festem Umfang und festem Preis. Jeder liefert ein schriftliches Ergebnis, keinen Werkzeug-Auswurf. Gemeinsame Baseline ist der CIS-Benchmark, gemeinsame Prüfebenen sind RBAC, Network Policies, Pod Security und der CVE-Scan.

Vom kostenlosen Selbst-Ausfüllen bis zum Snapshot, den ihr an eure Compliance-Abteilung weitergeben könnt

Security-Self-Check, kostenlos

20 Punkte zum Selbst-Ausfüllen, in etwa 15 Minuten, ohne Zugriff auf euren Cluster. Ergebnis ist eine erste Einordnung, welche der vier Prüfebenen bei euch am schwächsten dasteht. Ihr bekommt ihn im Erstgespräch.

Angriffsflächen-Check, ab 850 EUR

Der Einstieg mit Zugriff: Wir lesen die laufende Konfiguration eines Clusters, gleichen RBAC, Network Policies, Pod Security und den CVE-Stand mit dem CIS-Benchmark ab und liefern einen Report mit Ampel und Prioritäten.

Compliance-Snapshot, 1.250 EUR

Derselbe Abgleich, aber so dokumentiert, dass ihr ihn weitergeben könnt: an einen Kunden mit Security-Fragebogen, an die eigene Revision oder als Ausgangspunkt, um den Betrieb audit-fest machen zu lassen.

Wo euer Cluster angreifbar ist

Drei Sätze hören wir in fast jedem Erstgespräch. Sie klingen unterschiedlich, haben aber dieselbe Ursache: Es gibt keine Baseline, gegen die jemand den Cluster gegenlesen könnte.

Wir wissen nicht, ob unser Cluster angreifbar ist

Der Cluster läuft seit zwei Jahren, gewachsen ist er mit dem Team. Niemand kann sagen, welche Service-Accounts heute cluster-admin haben und welcher Pod welchen anderen erreicht. Ohne Baseline bleibt die Antwort ein Bauchgefühl.

Ein Kunde schickt einen Security-Fragebogen, den wir nicht beantworten können

40 Fragen zu Rechten, Netz-Isolierung, Patch-Stand und Protokollierung, Rückgabe in zwei Wochen. Die Angaben lassen sich nur belegen, wenn der Cluster einmal systematisch gegengelesen wurde. Genau das ist der Angriffsflächen-Check.

Ein CVE wurde gemeldet, und keiner weiß, ob wir betroffen sind

Die Meldung steht in jedem Newsletter, die Frage kommt aus der Geschäftsführung. Ohne Inventar der Images und der Runtime-Versionen dauert die Antwort Tage. Mit CVE-Scan gegen den laufenden Stand dauert sie Stunden.

Was vorher versucht wurde, ist fast immer eines von drei Dingen: selbst härten ohne Baseline, ein einmaliger Test durch einen externen Dienstleister, oder gar nichts. Das erste erzeugt eine Liste ohne Reihenfolge, das zweite kostet ein Vielfaches und beantwortet eine andere Frage, das dritte läuft so lange gut, bis es das nicht mehr tut.

Ein Cluster ist selten durch eine Lücke angreifbar, sondern durch vier Ebenen, die einzeln vertretbar konfiguriert sind und zusammen einen Weg ergeben.

RBAC: wer darf was, und wer darf es nur, weil es einmal schnell gehen mussteNetwork Policies: welcher Pod erreicht welchen, und was davon ist gewolltPod Security: welche Container laufen privilegiert, und warumCVE-Scan: welche bekannten Lücken laufen heute in Images und Runtime

Zu jeder der vier Ebenen liegt eine eigene Seite mit dem konkreten Vorgehen: Kubernetes RBAC für die Frage, wer im Cluster was darf, Kubernetes Network Policies für die Trennung des Pod-Traffics, Kyverno und Policy-Enforcement für Regeln, die der Cluster selbst durchsetzt, und Trivy und Image-Scanning für die Frage, welche CVEs aus euren Images überhaupt im Cluster erreichbar sind.

