Kubernetes Security · Angriffsflächen-Check
Wo euer Kubernetes-Cluster angreifbar ist: 850 EUR, Befund in 2 bis 5 Werktagen
Kurz gesagt
Der Angriffsflächen-Check prüft euren Kubernetes-Cluster gegen den CIS-Benchmark und die von außen erreichbaren Endpunkte. Ihr bekommt einen Report mit Befunden, sortiert nach Ausnutzbarkeit, plus 30 Minuten Übergabe mit dem Engineer, der geprüft hat. Festpreis 850 EUR, Befund in zwei bis fünf Werktagen. Laut Wiz Kubernetes Security Report 2025 sieht ein neu angelegter AKS-Cluster den ersten Angriffsversuch nach 18 Minuten. Der Check sagt euch, was ein Angreifer bei euch findet.
Festpreis, kein Tagessatz
ISO 27001 zertifiziert
2x Kubestronaut im Team
Warum der Verdacht ohne Befund teuer wird
51 Prozent der befragten Sicherheitsverantwortlichen nennen Fehlkonfiguration als vermutete Ursache ihrer Vorfälle (Akamai, API Security Impact 2026). Vermutet ist das Wort, das die Kosten macht.
Ein Verdacht lässt sich nicht budgetieren
Solange niemand einen Befund hat, konkurriert Security intern mit Features. Ein Verdacht verliert diesen Wettbewerb jedes Quartal aufs Neue.
Der große Test ist zu groß für den Anfang
Ein methodischer Penetrationstest kostet fünfstellig, nach unserer Erfahrung rund 8.000 EUR über einen Partner, und bindet euer Team über Wochen. Ohne konkreten Anlass rechtfertigt das intern niemand.
Das Scan-Tool liefert Zeilen, keine Rangfolge
kube-bench oder Trivy laufen in Minuten. Danach steht ein Report mit 200 Zeilen da, in dem alles gleich rot aussieht, und niemand weiß, was zuerst drankommt.
Der Markt in Zahlen
Vier Zahlen dazu, warum ein Cluster ohne geprüfte Konfiguration schneller gefunden wird, als die meisten annehmen.
18 Min. bis zum ersten Angriffsversuch
So lange dauerte es im Schnitt, bis ein frisch angelegter AKS-Cluster den ersten Angriffsversuch sah. Bei EKS waren es 28 Minuten. (Wiz, Kubernetes Security Report 2025)
46 % ohne Sicherheitsupdates
Nur 54 Prozent der untersuchten Cluster liefen auf einer Version, die noch unterstützt wird. Der Rest sammelt bekannte Lücken an, ohne dass es jemandem auffällt. (Wiz, Kubernetes Security Report 2025)
53 % fanden eine Fehlkonfiguration
So viele der Befragten haben in zwölf Monaten eine Fehlkonfiguration im Cluster entdeckt. 55 Prozent haben deswegen Deployments verzögert. (Red Hat, State of Kubernetes Security Report)
0 von 17 Anbieter zeigen einen Preis
In der eigenen Marktanalyse der DACH-Kubernetes-Anbieter hatte kein einziger ein buchbares Security-Produkt mit Preis auf der Website. Deshalb steht der Preis hier oben. (Pexon, DACH-Marktanalyse Kubernetes, August 2026)
Ab wann sich der Angriffsflächen-Check lohnt
Der Angriffsflächen-Check lohnt sich, sobald ein Cluster produktiv Daten trägt, die erste Nachweispflicht in Sicht ist oder seit dem letzten Review mehr als zwölf Monate vergangen sind.
1
produktiver Cluster mit Kundendaten
12+
Monate seit dem letzten Review
0
Aufwand in eurem Team, außer Zugang geben
Vier typische Befunde
Use Case 01
Der API-Server steht offen
Ein Team hat den Cluster für einen Test von außen erreichbar gemacht. Der Test ist vorbei, die Erreichbarkeit geblieben.
Kritisch. Ein privater Endpunkt oder eine IP-Allowlist schließt den Weg an einem Nachmittag.
Use Case 02
cluster-admin am Default-Service-Account
Eine ClusterRoleBinding hängt cluster-admin an den Default-Service-Account eines Namespace. Damit kontrolliert jeder Pod in diesem Namespace den ganzen Cluster.
Kritisch. Der Fund ist häufig, das Entfernen der Bindung dauert Minuten.
