CSPMund CNAPP.
CSPM prüft Cloud-Konfigurationen in AWS, Azure, Google Cloud und weiteren Plattformen fortlaufend gegen Regeln, Benchmarks und Compliance-Vorgaben. CNAPP verbindet diese Sicht mit Workload-Schutz, Berechtigungsanalyse und Code-Scan und verknüpft die Befunde zu Angriffspfaden.
Konfiguration sichtbar machen.
CSPM verbindet Konten, Ressourcen, Konfigurationen und Richtlinien von AWS, Azure, Google Cloud und weiteren Plattformen. Das Ergebnis ist ein Befund mit technischem Kontext und einer möglichen Korrektur.
CNAPP erweitert CSPM um weitere Disziplinen wie Workload-, Code- oder Laufzeitschutz. CIEM fokussiert Berechtigungen. Ein CSPM-Fund ist noch keine Priorität: Exposition, Kritikalität und Owner müssen hinzukommen.
Was ist offen, und wohin führt es?
Bei Cloud-Diensten betreibt der Anbieter die Infrastruktur, die Konfiguration darauf verantwortet der Kunde: Firewall-Regeln wie Security Groups, IAM-Berechtigungen, Verschlüsselung und öffentliche Freigaben von Speichern. Cloud Security Posture Management (CSPM) prüft genau diese Kundenseite. Das Werkzeug liest über die Programmierschnittstellen der Cloud-Anbieter mit Leserechten ein Inventar aller Konten, Abonnements und Projekte aus und vergleicht jede Ressource fortlaufend mit Regeln. Grundlage sind eigene Richtlinien und Benchmarks wie die CIS Foundations Benchmarks, dazu Abbildungen auf Regelwerke wie ISO 27001, PCI DSS oder NIST. Das Ergebnis sind Befunde je Ressource und ein Compliance-Stand je Konto.[1,2]
Eine Cloud Native Application Protection Platform (CNAPP) erweitert diesen Blick. Sie nimmt Workloads (CWPP), Berechtigungen (CIEM), Daten, Kubernetes und Infrastrukturcode dazu. Für Workloads gibt es zwei Wege. Agentenlos erstellt die Plattform Snapshots der virtuellen Disks, analysiert sie in einer isolierten Umgebung auf Schwachstellen, Secrets und Malware und löscht die Kopie danach wieder. Agentenbasiert läuft ein Sensor im Workload und sieht Prozesse und Netzverbindungen zur Laufzeit. Viele Plattformen kombinieren beides: agentenlos für die Breite, Sensor für kritische Systeme. Für Kubernetes prüft die Variante KSPM Cluster-Konfiguration und Rollen, und DSPM zeigt, wo sensible Daten liegen und welche Identitäten darauf zugreifen können.[3,4,5,6]
Der eigentliche Mehrwert entsteht in der Verknüpfung. Ein offener Port allein ist ein Befund; ein offener Port auf einer VM mit ausnutzbarer Schwachstelle, deren Identität Leserechte auf einen Speicher mit Kundendaten hat, ist ein Angriffspfad. Plattformen bilden dazu einen Graphen aus Ressourcen, Identitäten, Netzwegen und Daten und priorisieren nach erreichbaren Zielen statt nach Einzelschwere. Im Open-Source-Werkzeug Prowler entsteht ein solcher Graph aus dem Inventar und den Prüfbefunden.[7,8]
Behebung läuft auf drei Ebenen: als Anleitung für den Kontoverantwortlichen, als automatische Korrektur über Playbooks oder Richtlinien, wie sie etwa Cloud Custodian als Policy as Code umsetzt, und vorgelagert im Code, wenn Terraform- oder CloudFormation-Vorlagen vor dem Deployment geprüft werden. Wiederkehrende Befunde wandern so idealerweise als Leitplanke in die Pipeline.[9]
Typische Probleme
| Problem | Wie man es löst |
|---|---|
