Wenn Sie Produktionsworkloads in der Cloud betreiben, vermuten Sie wahrscheinlich schon, dass dort etwas einen genaueren Blick verdient. Vielleicht ist die Rechnung im letzten Quartal wieder gestiegen, ein neuer Kunde hat gefragt, wie Sie seine Daten schützen, oder Sie haben eine Umgebung geerbt, die niemand im Team wirklich versteht. Diesem Bauchgefühl zu vertrauen lohnt sich, denn eine stille Fehlkonfiguration oder eine vergessene, halb genutzte Ressource repariert sich nicht von selbst. Sie wird nur teurer, je länger sie unbeachtet bleibt.
Die Antwort lautet, die Cloud-Infrastruktur bewusst zu auditieren, bevor ein Vorfall oder eine Rechnung die Entscheidung für Sie trifft. Ein ordentliches Audit greift die drei Fragen auf, denen sich jeder Cloud-Verantwortliche irgendwann stellen muss: Was ist exponiert, was wird verschwendet, und was bricht beim nächsten Traffic-Anstieg zusammen? Dieser Leitfaden zeigt, was ein Cloud-Audit untersucht, was es typischerweise findet, und wie Sie erkennen, ob Sie wirklich eines brauchen.
Ein Cloud-Infrastruktur-Audit ist eine strukturierte Überprüfung Ihrer Umgebung auf Amazon Web Services (AWS), Microsoft Azure oder Google Cloud Platform (GCP), die drei Arten von Problemen aufdeckt: Fehlkonfigurationen, die ein Sicherheitsrisiko darstellen, Ausgaben, die das Unternehmen still verschwendet, und Fragilität, die die Verfügbarkeit gefährdet. Die meisten Leitfäden zu diesem Thema hören bei der Sicherheit auf. Der interessante Teil, und der Teil, der das Audit meist bezahlt macht, ist das Geld.
Was ist ein Cloud-Infrastruktur-Audit?
Bevor wir weitermachen, zwei kurze Definitionen, denn diese Begriffe werden oft ungenau verwendet:
- Was ist Cloud-Infrastruktur? Es ist die Sammlung von Computing-Ressourcen, die Sie mieten statt zu besitzen: die Server, der Speicher, die Datenbanken, die Netzwerke und die Zugriffsregeln, die Ihr Produkt bei einem Anbieter wie AWS, Azure oder GCP betreiben.
- Was ist ein Infrastruktur-Audit? Es ist schlicht eine gründliche Gesundheitsprüfung dieser Umgebung, durchgeführt von jemandem, der weiß, wo die Leichen normalerweise begraben liegen.
Ein Cloud-Infrastruktur-Audit ist also speziell eine Gesundheitsprüfung für die Cloud. Es ist kein einzeiliger Sicherheitsscan oder die Verkaufsargumentation für ein Monitoring-Tool. Es ist eine Person oder ein kleines Team, das Ihre Umgebung methodisch durchgeht und eine unangenehme, aber nützliche Frage beantwortet: Würden wir es so bauen, wenn wir heute neu anfingen? Für Teams, die bei einem wachsenden Unternehmen Cloud-Anwendungen entwickeln und betreiben, lautet die ehrliche Antwort oft „nicht ganz“, und genau diese Lücke misst das Audit.
Cloud-Audit vs. Cloud-Sicherheitsaudit vs. Compliance-Audit: Was ist der Unterschied?
Diese drei Begriffe werden so verwendet, als bedeuteten sie dasselbe, doch der Unterschied ist entscheidend, wenn Sie festlegen, was Sie wirklich brauchen. Ein Cloud-Sicherheitsaudit stellt eine Frage: Ist irgendetwas exponiert? Ein Compliance-Audit stellt eine andere: Können wir einer externen Stelle nachweisen, dass wir ein bestimmtes Regelwerk einhalten, etwa einen Standard für das Gesundheitswesen oder für Zahlungskarten? Ein vollständiges Cloud-Infrastruktur-Audit umfasst die Sicherheitsfrage, bleibt aber nicht dabei stehen. Es fragt auch, ob sinnvoll ausgegeben wird und ob die Umgebung unter Druck standhält. Hier ist der Vergleich der drei auf einen Blick.