Use Case 03
Kein Default-Deny im Netzwerk
Jeder Pod spricht mit jedem. Ein kompromittierter Frontend-Pod erreicht die Datenbank direkt, ohne einen weiteren Schritt.
Hoch. Die Behebung ist Arbeit, weil zuerst bekannt sein muss, welche Wege wirklich gebraucht werden.
Use Case 04
Secrets liegen kodiert im Cluster
Zugangsdaten liegen als Kubernetes-Secret, also base64-kodiert und nicht verschlüsselt, mit Leserechten für mehr Rollen als nötig.
Hoch. Ein externer Secret-Store ist ein Projekt, das Zurücknehmen der Leserechte nicht.
Was geprüft wird und was nicht
Der Check prüft die Konfiguration und die Erreichbarkeit. Er greift eure Anwendungen nicht an, und er ersetzt keinen methodischen Penetrationstest.
Was geprüft wird
Konfiguration gegen den CIS-Benchmark · Control Plane und Worker Nodes gegen den CIS-Kubernetes-Benchmark, in der Fassung, die zu eurer Version passt.
Rechte und Erreichbarkeit · RBAC-Auswertung, cluster-admin-Streuung, von außen erreichbare Endpunkte, Dashboards und Management-Schnittstellen ohne Authentisierung.
Pods, Netzwerk und Lieferkette · Privilegierte Container, gemountete Host-Pfade, Service-Account-Token, fehlende Network Policies, Herkunft der Images.
Was er ausdrücklich nicht ist
Kein Penetrationstest · Wir entwickeln keine Exploits, testen nicht gegen eure Anwendungen und arbeiten nicht nach BSI- oder OWASP-Methodik. Wer einen prüffähigen Test braucht, bekommt ihn über unseren Partner, Erfahrungswert 8.000 EUR.
Kein Testat · Der Report ist kein Zertifikat und kein Audit-Nachweis. Er ist eine Befundliste mit Rangfolge und Sofortmaßnahmen.
Keine Behebung · Der Check sagt, wo es klemmt und was der erste Schritt wäre. Die Umsetzung ist nicht enthalten.
Wie der Angriffsflächen-Check funktioniert
1
Anfrage und Umfang
Fünfzehn Minuten: welcher Cluster, welche Umgebung, welches Zeitfenster.
2
Testerlaubnis
Ihr unterschreibt die Freigabe. Ohne sie läuft kein Scan, Paragraph 202a bis c StGB lässt da keinen Spielraum.
3
Lesezugriff
Ein Konto mit Leserechten, befristet auf das vereinbarte Fenster. Keine Änderungen, kein Datenabfluss.
4
Scan und Auswertung
Der Benchmark-Scan läuft automatisiert, die Einordnung macht ein Engineer. Das Werkzeug findet, der Mensch gewichtet.
5
Report
Jeder Befund mit Schweregrad, Auswirkung und einer Sofortmaßnahme in einem Satz, sortiert nach Ausnutzbarkeit.
6
Übergabe
Dreißig Minuten mit dem Engineer, der geprüft hat. Kein Vertriebler dazwischen.
Warum ein Festpreis-Check statt eines großen Tests
Selbst scannen
-Das Werkzeug findet, aber gewichtet nicht
-Wer die Umgebung kennt, unterschätzt sie systematisch
-Kein Dokument, das intern jemand vorzeigen kann
Gleich den großen Test
-Fünfstelliges Budget, bevor ein Anlass belegt ist
-Wochen Vorlauf und Bindung eures Teams
-Findet auch das, was ein Konfigurations-Review vorher erledigt hätte
Mit Pexon
✓850 EUR Festpreis, Befund in zwei bis fünf Werktagen
✓Rangfolge nach Ausnutzbarkeit, nicht nach Zeilenzahl
✓Anrechenbar auf Assessment oder Audit innerhalb von 60 Tagen
In vier Schritten zum Befund
1
15 Minuten
Umfang klären
Ein Gespräch, in dem Cluster, Umgebung und Zeitfenster festgelegt werden.
2
1 Tag
Freigabe und Zugang
Unterschriebene Testerlaubnis, befristetes Konto mit Leserechten. Das ist der einzige Aufwand auf eurer Seite.