| Tausende Befunde ohne Eigentümer | Jedes Konto bringt Hunderte Regelverletzungen mit, niemand fühlt sich zuständig. Lösung: Konten und Ressourcen über Tags einem Team zuordnen, Befunde automatisch dorthin leiten und zuerst nur exponierte oder kritische Ressourcen behandeln. |
| Lücken in der Abdeckung | Neue Konten, Abonnements oder Regionen entstehen ohne Anbindung. Lösung: Anbindung auf Organisationsebene, sodass neue Konten automatisch erfasst werden, und den Anteil angebundener Konten als Kennzahl führen.[10] |
| Compliance-Score als Ziel | Ein hoher Prozentwert entsteht auch dann, wenn viele unkritische Regeln erfüllt und wenige kritische verletzt sind. Lösung: nach Angriffspfaden und Datenexposition steuern, den Score nur als Hygieneindikator lesen; zudem prüfen, wie vollständig ein Benchmark im Werkzeug umgesetzt ist.[2] |
| Automatische Behebung bricht Produktion | Ein Playbook schliesst einen Port, den eine Anwendung braucht. Lösung: Automatik nur für eindeutige, umkehrbare Fälle wie öffentliche Speicherfreigaben, alles andere über Ticket mit Frist.[9] |
| Drift zwischen Code und Cloud | Eine Korrektur in der Konsole wird beim nächsten Terraform-Lauf überschrieben. Lösung: Behebung im Infrastrukturcode vornehmen und denselben Regelsatz vor dem Deployment prüfen. |
| Kosten und Rechte des Scans | Snapshot-Scans brauchen Rechte und verursachen Cloud-Kosten, bei Scans im eigenen Konto auch Infrastruktur. Lösung: Rollen auf Leserechte beschränken und Scan-Modus sowie Kosten im Pilot messen.[10] |
Auswahlfragen
| Frage | Worauf die Antwort hinweisen sollte |
|---|---|
| Welche Clouds, Dienste und Regionen deckt das Produkt heute ab, und was davon nur in einer höheren Lizenzstufe? | Die Antwort sollte eine Liste je Anbieter und Dienst enthalten, keine allgemeine Multi-Cloud-Aussage. |
| Wie werden Workloads geprüft, agentenlos, mit Sensor oder beides, und wo läuft der Scan? | Hinweis auf Snapshot-Verfahren, Speicherort der Kopien, Löschfristen und Option für Scans im eigenen Konto. |
| Wie entsteht die Priorisierung? | Erwartet wird eine nachvollziehbare Verknüpfung von Exposition, Schwachstelle, Identität und Daten, nicht nur ein Schweregrad je Regel. |
| Welche Behebungen laufen automatisch, und wie wird eine Automatik freigegeben und zurückgenommen? | Gute Antworten nennen Freigabestufen, Protokollierung und Ausschlüsse je Konto. |
| Wie gelangen Regeln in die Entwicklung? | Gefragt sind IaC-Prüfung in CI/CD und dieselbe Regelbasis für Code und laufende Cloud. |
| Wo liegen Befunde und Inventardaten, und wer beim Hersteller kann sie sehen? | Erwartet werden Region (z. B. EU), Aufbewahrungsdauer und Zugriffsregeln, da das Inventar die Angriffsfläche vollständig beschreibt. |
| Wie wirkt sich ein Eigentümerwechsel des Herstellers auf Roadmap und Vertrag aus? | Bei übernommenen Produkten sollte die Antwort Supportzusagen und Migrationswege konkret benennen. |
Betrieb und Verantwortung
Das Cloud-Plattform-Team bindet Konten an und setzt Leitplanken um, Security definiert Regeln, Ausnahmen und Prioritäten, die Konto- und Anwendungsverantwortlichen beheben Befunde. Ausnahmen brauchen eine Begründung, einen Eigentümer und ein Ablaufdatum. Sinnvolle Kennzahlen sind der Anteil angebundener Konten, die Zeit bis zur Behebung kritischer Befunde und Angriffspfade sowie der Anteil der Regeln, die bereits vor dem Deployment geprüft werden.