Hauptfrage
Ist irgendetwas exponiert?
Erfüllen wir einen bestimmten Standard?
Ist es sicher, kosteneffizient und belastbar?
Angetrieben durch
Risiken und Bedrohungen
Eine externe Anforderung oder ein Kunde
Gesamtzustand und Gesamtkosten
Deckt Kostenverschwendung ab?
Nein
Nein
Ja
Am besten geeignet, wenn
Sie eine Sicherheitslücke vermuten
Ein Prüfer oder Kunde danach fragt
Sie das vollständige Bild wollen
Der Rest dieses Leitfadens beschreibt jene dritte Spalte, das vollständige Bild, denn sie ist es, die Menschen meist auf angenehme Weise überrascht.
Was umfasst ein umfassendes Cloud-Infrastruktur-Audit?
Ein umfassendes Cloud-Infrastruktur-Audit deckt mehr Terrain ab, als die meisten erwarten, aber alles lässt sich sauber den drei genannten Befunden zuordnen. Anstatt Servicekategorien wie Speicher, Netzwerk und Identität der Reihe nach abzuarbeiten, so wie es eine Maschine tun würde, hilft es, nach dem zu ordnen, wonach das Audit eigentlich sucht. Hier ist alles auf einen Blick.
Fehlkonfiguration
Zugriffsberechtigungen, öffentliche Exposition, Verschlüsselung, Protokollierung, Abweichung von der beabsichtigten Konfiguration
Zu weitreichender Benutzerzugriff, für das öffentliche Internet offener Speicher, abgeschaltete Protokollierung, unverschlüsselte Daten
Ein Sicherheitsvorfall, ein Compliance-Verstoß oder ein sehr schlechter Montag
Mehrausgaben
Ungenutzte und vergessene Ressourcen, überdimensionierte Server, Kosten für Datenübertragung, Zuständigkeit und Tagging
Verwaiste Speicher und alte Backups, Server, die mit zehn Prozent Last laufen, überraschende Kosten für Datenübertragung
Eine Rechnung, die schneller wächst als das Geschäft
Fragilität
Backups und Wiederherstellungen, Redundanz, automatische Skalierung, Failover
Nie getestete Backups, alles an einem Standort, kein Spielraum zum Skalieren unter Last
Ausfallzeit zum denkbar ungünstigsten Zeitpunkt
Der Rest dieses Artikels widmet sich der Reihe nach jedem dieser drei Befunde.
Befund 1: Fehlkonfigurationen und Sicherheitslücken, die ein Cloud-Audit aufdeckt
Als Erstes sucht ein Audit nach allem, was anders eingerichtet ist, als beabsichtigt, denn genau dort beginnen fast immer Sicherheitsvorfälle. Die Cloud-Anbieter selbst sind extrem sicher. Das Problem steckt meist in den Einstellungen, und Einstellungen werden von vielbeschäftigten Menschen gewählt.
Ein Cloud-Sicherheitsaudit Ihrer Infrastruktur fördert meist eine vertraute Besetzung zutage. Zugriffsberechtigungen werden mit der Zeit tendenziell zu großzügig, ein Bereich, der als Identity and Access Management (IAM) bekannt ist, wo ein Praktikant von vor zwei Sommern irgendwie immer noch die Schlüssel zur Produktion hat. Speicher-Buckets oder Datenbanken werden „nur zum Testen“ für das öffentliche Internet geöffnet und nie wieder geschlossen. Auch die Konfiguration driftet, da sich die Lücke zwischen dem, was Ihre Einrichtung sein soll, und dem, was sie still und leise geworden ist, vergrößert, ein Problem, das sich verschärft, wenn Teams ihre Umgebung als Code beschreiben, eine Praxis namens Infrastructure as Code (IaC), dann aber manuelle Anpassungen vornehmen, von denen der Code nie erfährt. Darunter liegen die stillen Grundlagen: abgeschaltete Protokollierung, unverschlüsselt belassene Daten und Standardpasswörter, die nie jemand geändert hat.