Wie ihr die Software-Stückliste eurer Images dauerhaft nachweist, statt sie einmal als PDF zu exportieren, steht unter SBOM und CRA auf Kubernetes.

Praxis-Walkthrough: Cluster-Scan mit Trivy. Für den priorisierten Report: Trivy Kubernetes Scanner.

Zwei dieser Ebenen entscheiden sich, bevor der erste Pod läuft: Was in einem Image steckt, bringt der Build mit, und mit welchen Rechten ein Container startet, legt sein Manifest fest. Ein gehärtetes Image nützt wenig, wenn das Manifest wieder aufmacht, was es geschlossen hat. Wie wir diesen Eingang prüfen, Schicht für Schicht und Manifest für Manifest, steht ausführlich unter Was im Ticket klebt statt im Tresor, prüft der External Secrets Operator als Sync-Schicht, nicht als Scanner. Images und Manifeste prüfen, bevor sie im Cluster landen.

Preise

Festpreise mit festem Umfang. Kein Tagessatz, keine Nachberechnung nach Aufwand. Termine stimmen wir vorher ab, die Buttons führen auf den Kalender und nicht auf eine sofortige Buchung.

Kostenloser Einstieg

Security-Self-Check, 20 Punkte

Zwanzig Fragen, die ihr selbst beantwortet, ohne dass jemand von uns euren Cluster sieht. Danach wisst ihr, welche der vier Prüfebenen bei euch die größte Angriffsfläche hat und ob sich ein bezahlter Check überhaupt lohnt.

20 Punkte, in etwa 15 Minuten
Kein Zugriff auf euren Cluster nötig
Einordnung entlang der vier Prüfebenen
Ihr bekommt ihn im Erstgespräch

0 EUR

kostenlos, 20 Punkte

Cluster-Check buchen (45 Min)Umfang im Vergleich ansehen

Bezahlte Einstiege

Zwei Checks mit Festpreis

Beide liefern denselben Abgleich gegen den CIS-Benchmark. Der Unterschied liegt in der Tiefe der Dokumentation: der Check ist für euch, der Snapshot ist zum Weitergeben gemacht.

XS1

Angriffsflächen-Check

ab 850 EUR einmalig

Ein Cluster, 2 bis 5 Werktage bis zum Report

Der Standard-Einstieg für einen Produktions-Cluster, dessen Konfiguration noch nie systematisch gegengelesen wurde.

RBAC, Network Policies, Pod Security, CVE-Scan
Report mit Ampel und Prioritäten
Besprechung von 60 Minuten

Cluster-Check buchen (45 Min)

XS3

Compliance-Snapshot

1.250 EUR einmalig

Ein Cluster, 3 bis 5 Werktage, weitergabefähig

Für alle, die das Ergebnis nicht selbst brauchen, sondern jemandem vorlegen: Kunde, Revision, Auditor.

Befunde je Prüfebene, dokumentiert
Zuordnung zu den CIS-Prüfpunkten
Format zum Weitergeben statt Werkzeug-Auswurf

Cluster-Check buchen (45 Min)

Ein Check ist ein Zeitpunkt, kein Zustand. Wer die Befunde nicht nur einmal abarbeiten, sondern dauerhaft halten will, braucht jemanden, der Upgrades, Patches und Rechte laufend mitführt. Wie dieser Übergang aussieht, steht im Abschnitt zum Ablauf weiter unten. Wir sprechen darüber offen, bevor ihr einen Check beauftragt.

Security-Prüfung: drei Wege im Vergleich

Die drei Wege beantworten unterschiedliche Fragen. Der Selbst-Check sagt euch, wo ihr ungefähr steht. Der Angriffsflächen-Check sagt, wie die laufende Konfiguration gegen die Baseline abschneidet. Der dritte Weg sagt, welcher Angriffsweg tatsächlich ausnutzbar ist, und ist eine eigene, deutlich größere Leistung.