Regulatorischer Bezug
ISO/IEC 27001:2022 adressiert das Thema in Annex A vor allem über 5.23 «Information security for use of cloud services», 8.9 «Configuration management» und 8.8 «Management of technical vulnerabilities». NIS2 verlangt in Art. 21 Abs. 2 unter anderem Konzepte für Risikoanalyse und Sicherheit der Informationssysteme sowie Sicherheit bei Erwerb, Entwicklung und Wartung; DORA fordert in Art. 8 die Identifizierung der IKT-Assets und in Art. 9 Schutz- und Präventionsmassnahmen. In Deutschland beschreibt der IT-Grundschutz-Baustein OPS.2.2 «Cloud-Nutzung» unter anderem Verantwortungsbereiche und die Aufrechterhaltung der Sicherheit im laufenden Betrieb; in der Schweiz verlangt das FINMA-Rundschreiben 2023/1 ein Inventar der IKT-Bestandteile und Verfahren zur Identifikation von Schwachstellen.[12,13,14,15,16,17,18,19]
Quellen: [1] aws.amazon.com · [2] docs.trendmicro.com · [3] learn.microsoft.com · [4] learn.microsoft.com · [5] wiz.io · [6] tenable.com · [7] github.com · [8] cloud.google.com · [9] cloudcustodian.io · [10] cortex-docs.paloaltonetworks.com · [11] learn.microsoft.com · [12] opensecurityarchitecture.org · [13] eur-lex.europa.eu · [14] eur-lex.europa.eu · [15] nis-2-directive.com · [16] digital-operational-resilience-act.com · [17] digital-operational-resilience-act.com · [18] bsi.bund.de · [19] finma.ch
Vierzehn Werkzeuge im Vergleich.
CSPM prüft die Konfiguration von Cloud-Konten fortlaufend gegen Regeln und Benchmarks; viele Anbieter liefern es heute als Teil einer CNAPP, die zusätzlich Workloads, Identitäten, Code und Laufzeit abdeckt. Drei Produktformen prägen das Feld: unabhängige CNAPP-Plattformen, die Sicherheitsdienste der Cloud-Anbieter selbst wie Microsoft Defender for Cloud und Google Security Command Center, und Open-Source-Werkzeuge wie Prowler. Die Produkte unterscheiden sich vor allem darin, ob sie Workloads agentenlos über Disk-Snapshots prüfen, ob ein Laufzeitsensor dazukommt und wie sie Einzelbefunde zu Angriffspfaden verknüpfen. Die Eigentumsverhältnisse haben sich verschoben: Google hat die Übernahme von Wiz am 11.03.2026 abgeschlossen, und Check Point hat am 11.02.2025 angekündigt, seine CNAPP-Kunden zu Wiz zu migrieren. Palo Alto Networks hat am 13.02.2025 Cortex Cloud als nächste Version von Prisma Cloud vorgestellt; die selbst betriebene Prisma Cloud Compute Edition wird weiter gepflegt (Release 34.05 vom 11.10.2026). Fortinet führt die Lacework-Technologie seit der Übernahme 2024 als FortiCNAPP, Tenable (Ermetic, 2023) und SentinelOne (PingSafe, 2024) haben Cloud-Spezialisten übernommen.
Multi-Cloud: AWS, Azure und GCP · Agentenlos: agentenloser Workload-Scan per Snapshot · CNAPP: CNAPP-Module CWPP/CIEM im selben Produkt · Compliance: Compliance-Benchmarks · Behebung: automatische Behebung · Angriffspfade: Angriffspfadanalyse · Code-zu-Cloud: Code-zu-Cloud/IaC. ● = auf offizieller Hersteller- oder Projektseite beschrieben, – = nicht belegt (nicht zwingend nicht vorhanden). Auswahl nicht abschliessend, keine Rangliste. Stand: Oktober 2026.
Wiz Cloud (CSPM in der Wiz-Plattform)
Wiz (Google)
AWS, Azure, Google Cloud, OCI und Alibaba Cloud sowie Kubernetes; das Inventar entsteht über die APIs der Cloud-Anbieter ohne Agenten.
Konfigurationsregeln, KSPM-Regeln und über 250 eingebaute Frameworks wie PCI DSS und CIS Benchmarks werden fortlaufend gegen das Inventar geprüft.