Nichts davon ist exotisch, und genau das ist der Punkt. Der finanzielle Einsatz dagegen ist nicht gering. Laut IBMs Cost of a Data Breach Report 2025 betrugen die weltweiten durchschnittlichen Kosten einer Datenschutzverletzung 4,44 Millionen Dollar, und Organisationen in den USA verzeichneten im Schnitt 10,22 Millionen Dollar. Ein gutes Audit misst Ihre Konfiguration an etablierten Basiswerten wie den CIS Benchmarks, die vom Center for Internet Security veröffentlicht werden, sodass die Befunde auf einem Branchenstandard beruhen und nicht auf der Meinung eines einzelnen Prüfers. Wenn Sie Sicherheit früher angehen möchten, an dem Punkt, an dem Software entworfen wird, statt erst nach der Auslieferung, beschreibt unser Leitfaden zu SDLC-Best-Practices, wie man sie schon ab dem ersten Anforderungsmeeting einbaut.
Das sind keine hypothetischen Probleme. Bei einem Backend-Audit, das Redwerk für Complete Network durchführte, einen IT-Dienstleister mit Sitz in Charlotte, fand unsere Überprüfung sensible Daten in öffentlich zugänglichen Ordnern und einen Datenbank-Backup-Prozess, der so manuell war, dass er ein echtes Zuverlässigkeitsrisiko darstellte, die Art von Einrichtung, die funktioniert, bis zu dem Tag, an dem sie es nicht mehr tut. Die Überprüfung meldete insgesamt 40 kritische Probleme und skizzierte rund 400 Arbeitsstunden, um sie zu beheben. Den vollständigen Bericht können Sie in der Fallstudie zum Project-Science-Audit nachlesen.
Befund 2: Mehrausgaben, oder wofür Sie zahlen, ohne es zu nutzen
Hier geht ein Cloud-Audit von Redwerk dorthin, wo die meisten sicherheitsfokussierten Überprüfungen nicht hingehen, und dort zahlt sich das Audit meist von selbst aus. Die weltweiten Ausgaben für öffentliche Cloud-Dienste dürften laut Gartner 2025 723 Milliarden Dollar erreichen, und ein beachtlicher Teil des Anteils jedes Unternehmens an dieser Summe fließt in Dinge, die tatsächlich niemand nutzt.
Die Verschwendungsmuster sind von Unternehmen zu Unternehmen bemerkenswert konsistent. Verwaiste Ressourcen häufen sich zuerst an: Speichervolumes, die noch an vor Monaten gelöschte Server angehängt sind, ungenutzte Load Balancer, die still und leise stundenweise abgerechnet werden, und alte Backup-Snapshots, die verstauben wie Quittungen in einer Schublade. Überdimensionierte Server, die „zur Sicherheit“ gewählt wurden, laufen jetzt mit zehn Prozent ihrer Kapazität, während zu hundert Prozent abgerechnet wird. Die Kosten für Datenübertragung, also die Gebühren, die Sie zahlen, um Informationen aus der Cloud oder zwischen Regionen zu bewegen, neigen dazu, aus dem Ruder zu laufen, bevor jemand daran denkt, sie zu überwachen. Und darunter liegt das Tagging-Problem: Wenn Ressourcen nicht mit einem Verantwortlichen gekennzeichnet sind, fühlt sich niemand dafür zuständig, etwas abzuschalten.