Kriterium	Selbst-Check	Angriffsflächen-Check	Penetrationstest (andere Leistung, über einen spezialisierten Partner beauftragt)
Preis	kostenlos, 20 Punkte, in etwa 15 Minuten ohne Zugriff auf den Cluster selbst auszufüllen	ab 850 EUR, Festpreis mit festem Umfang	Erfahrungswert 8.000 EUR, je nach Umfang und Anbieter, keine Preiszusage von uns
Umfang	20 Fragen entlang der vier Prüfebenen, Selbstauskunft ohne technischen Zugriff	Lesender Abgleich der laufenden Konfiguration mit dem CIS-Benchmark: RBAC, Network Policies, Pod Security, CVE-Scan auf Images und Runtime	Aktiver Angriffsversuch gegen die laufende Umgebung, inklusive Ausnutzungsversuch gefundener Wege
Ergebnis	Einordnung, welche Prüfebene bei euch am schwächsten dasteht	Schriftlicher Report mit Ampel, priorisierten Befunden und einer Empfehlung je Befund, dazu eine Besprechung von 60 Minuten	Bericht über die Wege, die tatsächlich ausgenutzt werden konnten
Dauer	in etwa 15 Minuten	2 bis 5 Werktage nach Zugang	mehrere Wochen inklusive Vorbereitung, Durchführung und Abstimmung

Stand August 2026. Spalte 1 und 2 sind Festpreise von Pexon Consulting, Spalte 3 ist ein Erfahrungswert aus Partner-Projekten.

Die dritte Spalte steht hier zur Abgrenzung, nicht als Angebot. Unser Check greift eure Umgebung nicht an, er liest sie. Wer einen aktiven Test braucht, bekommt ihn über einen spezialisierten Partner und sollte dafür ein eigenes Budget einplanen.

Was wir nicht machen

Vier Dinge, die auf dieser Seite bewusst fehlen. Wir schreiben sie hin, damit niemand sie im Angebot sucht und im Termin enttäuscht wird.

Keinen Penetrationstest

Wir greifen euren Cluster nicht aktiv an und versuchen nicht, gefundene Wege auszunutzen. Unser Check liest die Konfiguration. Wer den aktiven Test braucht, bekommt ihn über einen spezialisierten Partner. Erfahrungsgemäß liegt das bei etwa 8.000 EUR und mehreren Wochen, den Preis macht der Partner.

Kein Prüfsiegel

Wir stellen kein Siegel und keine Bescheinigung aus. Dafür gibt es eigene Verfahren und eigene Stellen. Was wir liefern, ist ein Report mit Befunden und Prioritäten, der einer Prüfung standhält, weil jeder Befund auf einen CIS-Prüfpunkt zeigt.

Keine Dauerüberwachung außerhalb der Servicezeit

Unsere Servicezeit ist Mo-Fr 08:00-18:00 MEZ. Wir versprechen keine Bereitschaft daneben, weil wir sie nicht besetzen können. Wer eine laufende Betreuung mit klaren Zuständigkeiten braucht, findet sie im Betriebsangebot, nicht im Security-Check.

Kein Security-Produkt als Software

Wir verkaufen euch kein Werkzeug, keine Lizenz und keine Plattform, die ihr danach selbst betreiben müsst. Security ist bei uns eine Dienstleistung mit einem schriftlichen Ergebnis, und der Einstieg in Betrieb und Compliance, nicht ein eigenes Produkt.

Woran ihr das messen könnt

Eine anonymisierte Referenz, eine Marktzahl und eine veröffentlichte Case Study. Klarnamen nennen wir erst, wenn die Freigabe des Kunden vorliegt.

Kirchlicher Träger

Referenz im Security-Umfeld: ein kirchlicher Träger

11.000 EUR

Projektvolumen im Security-Umfeld

06/2026

gewonnen, Projekt im Security-Umfeld

Ein kirchlicher Träger ist Kunde im Security-Umfeld seiner Kubernetes-Plattform, Projektvolumen 11.000 EUR. Mehr steht hier nicht, weil die Freigabe des Kunden für Name und Details noch aussteht.