Der Wiz Security Graph verknüpft Fehlkonfigurationen mit Exposition, Identitäten, Schwachstellen und Daten zu Angriffspfaden; der Wiz Sensor ergänzt die Erkennung zur Laufzeit.
Der IaC-Scan für Terraform, CloudFormation und ARM erkennt Fehlkonfigurationen vor dem Deployment; automatische Behebung lässt sich je Regel einrichten.
SaaS mit Anbindung über die Cloud-APIs; Google bestätigt, dass Wiz auf AWS, Azure, Google Cloud und Oracle Cloud verfügbar bleibt.
Organisationen mit mehreren Clouds, die Konfiguration, Identitäten, Daten und Workloads in einem gemeinsamen Risikobild bewerten wollen.
Ein Graph verbindet Konfiguration, Identität, Schwachstellen und Daten, sodass Befunde als zusammenhängende Angriffspfade erscheinen.
Die Korrektur von Berechtigungen beschreibt Wiz als geführte Schritte mit generierten Least-Privilege-Richtlinien; das Anwenden bleibt beim Kunden.
Cortex Cloud
Palo Alto Networks
Die Onboarding-Schnittstelle bindet AWS, Azure, Google Cloud, OCI und Alibaba Cloud an; das Inventar umfasst Compute, Container, Serverless, Daten, KI-Dienste, Identitäten und Netze.
Risiken aus Schwachstellen, Fehlkonfigurationen, Berechtigungen, Maschinenidentitäten und Datenexposition werden gemeinsam bewertet; eingebaute Standards umfassen PCI DSS, HIPAA, GDPR, NIST und ISO.
Die Angriffspfadanalyse verknüpft Einzelrisiken, etwa eine zu weit berechtigte Identität mit Zugang zu einem sensiblen Datenspeicher; den Laufzeitschutz übernimmt der Cortex-XDR-Agent.
Mitgelieferte Remediation-Playbooks und ein No-Code-Assistent für eigene Abläufe; Cloud-Daten und Fälle fliessen in Cortex XSIAM.
Der Scan läuft wahlweise im Cortex-Cloud-Dienst (MANAGED) oder auf eigener Infrastruktur in einem dedizierten Cloud-Konto (OUTPOST); OCI und Alibaba Cloud nur MANAGED.
Bestehende Prisma-Cloud-Kunden mit Upgrade-Pfad und Organisationen, die Cloud-Posture, Laufzeitschutz und SOC auf einer Plattform betreiben wollen.
Posture, Laufzeitschutz und SOC-Abläufe liegen auf derselben Plattform.
Die Least-Privilege-Funktion liefert angepasste Richtlinien als JSON, Terraform oder CloudFormation (nur AWS) zum Download; das Anwenden erfolgt durch den Kunden.
Orca Cloud Security Platform
Orca Security
AWS, Azure, Google Cloud, Oracle Cloud, Alibaba Cloud und Tencent Cloud; CSPM, CWPP und CIEM laufen in einer Plattform.
SideScanning liest Workloads agentenlos aus; die Konfiguration wird gegen über 150 Branchen- und Regulierungsframeworks geprüft.
Angriffspfade werden bewertet, priorisiert und als Graph dargestellt.
Behebungscode lässt sich über IaC-Werkzeuge ausrollen; das Modul Code Securely prüft Code, bevor er in Produktion geht.
SaaS mit regionalen Instanzen (USA, Europa, Australien, US-Gov); für Laufzeitbeobachtung gibt es zusätzlich den Orca Sensor.
Umgebungen, in denen Agenten auf Workloads unerwünscht oder schwer durchsetzbar sind und trotzdem Schwachstellen und Konfiguration gemeinsam bewertet werden sollen.
Agentenlose Sicht auf Workloads, Konfiguration und Identitäten aus einer Anbindung, mit automatischer oder geführter Behebung.
Laufzeitbeobachtung und Schutz im Workload erfordern den zusätzlichen Orca Sensor.
Falcon Cloud Security
CrowdStrike
AWS, Azure, Google Cloud und OCI; Cloud-Assets werden fortlaufend agentenlos erkannt.
CSPM prüft gegen eingebaute Benchmarks wie NIST, CIS, FedRAMP, PCI DSS, HIPAA und GDPR sowie gegen eigene Frameworks.
