Kubernetes Security · Self-Check
Ist euer Kubernetes-Cluster angreifbar? 20 Punkte, 15 Minuten, sofort ein Ergebnis
Kurz gesagt
Der Security-Self-Check ist ein kostenloser Fragebogen mit 20 Punkten aus vier Bereichen: Zugriff, Workloads, Netzwerk und Lieferkette. Ihr füllt ihn in 15 Minuten selbst aus und seht sofort eine Ampel je Bereich und die drei dringendsten offenen Punkte. Ohne Mailadresse, ohne Gespräch. Laut Wiz Kubernetes Security Report 2025 vergehen bis zum ersten Angriffsversuch auf einen neuen AKS-Cluster im Schnitt 18 Minuten. Länger braucht ihr für den Check nicht.
ISO 27001 zertifiziert
2x Kubestronaut im Team
Betrieb aus Deutschland
20 Punkte, vier Bereiche, ein Ergebnis ohne Mailadresse
Beantwortet die 20 Fragen ehrlich. Ja gibt zwei Punkte, teilweise einen, nein oder unklar keinen. Unklar zählt wie nein: wer nicht weiß, ob eine Kontrolle greift, hat sie betrieblich nicht. Das Ergebnis steht sofort unter den Fragen.
Bereich 1
Zugriff und Control Plane
Wer darf was, und von wo aus ist der Cluster erreichbar.
1. Ist der API-Server nur über einen privaten Endpunkt oder eine IP-Allowlist erreichbar?
2. Melden sich Menschen über euren Identity Provider am Cluster an, statt über langlebige kubeconfig-Dateien?
3. Ist anonymer Zugriff auf den API-Server abgeschaltet?
4. Kennt ihr jedes Konto mit cluster-admin-Rechten, und sind es weniger als fünf?
5. Läuft Audit-Logging, und schaut jemand hinein?
Bereich 2
Workloads und Pod Security
Was ein Container darf, wenn er einmal läuft.
6. Steht Pod Security Admission in den Anwendungs-Namespaces auf restricted?
7. Laufen eure Container als non-root?
8. Ist allowPrivilegeEscalation abgeschaltet und werden Linux Capabilities gedroppt?
9. Sind privilegierte Container und hostPath-Mounts verboten oder einzeln freigegeben?
10. Haben alle Workloads CPU- und Memory-Limits?
Bereich 3
Netzwerk
Wer mit wem sprechen darf, innen wie außen.
11. Gilt in jedem Namespace eine Default-Deny-Network-Policy?
12. Ist der ausgehende Verkehr eingeschränkt, statt offen ins Internet zu laufen?
13. Kann euer CNI Network Policies überhaupt durchsetzen?
14. Läuft eingehender Verkehr über einen Ingress mit TLS-Terminierung und WAF davor?
15. Laufen Verbindungen zu Datenbanken und anderen Clustern über private Strecken?
Bereich 4
Images, Secrets und Lieferkette
Was in den Cluster hineinkommt und was darin liegt.
16. Liegen Secrets in einem externen Secret-Store statt als Base64-Objekt im Cluster?
17. Nutzen Workloads Workload Identity statt langlebiger Service-Account-Tokens?
18. Scannt eure Pipeline Images auf Schwachstellen und bricht sie bei kritischen Funden ab?
19. Sind Image-Signaturen verpflichtend und ist die Registry authentifiziert?
20. Läuft euer Cluster auf einer Version, die noch Sicherheitsupdates bekommt?
Euer Ergebnis
Noch kein Ergebnis
20 Fragen offen.
Zugriff und Control Plane
0/10
Workloads und Pod Security
0/10
Netzwerk
0/10
Images, Secrets und Lieferkette
0/10
Das Ergebnis bleibt in eurem Browser. Es wird nichts gespeichert und nichts gesendet.