Der Grund, warum diese Verschwendung fortbesteht, ist nicht Faulheit. Es liegt daran, dass keine einzelne Person das Gesamtbild sehen kann und jede einzelne Ressource zu klein erscheint, um sich damit zu befassen. Ein Audit summiert sie auf, stellt jedem Muster einen monatlichen Betrag gegenüber und übergibt Ihnen eine priorisierte Liste dessen, was zuerst gekürzt werden sollte. Diese Liste macht den Unterschied zwischen einer Rechnung, die mit Ihrem Geschäft wächst, und einer, die schneller wächst. Sie gut zu kürzen ist ein zentraler Bestandteil laufender DevOps-Beratung zur Cloud-Optimierung, wodurch diese Einsparungen dauerhaft werden, statt einer einmaligen Aufräumaktion.
Befund 3: Fragilität, oder was zusammenbricht, wenn etwas schiefgeht
Der dritte Befund ist derjenige, über den Teams am wenigsten gern nachdenken, weil er erst an dem Tag zählt, an dem ohnehin schon alles andere schiefläuft. Fragilität ist die Lücke zwischen „wir haben Backups“ und „wir haben getestet, dass unsere Backups tatsächlich wiederherstellen“. Diese beiden Sätze wirken ähnlich und liegen doch Welten auseinander.
Ein Cloud-Infrastruktur-Audit unterzieht die Annahmen, die Sie bequem getroffen haben, einem Stresstest. Existieren die Backups überhaupt, und hat jemand jemals tatsächlich daraus wiederhergestellt, um zu bestätigen, dass sie funktionieren? Läuft alles an einem einzigen Standort, bekannt als Availability Zone, sodass eine regionale Störung das gesamte Produkt lahmlegt? Kann das System automatisch hochskalieren, wenn eine Marketingkampagne besser läuft als erwartet, oder bricht es kurz vor dem Ziel einfach zusammen? Und wurde Ihr Failover, die automatische Umschaltung auf ein Backup-System, jemals geprobt, oder ist es ein Plan auf einem Whiteboard, von dem alle hoffen, dass er funktioniert?
Die Kosten, dies falsch zu machen, werden leicht unterschätzt, bis es passiert. In der Annual Outage Analysis 2025 des Uptime Institute gaben 54 Prozent der Organisationen an, dass ihr letzter bedeutender Ausfall mehr als 100.000 Dollar gekostet habe, und jede fünfte gab an, dass ihrer mehr als eine Million Dollar gekostet habe. Fragilität ist kein theoretisches Risiko. Sie ist ein Posten, der nur darauf wartet einzutreten, und ein Audit findet ihn, solange noch Zeit bleibt, ihn in aller Ruhe zu beheben.
Cloud-Fehlkonfigurationen bei AWS, Azure und GCP: Wo sie sich unterscheiden
Die meisten Fehlkonfigurationen ähneln sich bei den drei großen Anbietern, doch jede Plattform hat ihre eigenen Lieblingsfallen, und ein guter Prüfer weiß, wo er je nach genutzter Plattform zuerst nachsehen muss. Sie müssen sich davon nichts merken. Es ist einfach nützlich zu wissen, dass „unsere Cloud ist in Ordnung“ bei jedem Anbieter etwas leicht anderes bedeutet.
Amazon Web Services (AWS)
Speicher und Zugriffsrollen, die aus Bequemlichkeit geöffnet und nie wieder eingeschränkt wurden
Microsoft Azure
Zu weitreichende Zugriffszuweisungen und Netzwerkregeln, die Verwaltungsports offen lassen
Google Cloud Platform (GCP)
Weitreichende Berechtigungen auf Projektebene, die Personen weit mehr Zugriff geben, als eine einzelne Aufgabe erfordert
Das zugrunde liegende Muster ist bei allen dreien identisch. Zugriff und Exposition werden mit der Zeit freizügiger, weil das Lockern einer Einstellung das heutige Problem löst und danach fast niemand zurückkehrt, um sie wieder zu verschärfen. Genau diese langsame, unsichtbare Drift soll ein Cloud-Infrastruktur-Audit aufspüren.