Angriffspfade werden über eine Graphdatenbank sichtbar; Cloud Detection and Response beobachtet Aktivität in der Control Plane und korreliert sie mit Endpunkt- und Identitätsdaten.
Die Plattform verbindet agentenlose Sicht mit dem Falcon-Sensor und umfasst Module für CWPP, CIEM, ASPM, DSPM und IaC-Scanning.
Cloud-Dienst innerhalb der Falcon-Plattform, die Endpunkt-, Identitäts- und Cloud-Signale gemeinsam auswertet.
Organisationen mit Falcon-Endpunktschutz, die Cloud-Befunde und Cloud-Angriffe im selben SOC bearbeiten wollen.
Cloud-Posture und Angriffserkennung laufen mit Endpunkt- und Identitätsdaten in einer Plattform zusammen.
Die CSPM-Seite beschreibt geführte Behebung, und IaC-Scanning ist als eigenes Produkt geführt.
Tenable One Cloud Exposure (früher Tenable Cloud Security)
Tenable
AWS, Azure und Google Cloud, laut Lösungsseite auch OCI; Fehlkonfigurationen, Schwachstellen in VMs, Containern, Registries und Kubernetes.
Fehlkonfigurationen werden über alle Clouds erkannt und gegen Frameworks wie CIS, NIST und PCI DSS bewertet.
Angriffspfad-Visualisierungen zeigen verdeckte Wege durch toxische Kombinationen; das integrierte CIEM analysiert Berechtigungen in AWS, Azure und GCP.
IaC-Scan für Terraform, CloudFormation und Kubernetes-Manifeste; die Befunde fliessen in die Exposure-Plattform Tenable One.
Automatisierte Abläufe korrigieren Berechtigungen, für Fehlkonfigurationen gibt es geführte Behebung; Just-in-Time-Zugriff vergibt zeitlich begrenzte Rechte.
Organisationen mit Tenable-Schwachstellenmanagement, die Cloud-Risiken in dieselbe Exposure-Sicht holen wollen.
Cloud-Posture, Berechtigungsanalyse und Just-in-Time-Zugriff in einem Produkt, verbunden mit der übrigen Exposure-Sicht.
Einen agentenlosen Workload-Scan nennt Tenable beim separaten Produkt Cloud Vulnerability Management, die CNAPP-Seite selbst beschreibt ihn nicht.
Singularity Cloud Native Security
SentinelOne
AWS, Azure, Google Cloud und weitere Cloud-Umgebungen; CSPM und CIEM sind Teil der Plattform.
Agentenlose CNAPP, die ohne Änderungen an der Infrastruktur angebunden wird.
Die Offensive Security Engine prüft, ob eine Exposition tatsächlich ausnutzbar ist; die Angriffspfadanalyse zeigt die Schritte vom Erstzugriff bis zu kritischen Assets.
Hyperautomation-Workflows, vorgefertigt oder eigen, reagieren auf Fehlkonfigurationen und Richtlinienverstösse.
Scan von Repositories, IaC-Vorlagen und Container-Images vor dem Deployment; der Secrets-Scan erkennt über 850 Typen und prüft, ob sie aktiv sind.
Organisationen, die Cloud-Posture mit dem separaten Laufzeitschutz Singularity Cloud Workload Security kombinieren.
Ausnutzbarkeit wird geprüft, bevor ein Befund als dringend gilt, und Secrets werden auf Gültigkeit getestet.
Den Laufzeitschutz der Workloads liefert das separate, agentenbasierte Produkt Singularity Cloud Workload Security.
FortiCNAPP
Fortinet
Posture-Bewertung für AWS, Azure und Google Cloud; die Plattform umfasst CSPM, KSPM, CIEM, CWPP, IaC-Security und Cloud Detection and Response.
Der agentenlose Workload-Scan prüft Container-Images, Hosts und Sprachbibliotheken auf Schwachstellen und Secrets.
Ungewöhnliches Verhalten wird ohne selbst geschriebene Regeln erkannt; Beziehungen zwischen Entitäten, Risiken und Bedrohungen zeigen mögliche Angriffspfade.