Warum Security nach Bauchgefühl teuer wird
In zwölf Monaten haben 53 Prozent der befragten Unternehmen eine Fehlkonfiguration in ihrem Kubernetes-Cluster entdeckt (Red Hat, State of Kubernetes Security Report). Die übrigen haben keine gefunden. Das ist nicht dasselbe wie: keine gehabt.
Geprüft wird, was gerade einfällt
Ohne festes Raster prüft jeder das, was er kennt. Der eine schaut auf RBAC, der andere auf Images. Was niemand kennt, prüft niemand, und genau dort sitzt der Fund.
Die Fundliste wächst, die Rangfolge fehlt
Ein Scan-Tool liefert 200 Zeilen, in denen alles gleich rot aussieht. Ohne Rangfolge nach Ausnutzbarkeit wird zuerst behoben, was am schnellsten geht, nicht was am meisten schadet.
Der Nachweis fehlt genau dann, wenn er zählt
Bei der ersten NIS2-Bestandsaufnahme oder der ersten Kundenanfrage nach einem Sicherheitsnachweis lautet die Frage nicht, ob geprüft wurde, sondern wann, von wem und mit welchem Ergebnis.
Der Markt in Zahlen
Vier Zahlen dazu, warum ein Cluster ohne geprüfte Konfiguration kein Restrisiko ist, sondern ein offener Weg.
18 Min. bis zum ersten Angriffsversuch
So lange dauerte es im Schnitt, bis ein frisch angelegter AKS-Cluster den ersten Angriffsversuch sah. Bei EKS waren es 28 Minuten. Niemand muss euch dafür kennen. (Wiz, Kubernetes Security Report 2025)
53 % fanden eine Fehlkonfiguration
So viele der Befragten haben in zwölf Monaten eine Fehlkonfiguration im Cluster entdeckt. 55 Prozent haben deswegen Deployments verzögert. (Red Hat, State of Kubernetes Security Report)
51 % nennen Fehlkonfiguration als Ursache
Bei Sicherheitsvorfällen über Schnittstellen ist Fehlkonfiguration die meistgenannte vermutete Ursache. Der Schaden je Vorfall liegt im Schnitt bei rund 470.000 EUR, umgerechnet aus 540.041 USD. (Akamai, API Security Impact 2026, 540 Antworten aus DACH, Frankreich, UK)
0 von 17 Anbieter zeigen einen Preis
In der eigenen Marktanalyse der DACH-Kubernetes-Anbieter hatte kein einziger ein buchbares Security-Produkt mit Preis auf der Website. Deshalb steht der Preis hier. (Pexon, DACH-Marktanalyse Kubernetes, August 2026)
Ab wann sich ein Konfigurations-Review lohnt
Ein Konfigurations-Review lohnt sich, sobald ein Cluster produktiv läuft, mehr als drei Personen Rechte darauf haben oder die erste Nachweispflicht greift.
1
produktiver Cluster reicht
3+
Personen mit Cluster-Rechten
0
dokumentierte Prüfungen bisher
Vier Ergebnisbilder
Use Case 01
Rot in Bereich 1, grün im Rest
Ein Team hat Workloads, Netzwerk und Images im Griff, aber der API-Server ist öffentlich erreichbar und acht Konten tragen cluster-admin.
Zwei Änderungen an einem Nachmittag holen den Cluster aus Rot heraus: privater Endpunkt und Entzug von sechs Admin-Bindings.
Use Case 02
Überall gelb
Jede Kontrolle existiert irgendwo, keine flächendeckend. Network Policies in zwei von neun Namespaces, Pod Security im Audit-Modus, Scanning ohne Abbruch.
Der häufigste Fall. Die Arbeit ist nicht groß, sie ist nur nie fertig geworden.
Use Case 03
Grün, aber ohne Nachweis
Technisch sauber, dokumentiert nichts. Bei der ersten Kundenanfrage nach einem Sicherheitsnachweis steht das Team ohne Papier da.
Hier hilft kein weiteres Hardening, sondern ein Konfigurations-Report mit Datum und Verantwortlichem.