Security-Leistungen im Bestand ansehen

Marktzahl

Kein Anbieter im deutschen Markt verkauft einen Security-Check mit Preis

0 von 17

Anbieter mit buchbarem Security-Produkt mit Preis

CKS

Certified Kubernetes Security Specialist im Team

Wir haben 17 Anbieter im deutschen Markt daraufhin angesehen, ob sie einen Security-Check mit festem Umfang und Preis buchbar anbieten, Stand August 2026. Ergebnis: 0 von 17. Angeboten wird Beratung nach Aufwand. Das ist der Grund, warum hier Preise stehen.

Zu den Festpreisen

Case Study

Kubernetes on-premises in einem regulierten Umfeld

über 30

interne Entwicklerteams auf der Plattform

jedes Image

dokumentiert geprüft vor dem Produktivgang

Ein BaFin-regulierter Genossenschaftsversicherer betreibt eine self-hosted Plattform mit Rancher und Spinnaker für mehr als 30 interne Entwicklerteams. Ein eigener Audit-Service prüft jedes Container-Image dokumentiert, bevor es produktiv geht. Der Aufbau steht in der veröffentlichten Case Study.

Case Study lesen

So läuft der Check

Fünf Schritte, zwei bis fünf Werktage vom Zugang bis zum Report. Ihr braucht dafür einen lesenden Zugang und eine halbe Stunde von jemandem, der den Cluster kennt.

Umfang festlegen

Wir klären, welcher Cluster geprüft wird, welche Namespaces dazugehören und wer auf eurer Seite Ansprechpartner ist. Ergebnis ist eine Seite Umfang, die beide Seiten unterschreiben, bevor Geld fließt.

30 Minuten, vor Beauftragung

Lesenden Zugang einrichten

Ihr richtet einen Zugang mit ausschließlich lesenden Rechten ein. Wir ändern nichts an eurer Umgebung, wir spielen nichts ein, und wir starten nichts neu.

Tag 1, read-only

Abgleich gegen den CIS-Benchmark

RBAC-Rechte, Network Policies, Pod Security und ein CVE-Scan auf Images und Runtime, jeder Befund einem CIS-Prüfpunkt zugeordnet. Wo der Benchmark nicht passt, schreiben wir dazu, warum.

vier Prüfebenen

Report mit Ampel und Prioritäten

Jeder Befund bekommt eine Ampel, eine Begründung und eine Empfehlung. Sortiert wird nach Hebel, nicht nach Aufwand. Danach gehen wir den Report in 60 Minuten gemeinsam durch.

2 bis 5 Werktage

Dauerhaft halten

Die Befunde abzuarbeiten ist der eine Teil, sie abgearbeitet zu halten der andere. Wer das nicht selbst tragen will, kann uns den Betrieb übernehmen lassen, inklusive Upgrades, Patches und Rechteverwaltung.

optional, im Anschluss

Häufige Fragen zu Kubernetes Security

Aus Erstgesprächen mit CTOs, Platform-Leads und DevOps-Verantwortlichen im DACH-Raum.

Wie prüfen wir, ob unser Kubernetes-Cluster angreifbar ist?

Mit einem Abgleich der laufenden Konfiguration gegen den CIS-Benchmark. Geprüft werden vier Ebenen: RBAC-Rechte, Network Policies, Pod Security und der CVE-Stand von Images und Runtime. Ergebnis ist ein Report mit Ampel und Prioritäten, kein Werkzeug-Auswurf. Ihr braucht dafür einen lesenden Zugang, geändert wird an eurer Umgebung nichts.

Was kostet ein Kubernetes-Security-Check?

Der Self-Check ist kostenlos, 20 Punkte zum Selbst-Ausfüllen. Der Angriffsflächen-Check beginnt bei 850 EUR, der Compliance-Snapshot kostet 1.250 EUR. Beide sind Festpreise mit festem Umfang, es gibt keine Nachberechnung nach Aufwand. Welcher Weg passt, klären wir vorab in einem Termin von 30 Minuten, bevor irgendetwas beauftragt wird.

Was ist der Unterschied zwischen einem Pentest und einem Angriffsflächen-Check?