Teil der Fortinet Security Fabric; Assets und Aktivitäten werden PCI DSS, HIPAA, SOC 2 und ISO 27001 zugeordnet.
Cloud-Dienst; Fortinet bietet beratungsgestützte Schnellstarts über drei oder fünf Tage an.
Fortinet-Kunden, die Cloud-Posture und Cloud-Erkennung mit ihrer übrigen Fortinet-Infrastruktur verbinden wollen.
Verhaltensbasierte Anomalieerkennung ergänzt die regelbasierte Posture-Prüfung.
Für Berechtigungen beschreibt die Produktseite automatisierte Behebungshinweise, eine selbsttätige Korrektur ist dort nicht genannt.
TrendAI Vision One Cloud Risk Management
TrendAI (Trend Micro)
AWS, Azure, Google Cloud, Oracle Cloud und Alibaba Cloud; Teil des Bereichs Cloud Security der Plattform TrendAI Vision One.
Konfigurationsprüfung gegen Standards wie CIS Foundations Benchmarks, NIST 800-53, NIST CSF 2.0, ISO 27001:2022, PCI DSS 4.0.1, SOC 2 und GDPR.
Schwachstellen und Malware werden ohne Agenten erkannt; die Attack Path Analysis bildet wahrscheinliche Angriffswege über die Clouds ab.
IaC-Vorlagen werden vor dem Deployment auf Fehlkonfigurationen geprüft; riskante oder überberechtigte Identitäten werden erkannt.
Cloud-Dienst mit geführter Behebung; Befunde fliessen in die übrige Vision-One-Plattform.
Organisationen mit Trend-Vision-One-Bestand, die Cloud-Konten in dieselbe Risikosicht aufnehmen wollen.
Breite Abdeckung von Cloud-Anbietern und Compliance-Standards bis zu ISO 27001:2022 und NIST CSF 2.0.
Die Doku weist darauf hin, dass nicht alle Empfehlungen der CIS Benchmarks umgesetzt sind.
InsightCloudSec
Rapid7
AWS einschliesslich GovCloud und China, Azure, Google Cloud, Alibaba Cloud und OCI.
Hunderte mitgelieferte Richtlinien bewerten die Konformität mit Standards wie PCI DSS, HIPAA und SOC 2.
Toxische Kombinationen und Wege für laterale Bewegung werden hervorgehoben; Cloud IAM Governance analysiert Identitäten und ihre Aktivität.
IaC Security prüft Vorlagen lokal oder in CI/CD-Pipelines vor dem Deployment.
Bot-Automation behebt Befunde in Echtzeit ohne Programmierung.
Organisationen mit vielen Konten und Anbietern, die Behebung über regelbasierte Automationen standardisieren wollen.
Regelbasierte Bots setzen Behebung und Durchsetzung automatisch um.
Die Plattform lässt sich laut Doku nur in bestimmten AWS-Regionen bereitstellen.
Sysdig Secure
Sysdig
Onboarding für AWS, Azure, Google Cloud und OCI.
CNAPP mit Threat Detection, Schwachstellenmanagement, Posture-Management sowie Identity- und Entitlement-Management.
Laufzeitregeln stützen sich auf die Falco-Referenzbibliothek; Posture-Richtlinien sind an Standards wie CIS und NIST ausgerichtet.
IaC Policy Controls prüfen Infrastrukturcode in der Quellcodeverwaltung.
SaaS mit Agenten für die Laufzeit und agentenloser Anbindung der Cloud-Konten.
Container- und Kubernetes-lastige Umgebungen, die Posture-Befunde mit Laufzeitereignissen verbinden wollen.
Posture-Befunde und Laufzeiterkennung auf Basis von Falco stehen in einer Konsole.
Angriffspfadanalyse und automatische Behebung sind in der gelesenen Dokumentation nicht beschrieben.
Aqua Platform (CSPM)
Aqua Security
AWS, Azure und Google Cloud, laut Seitenbeschreibung auch Oracle Cloud.