Use Case 04
Rot, weil es niemand weiß
Ein übernommener Cluster ohne Übergabe. Die Hälfte der Antworten lautet unklar, nicht nein.
Unklar zählt wie nein. Der erste Schritt ist eine Bestandsaufnahme, kein Härtungsprojekt.
Was der Check abdeckt und was nicht
Der Check fragt ab, was ihr eingerichtet habt. Er greift nichts an und prüft eure Antworten nicht nach.
Was er abdeckt
Zugriff und Control Plane · Erreichbarkeit des API-Servers, Anmeldung über Identity Provider, cluster-admin-Streuung, Audit-Logging.
Workloads und Netzwerk · Pod Security Admission, non-root, Privilegien, Default-Deny-Policies, Egress, Ingress.
Images, Secrets und Lieferkette · Secret-Ablage, Workload Identity, Scanning in der Pipeline, Signaturen, Cluster-Version.
Was er nicht leistet
Kein Test · Der Check greift nichts an. Er rechnet aus euren Antworten eine Ampel, mehr nicht.
Keine Verifikation · Eure Antworten werden nicht nachgeprüft. Wer sich zu gut einschätzt, bekommt eine zu gute Ampel.
Kein Nachweis · Das Ergebnis ist kein Testat und kein Audit-Dokument. Es ist eine Standortbestimmung für euch selbst.
Wie der Self-Check funktioniert
1
Zwei Punkte für ja
Die Kontrolle greift flächendeckend, nicht in einem Namespace als Ausnahme.
2
Ein Punkt für teilweise
Die Kontrolle existiert, aber nicht überall oder nicht erzwingend. Der Audit-Modus zählt hierher.
3
Kein Punkt für nein oder unklar
Unklar zählt wie nein. Wer nicht weiß, ob eine Kontrolle greift, hat sie betrieblich nicht.
4
Zehn Punkte je Bereich
Fünf Fragen mal zwei Punkte. Ab acht steht der Bereich auf grün, ab fünf auf gelb, darunter auf rot.
5
40 Punkte gesamt
Ab 32 Punkten steht die Gesamtampel auf grün, ab 20 auf gelb, darunter auf rot.
6
Rangfolge nach Schaden
Die drei Punkte im Ergebnis sind nicht die einfachsten, sondern die, deren Ausnutzung am meisten kostet.
Warum ein Raster statt einer Meinung
Selbst prüfen, ohne Raster
-Geprüft wird, was das Team ohnehin kennt
-Keine Rangfolge, weil der Vergleichsmaßstab fehlt
-Das Ergebnis steht in keinem Dokument
Scan-Tool allein
-200 Fundzeilen, in denen alles gleich rot aussieht
-Keine Einordnung, was davon in eurer Umgebung wirklich zählt
-Ein Toolreport ist eine Hausaufgabe, kein Ergebnis
Mit Pexon
✓Festes Raster aus vier Bereichen, gleich für jeden Cluster
✓Rangfolge nach Schaden bei Ausnutzung, nicht nach Aufwand
✓Der bezahlte Folgeschritt kostet 850 EUR und ist anrechenbar
In vier Schritten vom Ergebnis zum Befund
1
15 Minuten
Self-Check ausfüllen
Ihr beantwortet die 20 Fragen und seht die Ampel sofort. Nichts wird gespeichert.
2
1 Tag
Intern einordnen
Ihr entscheidet, welche der drei Punkte ihr selbst erledigt und wo ihr eine zweite Meinung wollt.
3
15 Minuten
Umfang und Zugang klären
Wir klären, was geprüft wird und wie der Lesezugriff aussieht. Ohne unterschriebene Testerlaubnis läuft nichts.
4
2 bis 5 Werktage
Befund und Übergabe
Der Angriffsflächen-Check prüft die Konfiguration gegen den CIS-Benchmark. Report plus 30 Minuten Übergabe mit dem Engineer, der geprüft hat.