Wie man eine Cloud-Umgebung auditiert: der Prozess Schritt für Schritt
Wenn Sie sich fragen, wie man eine Cloud-Umgebung in der Praxis auditiert: Der Prozess ist geordneter, als er klingt. Ein gutes Audit folgt ungefähr fünf Schritten, und keiner davon erfordert, Ihr Produkt offline zu nehmen.
- Bestandsaufnahme machen. Listen Sie jede tatsächlich laufende Ressource auf, was fast immer mehr ist, als das Team an Bereitstellungen in Erinnerung hat.
- Nur-Lese-Zugriff erhalten. Ein vertrauenswürdiges Audit schaut, fasst aber nichts an, sodass der Prüfer mit reinen Anzeigeberechtigungen arbeitet und nichts versehentlich ändern kann.
- Automatisierte Prüfungen durchführen, dann manuell überprüfen. Tools erkennen offensichtliche Fehlkonfigurationen und Kostenanomalien schnell, aber ein Mensch entscheidet, welche Befunde für Ihr Geschäft tatsächlich relevant sind und welche Rauschen sind.
- Befunde priorisieren. Jedes Problem wird nach Risiko und Kosten eingestuft, sodass Sie die offene Datenbank beheben, bevor Sie eine unordentlich benannte Ressource umbenennen.
- Einen Fahrplan liefern. Das Audit endet mit einem klaren, geordneten Plan, was zu beheben ist, was dadurch gespart oder geschützt wird und was gefahrlos warten kann.
Der ganze Sinn besteht darin, dass Sie mit Entscheidungen abschließen, nicht mit einem 200-seitigen Bericht, der in einer Schublade landet. Eine vielbeschäftigte Führungskraft sollte die Zusammenfassung in zehn Minuten lesen und genau wissen, was als Nächstes zu tun ist.
Wann Sie ein umfassendes Cloud-Infrastruktur-Audit brauchen (und wann nicht)
Ehrlichkeit ist hier nützlicher als eine Verkaufsargumentation, seien wir also offen darüber, wann Sie das überspringen können. Wenn Sie über ein erfahrenes internes Team mit freien Kapazitäten, ausgereiftes Tooling, das Ihre Umgebung kontinuierlich überwacht, und die Gewohnheit verfügen, Zugriff und Ausgaben jedes Quartal zu überprüfen, brauchen Sie möglicherweise überhaupt kein externes Audit. Machen Sie weiter wie bisher.
Wirklich benötigen Sie eines, wenn ein paar vertraute Situationen zutreffen. Vielleicht haben Sie eine Umgebung geerbt, die jemand anderes gebaut hat, und Sie trauen ihr nicht vollständig. Schnelles Wachstum ist ein weiterer Auslöser, wenn sich die Cloud-Einrichtung ohne viel Governance ausdehnt, während alle mit dem Ausliefern beschäftigt sind. Eine Finanzierungsrunde, eine Übernahme oder ein großer Unternehmenskunde mit harten Sicherheitsfragen bringen den Bedarf ebenfalls ans Licht. Und manchmal ist es einfacher als all das: Sie haben nicht die internen Cloud-Spezialisten, um es glaubwürdig selbst zu tun, und ziehen es vor, Leute hinzuzuziehen, die solche Umgebungen beruflich auditieren, statt Ihre besten Ingenieure drei Wochen lang von der Roadmap abzuziehen. Für Letzteres muss man sich nicht schämen. Es ist meist die günstigere Wahl.