Agentenloser Scan zeigt die Posture der Workloads, kombiniert mit Sicht aus dem Workload selbst; integrierte Berichte decken über 30 Regulierungsstandards wie NIST, PCI, HIPAA und GDPR ab.
Richtlinien werden im Workload auf Kernel-Ebene durchgesetzt; Schwachstellen werden nach Erreichbarkeit, EPSS und aktiver Ausnutzung priorisiert.
Code- und IaC-Scan prüft Images und Repositories auf Schwachstellen, Secrets und Fehlkonfigurationen; Response Policies lösen Tickets oder Nachrichten aus.
Betrieb on-premises, hybrid oder in mehreren Clouds, auch in abgeschotteten Umgebungen ohne Internetverbindung.
Regulierte Umgebungen mit eigenem Rechenzentrum oder air-gapped Netzen, die Cloud-Posture und Workload-Schutz gemeinsam betreiben.
Betrieb auch in abgeschotteten Umgebungen und Durchsetzung im Workload.
Die CSPM-Seite beschreibt automatisch ausgelöste Aktionen wie Tickets und Benachrichtigungen, eine Angriffspfadanalyse für die Posture nennt sie nicht.
Microsoft Defender for Cloud (Defender CSPM)
Microsoft
Azure, AWS und Google Cloud; Foundational CSPM ist kostenlos und liefert den Microsoft Cloud Security Benchmark und den Secure Score.
Der agentenlose Scan erstellt Snapshots der VM-Disks, analysiert sie isoliert in derselben Region und löscht sie danach, in der Regel nach wenigen Minuten.
Angriffspfadanalyse und Risikosuche mit dem Security Explorer für Azure, AWS und GCP im Plan Defender CSPM.
DevOps-Posture mit Pull-Request-Annotationen und Zuordnung von Code zu Cloud-Ressourcen.
Teil der CNAPP Defender for Cloud mit CSPM, DevSecOps und Workload-Plänen wie Defender for Servers und Containers.
Azure-zentrierte Organisationen, die AWS und Google Cloud im selben Portal mitbewerten wollen.
Grundfunktionen sind ohne Zusatzkosten aktiv und laufen im selben Portal wie die Workload-Pläne.
Angriffspfade, Security Explorer, agentenloser Scan und regulatorische Compliance-Bewertungen setzen den kostenpflichtigen Plan Defender CSPM voraus.
Security Command Center
Standard und Premium schützen Google Cloud; die Stufe Enterprise deckt Google Cloud, AWS und Azure ab.
Die Cloud-Umgebung wird ohne Agenten nach Fehlkonfigurationen und Software-Schwachstellen durchsucht.
Virtual Red Teaming spielt Angriffsvarianten an einem digitalen Zwilling durch und zeigt Angriffspfade, toxische Kombinationen und Engpässe (ab Premium).
IaC-Scan validiert Kontrollen im Build; CIEM arbeitet mit Google Cloud IAM, Entra ID, AWS IAM und Okta.
Compliance Manager und Audit Manager erzeugen Kontrollen und Prüfnachweise; Enterprise ergänzt Fallmanagement und Remediation-Playbooks.
Google-Cloud-Kunden, mit der Stufe Enterprise auch für Umgebungen mit AWS und Azure.
Angriffspfade entstehen aus simulierten Angriffen auf ein Modell der eigenen Umgebung.
Multi-Cloud-Abdeckung und automatisierte Behebung nennt Google nur bei der Stufe Enterprise.
Prowler
Prowler (Open Source)
Offiziell AWS, Azure, Google Cloud, Kubernetes, GitHub und Microsoft 365, dazu OCI, Alibaba Cloud, IaC und weitere Anbieter.
Tausende vorgefertigte Prüfungen, allein für AWS 662 Checks und 50 Compliance-Frameworks wie CIS, NIST 800, PCI DSS, ISO 27001 und GDPR.
Attack Paths ergänzt jeden abgeschlossenen AWS-Scan um einen Graphen aus Cartography-Inventar und Prowler-Befunden.
CLI über pip oder Container-Image, GitHub Action und eine selbst betriebene Oberfläche per Docker Compose.
Self-Hosted als Prowler Local Server oder als Dienst Prowler Cloud; Befunde enthalten Hinweise zur Behebung.