Was das kostet
Der Self-Check kostet nichts und verlangt keine Mailadresse. Bezahlt wird erst, wenn ihr die Selbsteinschätzung gegen die echte Konfiguration prüfen lasst.
Der Self-Check
0 EUR
Self-Check · 15 Minuten · ohne Mailadresse
Enthält:
Sofort · Ampel je Bereich, Gesamtampel, die drei dringendsten offenen Punkte mit je einer Sofortmaßnahme.
Danach, freiwillig · Der Angriffsflächen-Check prüft die Konfiguration gegen den CIS-Benchmark. 850 EUR Festpreis, Report in 2 bis 5 Werktagen.
Anrechnung · Die 850 EUR werden auf ein Assessment oder Audit angerechnet, wenn es innerhalb von 60 Tagen beauftragt wird.
Erstgespräch, 30 Minuten, ohne Verpflichtung
Häufige Fragen
Was misst der Security-Self-Check?
Er misst, welche Sicherheitskontrollen in eurem Cluster eingerichtet sind, in vier Bereichen: Zugriff und Control Plane, Workloads und Pod Security, Netzwerk, Images und Lieferkette. Je Bereich fünf Fragen mit null, einem oder zwei Punkten. Daraus entsteht eine Ampel je Bereich und eine Gesamtampel.
Werden unsere Antworten gespeichert oder verschickt?
Nein. Die Auswertung läuft vollständig im Browser. Es gibt kein Formular vor dem Ergebnis, keine Mailadresse und keinen Versand an einen Server. Wenn ihr die Seite schließt, ist das Ergebnis weg. Wer es besprechen will, nutzt das Formular am Seitenende.
Was kostet der Self-Check?
Der Self-Check kostet nichts. Der bezahlte Folgeschritt, der Angriffsflächen-Check, kostet 850 EUR netto als Festpreis und liefert einen Report in zwei bis fünf Werktagen. Er wird auf ein Assessment oder Audit angerechnet, wenn dieses innerhalb von 60 Tagen beauftragt wird.
Was ist der Unterschied zum Angriffsflächen-Check?
Der Self-Check fragt euch, der Angriffsflächen-Check schaut nach. Beim Self-Check bewertet ihr selbst, was eingerichtet ist. Beim Angriffsflächen-Check prüfen wir die Konfiguration gegen den CIS-Kubernetes-Benchmark und die von außen erreichbaren Endpunkte, mit Report und Rangfolge.
Wo liegen die Grenzen des Self-Checks?
Er prüft nichts nach. Wer sich zu gut einschätzt, bekommt eine zu gute Ampel. Er sieht keine Laufzeitangriffe, keine Anwendungsschwachstellen und keine Lücken in eurem Code. Und er ist kein Nachweis: für NIS2, DORA oder eine Kundenanfrage taugt eine Selbstauskunft nicht.
Was, wenn wir bei vielen Fragen unklar antworten müssen?
Dann ist das Ergebnis rot, und das ist richtig so. Unklar zählt wie nein, weil eine Kontrolle, von der niemand weiß, ob sie greift, betrieblich nicht existiert. Der erste Schritt ist dann eine Bestandsaufnahme, kein Härtungsprojekt.
Nachricht senden
Kein passender Termin? Schreibt uns, wir melden uns innerhalb von 24 Stunden.
Antwort innerhalb von 24 Stunden
Unverbindliches Erstgespräch
Persönlicher Ansprechpartner
Phillip Pham
CEO @ Pexon Consulting
Aktualisiert am 20. August 2026
Sie suchen einen Partner für Ihr Projekt?
Wir analysieren Ihren individuellen Bedarf, geben erste Empfehlungen zu Umsetzungsstrategien und bieten Ihnen transparente Einblicke in unsere Methoden, Technologien und Referenzen.
Vertrieb kontaktieren
400+Projekte seit 2020
100+Kunden im DACH-Raum
ISO27001 zertifiziert
3Hyperscaler Partner