Wie Redwerk ein Cloud-Infrastruktur-Audit durchführt
Redwerk baut und rettet seit rund zwanzig Jahren Software, und ein beträchtlicher Teil dieser Arbeit beginnt damit, eine von jemand anderem eingerichtete Umgebung zu entwirren. Wenn wir Cloud-Infrastruktur auditieren, setzen wir erfahrene Ingenieure ein, die AWS, Azure und GCP bereits kennen, statt Generalisten, die Ihren Stack auf Ihre Kosten erst lernen. Wir arbeiten mit Nur-Lese-Zugriff, wir handeln schnell, weil wir das schon oft getan haben, und wir liefern Befunde zurück, die sowohl an Risiko als auch an echte monatliche Einsparungen geknüpft sind, keine Wand aus Fachjargon.
Wenn Sie lieber ein Team, das dieses Terrain bereits kennt, Ihre Umgebung sorgfältig prüfen lassen möchten, erfahren Sie hier, wie Redwerk an ein Software- und Infrastruktur-Audit herangeht. Sie erhalten einen priorisierten Fahrplan, auf dessen Basis Sie handeln können, egal ob Sie es selbst beheben oder uns darum bitten.
Häufig gestellte Fragen
Wie auditiert man Cloud-Infrastruktur?
Man auditiert Cloud-Infrastruktur, indem man eine vollständige Bestandsaufnahme dessen macht, was läuft, sie über Nur-Lese-Zugriff überprüft, automatisierte Prüfungen auf Fehlkonfigurationen und Kostenverschwendung durchführt und die Ergebnisse anschließend manuell überprüft und nach Risiko und Kosten einstuft. Das Audit endet mit einem priorisierten Fahrplan, was zuerst zu beheben ist.
Was umfasst ein Cloud-Infrastruktur-Audit?
Ein Cloud-Infrastruktur-Audit umfasst eine Überprüfung der Zugriffsberechtigungen und Identität, der öffentlichen Exposition von Ressourcen, der Verschlüsselung und Protokollierung, der Ausgaben und ungenutzten Ressourcen sowie von Resilienzfaktoren wie Backups, Redundanz und Failover. Kurz gesagt deckt es Fehlkonfiguration, Mehrausgaben und Fragilität in Ihrer AWS-, Azure- oder GCP-Umgebung ab.
Wie finde ich Fehlkonfigurationen in meiner Cloud-Umgebung?
Der schnellste Weg, Fehlkonfigurationen zu finden, besteht darin, Ihre aktuellen Einstellungen mit einer etablierten Baseline wie den CIS Benchmarks zu vergleichen, nach zu weitreichenden Zugriffsberechtigungen und öffentlich exponiertem Speicher zu suchen und nach Abweichungen zwischen der beabsichtigten Einrichtung und dem, was tatsächlich läuft, zu suchen. Automatisierte Tools markieren die offensichtlichen Fälle; ein Prüfer bestätigt, welche davon wirklich relevant sind.
Wie viel kostet ein Cloud-Infrastruktur-Audit, und wie lange dauert es?
Das hängt von der Größe und Komplexität Ihrer Umgebung ab, aber die meisten gezielten Audits für ein mittelgroßes Unternehmen dauern eher ein paar Wochen als Monate, und die auf der Ausgabenseite identifizierten Einsparungen decken häufig die Kosten des Audits selbst. Je mehr Ressourcen und Konten Sie betreiben, desto länger dauert die Überprüfung.
Wie oft sollten Sie Ihre Cloud-Umgebung auditieren?
Ein vollständiges Audit einmal jährlich ist eine sinnvolle Basis, dazu eine erneute Überprüfung, sobald sich etwas Größeres ändert, etwa eine große Migration, ein schneller Wachstumsschub oder die Übernahme einer Umgebung von einem anderen Team. Die kontinuierliche Überwachung übernimmt das Tagesgeschäft; das periodische Audit erfasst, was die Überwachung im Stillen übersieht.
Erfahren Sie, wie wir ein Audit einer Netzwerk-Mapping-App durchgeführt haben und Codebase-Gesundheit und Sicherheit geprüft haben