Teams, die Prüfungen nachvollziehbar und lizenzkostenfrei in eigene Pipelines und Audits einbauen wollen.
Offene, nachvollziehbare Prüfregeln mit breiter Framework-Abdeckung.
Die Angriffspfad-Funktion arbeitet derzeit nur für AWS-Scans.
Weitere Anbieter
Kurz eingeordnet, ausserhalb der Vergleichsmatrix.
- Check Point CloudGuard CNAPP: Check Point hat am 11.02.2025 die begleitete Migration seiner CNAPP-Kunden zu Wiz angekündigt und konzentriert sich auf Cloud Network Security und WAF
- AWS Security Hub CSPM: Dienst von AWS, prüft nur AWS-Konten
- Cloud Custodian: Open Source (Apache 2.0, CNCF Incubating), YAML-Richtlinien zum Filtern, Taggen und Beheben in AWS, Azure und GCP; eher Policy-as-Code-Engine für Behebung als vollständiges CSPM
- Upwind, Uptycs, Qualys TotalCloud: weitere CNAPP-Angebote
- Lacework: eigenständig nicht mehr am Markt; Technologie seit 01.08.2024 in Fortinet FortiCNAPP
Vom Befund
zur Leitplanke.
- Auf Organisationsebene anbinden (z. B. AWS Organization, Azure Management Group, Google-Cloud-Organisation), damit neue Konten und Abonnements automatisch erfasst werden.
- Mit einem kleinen eigenen Regelsatz starten (z. B. öffentliche Speicher, offene Verwaltungsports, fehlende Protokollierung, Administrationskonten ohne MFA) und den Herstellerkatalog danach schrittweise aktivieren.
- Wiederkehrende Befunde in präventive Leitplanken überführen, etwa Organisationsrichtlinien oder Pipeline-Prüfungen, statt sie einzeln zu korrigieren.
- Automatische Korrektur nur für eindeutige, umkehrbare Fälle zulassen und jede Auslösung protokollieren.
- Anteil Cloud-Konten und -Abonnements unter Überwachung
- Mittlere Zeit bis zur Korrektur kritischer Fehlkonfigurationen je Team
- Anteil Regeln, die präventiv durchgesetzt statt nur gemeldet werden
Das Cloud-Plattformteam verantwortet Anbindung und Leitplanken, Security das Regelwerk und die Ausnahmeentscheide. Die Owner der Konten und Abonnements beheben Befunde fristgerecht.
ISO/IEC 27001:2022 Annex A 8.9 (Konfigurationsmanagement) sieht festgelegte, dokumentierte, überwachte und überprüfte Sicherheitskonfigurationen vor; 5.23 regelt die Informationssicherheit bei der Nutzung von Cloud-Diensten.
Bei Auslagerungen nach FINMA-RS 2018/3 bleibt das Institut für seine Cloud-Umgebung verantwortlich; CSPM-Berichte stützen diesen Nachweis ebenso wie die Wirksamkeitsbewertung nach NIS2 Art. 21 Abs. 2 lit. f.
Ein hoher Compliance-Score bedeutet nicht wenig Risiko. Der Score zählt bestandene Regeln; eine einzige öffentlich erreichbare Datenbank wiegt mehr als hundert erfüllte Protokollierungsregeln.
Mit realen Konten testen.
- Eine fehlkonfigurierte öffentliche Ressource und überprivilegierte Rolle finden.
- Cloud-Owner, Ticket und Korrekturweg eindeutig ableiten.
- Unternehmensrichtlinien, nicht nur Hersteller-Standards, abbilden.
- Ausnahme, Ablaufdatum und erneute Prüfung nachvollziehen.
CSPM ist mit CIEM, CNAPP, Asset Discovery und dem Schwachstellenprozess verbunden. Es liefert Befunde; Priorisierung und Umsetzung bleiben eigene Arbeitsschritte.
Security Tool Navigator · Gebiet 06
Im Gebiet Cloud und Infrastructure Security einordnen.
Diese Werkzeugklasse gehört zum Gebiet Cloud und Infrastructure Security. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.