Ein Penetrationstest greift eure Umgebung aktiv an und zeigt, welcher Weg tatsächlich ausnutzbar ist. Der Angriffsflächen-Check greift nicht an: Er liest die Konfiguration und vergleicht sie mit dem CIS-Benchmark. Der aktive Test läuft über einen spezialisierten Partner, liegt erfahrungsgemäß bei etwa 8.000 EUR und dauert Wochen, der Check dauert wenige Werktage. Wer Nachweise für ein Audit braucht, sollte zuerst den Betrieb audit-fest machen.

Was ist ein CIS-Benchmark für Kubernetes?

Eine öffentliche Härtungs-Baseline des Center for Internet Security. Sie beschreibt in einzelnen Prüfpunkten, wie ein Cluster konfiguriert sein sollte: Zugriff auf den API-Server, Rechtevergabe in RBAC, Isolierung im Netz, Rechte von Pods. Wir prüfen gegen diese Baseline, damit jeder Befund nachvollziehbar ist und nicht von der Meinung des Prüfenden abhängt.

Welche Kubernetes-Fehlkonfigurationen sind am gefährlichsten?

Vier Muster tauchen fast immer auf: zu weite RBAC-Rechte, meist cluster-admin an einem Service-Account, der es nur einmal kurz brauchte. Fehlende Network Policies, sodass jeder Pod jeden erreicht. Privilegierte Container ohne Pod-Security-Grenze. Und Images mit bekannten CVEs im Dauerbetrieb. Keines davon ist exotisch, und keines fällt im Betrieb auf, solange nichts passiert.

Wie oft sollte ein Cluster geprüft werden?

Einmal als Baseline und danach bei jedem Anlass, der die Angriffsfläche verschiebt: ein Cluster-Upgrade, ein neuer Cluster, ein neues Team mit eigenen Namespaces, ein neuer eingehender Dienst. Ohne solchen Anlass reicht in der Regel eine Prüfung je Halbjahr. Wichtiger als der Rhythmus ist, dass die Befunde der letzten Prüfung abgearbeitet sind.

Was bekommen wir nach dem Check außer einem Report?

Eine Besprechung von 60 Minuten, in der wir jeden Befund durchgehen, und eine priorisierte Liste, die euer Team selbst abarbeiten kann. Auf Wunsch härten wir die Punkte gemeinsam mit euch, die ihr freigebt. Nicht enthalten sind ein Siegel, ein aktiver Angriffsversuch und eine Dauerbetreuung außerhalb der Servicezeit Mo-Fr 08:00-18:00 MEZ.

Womit eure Security-Abteilung arbeiten kann

Kein Vertrauensvorschuss, sondern Unterlagen: was im Report steht, wer ihn schreibt und was ausdrücklich nicht drin ist.

Was im Report steht

Befunde je Prüfebene, einzeln aufgeführt
Ampel je Befund, grün, gelb oder rot
Priorisierung nach Hebel, nicht nach Aufwand
Empfehlung und begründete Einordnung je Befund
Zuordnung zum jeweiligen CIS-Prüfpunkt
Zeitpunkt der Prüfung und geprüftes Cluster-Inventar

Wer prüft und wie

CKS, CKA, CKAD und KCNA im Team
ISO 27001 zertifiziert
Prüfung ausschließlich mit lesenden Rechten
Keine Änderung an eurer laufenden Umgebung
Servicezeit Mo-Fr 08:00-18:00 MEZ
Festpreis, vorab schriftlich abgestimmter Umfang

Was ausdrücklich nicht enthalten ist

Kein Siegel und keine Bescheinigung
Keine Umsetzung der Befunde im Festpreis, das Härten stimmen wir danach ab
Kein aktiver Angriffsversuch auf eure Umgebung
Keine Dauerbetreuung außerhalb der Servicezeit
Keine Rechtsberatung, dafür braucht ihr einen Anwalt
Kein Werkzeug und keine Lizenz zum Selbstbetrieb

Cluster-Check, dann härten

45 Minuten für den Cluster, den Sie schon haben. Das Audit ist Consulting, kein Tool-Trial. Wenn der Cluster-Check nicht passt, sagen wir das. Servicezeit Mo-Fr 08:00-18:00 MEZ.