Für wen

Ein SaaS- oder Produktteam mit Live- oder Near-Live-Stack auf AWS, Kubernetes oder VPS — ohne klares Bild von Exposure, Secrets oder Blast Radius.

Auslöser: Kundenfragebogen, Cyber-Versicherungs-Assessment, Incident-Schrecken oder Launch ohne Security-Sign-off.

Ich prüfe die vereinbarte Oberfläche (App, API, IAM, Netz, CI) und liefere priorisierte Findings plus Fix-Reihenfolge — oder setze Fixes um, wenn das SoW das sagt. Für Multi-Cloud-Landschaften nutze ich Prowler (Open Source und Prowler Cloud) für AWS, Azure, GCP und Microsoft 365.

Werkzeuge

Reviews kombinieren manuelle App- und Architektur-Arbeit mit Automation, wo sie Abdeckung beschleunigt. Prowler ist eines der Tools für Cloud-Posture — dieselbe Familie, die ich in Produktion für HDI Cyquins (deutsche Cyber-Versicherungs-Assessments) betreibe.

HDI-Cyquins-Case auf meiner AWS-Seite

Das bekommen Sie

• ✓Threat-orientiertes Review von App- und API-Oberflächen
• ✓Check von Cloud-IAM, Secrets und Netz-Exposure
• ✓Multi-Cloud-Scans mit Prowler, wenn AWS, Azure, GCP oder M365 im Scope sind
• ✓Notizen zu Dependency- und Config-Risiken
• ✓Priorisierte Findings (kritisch → niedrig) mit Fix-Hinweisen
• ✓Executive Summary für Stakeholder
• ✓Schriftliches Statement of Work mit Festpreis

Erster Schritt

Im Gespräch wird die Audit-Grenze gezogen. Danach ein abgegrenztes Statement of Work mit Liefergegenständen und Preis.

Scope

Ein Produkt oder ein Cloud-Account: benannte Umgebungen, Repos und Angriffsflächen.

Liefergegenstände

Schriftliche Findings, Severity-Ranking, Remediation-Notizen, optional Re-Test-Fenster.

Dauer

Vereinbart im Statement of Work.

Nicht enthalten

Pentest außerhalb des Scopes, 24/7-SOC und unbenannte Systeme.

Preis

Auf Anfrage.