3
0,5 bis 1 Tag
Scan und Auswertung
Benchmark-Scan, RBAC-Auswertung, Prüfung der erreichbaren Endpunkte, Einordnung jedes Fundes.
4
30 Minuten
Report und Übergabe
Der Report kommt schriftlich, das Übergabegespräch führt der Engineer, der geprüft hat.
Der Check zum Festpreis
Ein Cluster, ein Report, ein Übergabegespräch. Der Preis steht fest, unabhängig davon, wie viele Befunde am Ende darin stehen.
Festpreis
850 EUR
Festpreis · Befund in 2 bis 5 Werktagen
Enthält:
Enthalten · Benchmark-Scan, RBAC-Auswertung, Prüfung der erreichbaren Endpunkte, Report mit Rangfolge, 30 Minuten Übergabe.
Nicht enthalten · Behebung, Anwendungstests, Exploit-Entwicklung, ein prüffähiges Testat. Mehrere Cluster auf Anfrage.
Anrechnung · Die 850 EUR werden vollständig angerechnet, wenn ihr innerhalb von 60 Tagen ein Assessment oder Audit beauftragt.
Erstgespräch, 30 Minuten, ohne Verpflichtung
Häufige Fragen
Was ist der Unterschied zwischen einem Penetrationstest und dem Angriffsflächen-Check?
Ein Penetrationstest greift an und arbeitet nach einer Methodik, die vor einem Prüfer Bestand hat. Der Angriffsflächen-Check prüft die Konfiguration gegen den CIS-Benchmark und schaut, was von außen erreichbar ist. Er ist schneller und günstiger, aber er ersetzt keinen prüffähigen Test. Den vermitteln wir über einen Partner, Erfahrungswert 8.000 EUR.
Braucht ihr Zugriff auf unseren Cluster?
Ja, ein Konto mit Leserechten, befristet auf das vereinbarte Zeitfenster. Wer das nicht möchte, lässt unser Scan-Manifest selbst laufen und schickt uns den Output. In beiden Fällen gilt: keine Änderungen, kein Datenabfluss, und ohne unterschriebene Testerlaubnis fängt nichts an.
Was kostet der Angriffsflächen-Check?
850 EUR netto als Festpreis für einen Cluster, Befund in zwei bis fünf Werktagen. Mehrere Cluster auf Anfrage. Der Betrag wird vollständig auf ein Assessment oder Audit angerechnet, wenn ihr das innerhalb von 60 Tagen beauftragt. Der vorgelagerte Self-Check kostet nichts.
Was steht im Report?
Jeder Befund mit Schweregrad, der Auswirkung im Klartext und einer Sofortmaßnahme in einem Satz, sortiert nach Ausnutzbarkeit. Dazu die Punkte, die geprüft wurden und in Ordnung waren, damit nachvollziehbar bleibt, worüber der Report eine Aussage trifft und worüber nicht.
Wo liegen die Grenzen des Checks?
Er sieht die Konfiguration zu einem Zeitpunkt, nicht das Verhalten zur Laufzeit. Er prüft eure Anwendungen nicht und findet keine Schwachstellen in eurem Code. Er ist kein Testat und kein Audit-Nachweis. Und er behebt nichts: die Umsetzung bleibt bei euch oder wird getrennt beauftragt.
Was passiert nach dem Report?
Nichts, bis ihr entscheidet. Der Report gehört euch und lässt sich intern vorzeigen. Wer die Befunde beheben lassen will, beauftragt ein Assessment oder Hardening getrennt. Wer nur wissen wollte, wie es steht, weiß es jetzt und hat 850 EUR ausgegeben statt fünfstellig.
Nachricht senden
Kein passender Termin? Schreibt uns, wir melden uns innerhalb von 24 Stunden.
Antwort innerhalb von 24 Stunden
Unverbindliches Erstgespräch
Persönlicher Ansprechpartner
Phillip Pham
CEO @ Pexon Consulting
Aktualisiert am 20. August 2026
Sie suchen einen Partner für Ihr Projekt?
Wir analysieren Ihren individuellen Bedarf, geben erste Empfehlungen zu Umsetzungsstrategien und bieten Ihnen transparente Einblicke in unsere Methoden, Technologien und Referenzen.
Vertrieb kontaktieren
400+Projekte seit 2020
100+Kunden im DACH-Raum
ISO27001 zertifiziert
3Hyperscaler Partner