Secure Cloud Start
Eine Landing Zone als Code in Ihrem Repository, mit Guardrails und Kostenkontrolle ab dem ersten Konto.
- Dauer
- 6–10 Wochen
- Preis
- 20.000 € bis 40.000 €
- zzgl. MwSt., Richtwert
Leistungen
Cloud & DevSecOps
Sicherheit, die mit dem Code ausgeliefert wird, und Nachweise, die sich selbst sammeln.
Sicherheit, die mit dem Code ausgeliefert wird, nicht danach.
Ein Sicherheitsbericht, der nach dem Bau der Plattform eintrifft, beschreibt ein Problem. Ein Guardrail in der Auslieferungskette verhindert eines. Der Kostenunterschied beträgt rund zwei Größenordnungen, und das ist der Grund, warum dieses Praxisfeld innerhalb eines Sicherheitshauses liegt und nicht daneben.
Wir entwerfen Landing Zones als Code in Ihrem Repository, verdrahten Sicherheitstests in die Pipelines, die Ihre Teams ohnehin nutzen, und justieren sie, bis die Ergebnisse Vertrauen verdienen — denn ein Scanner, dem niemand traut, ist schlimmer als gar kein Scanner. Danach lassen wir dieselben Kontrollen ihre eigenen Auditnachweise erzeugen, mit Zeitstempel und exportierbar; genau das macht ein ISO-27001- oder SOC-2-Zertifikat auf Dauer bezahlbar.
Und wir behalten die Rechnung im Blick. FinOps gibt üblicherweise fünfzehn bis dreißig Prozent der Cloud-Ausgaben zurück, was häufig den Rest der Arbeit finanziert.
Cloud & DevSecOps
Cloud-Strategie und -Architektur
Entscheiden, was umzieht, wo es landet und was es kostet — vor der ersten Migration.
Cloud-Strategie und PotenzialanalyseRegeldauer: 8–20 Tage
Anwendung für Anwendung analysiert, was abzuschalten, zu behalten, zu verlagern, umzubauen oder neu zu entwickeln ist, mit Wirtschaftlichkeitsrechnung und regulatorischen Randbedingungen in derselben Tabelle.
Sie erhalten
- Bewertung des Anwendungsportfolios
- Migrationsstrategie je Anwendung
- Wirtschaftlichkeitsrechnung mit Gesamtbetriebskosten
- Roadmap mit Reihenfolge und Abhängigkeiten
Auswahl von Hyperscaler und souveräner CloudRegeldauer: 5–12 Tage
Ein strukturierter Vergleich von AWS, Azure, GCP, OVHcloud, Scaleway, S3NS und Bleu gegen Ihre technischen, vertraglichen sowie Souveränitäts- und Ausstiegsanforderungen.
Sie erhalten
- Gewichtete Anforderungsmatrix
- Anbietervergleich mit Belegen
- Souveränitäts- und Ausstiegsanalyse
- Empfehlung und dokumentierte Entscheidung
Well-Architected-ReviewRegeldauer: 3–8 Tage
Eine Prüfung eines bestehenden Workloads gegen das Rahmenwerk des Anbieters, über operative Exzellenz, Sicherheit, Zuverlässigkeit, Leistung, Kosten und Nachhaltigkeit.
Sie erhalten
- Feststellungen je Säule
- Liste der Punkte mit hohem Risiko
- Priorisierter Verbesserungsplan
- Aufwands- und Einsparschätzungen
Datenplattform und GovernanceRegeldauer: 10–25 Tage
Eine Datenplattform, in der Verantwortlichkeit, Qualität und Herkunft von Anfang an definiert sind, mit Zugriffskontrollen, die Analyse erlauben, ohne das ganze Lager zu öffnen.
Sie erhalten
- Ziel-Datenarchitektur
- Modell für Datenverantwortung und -pflege
- Entwurf für Zugriffskontrolle und Klassifizierung
- Ansatz für Qualität und Herkunft
Fundament und Migration
Eine als Code gebaute Landing Zone, auf die Workloads ohne Neubau umziehen.
Sichere Landing Zone als Infrastructure as CodeRegeldauer: 10–25 Tage
Kontenstruktur, Netz, Identität, Protokollierung, Verschlüsselung und Guardrails als Code in Ihrem Repository geliefert, sodass jede neue Umgebung dieselbe Basis erbt.
Sie erhalten
- Konten- und Abonnement-Topologie
- Basis für Netz, Identität und Protokollierung
- Terraform- oder Bicep-Module in Ihrem Repository
- Guardrail-Richtlinien und Ausnahmeprozess
Steuerung des MigrationsprogrammsRegeldauer: Umfang je Auftrag
Wellenplanung, Ablaufpläne, Umstellungsproben und Rückfallkriterien, mit Sicherheits- und Compliance-Prüfungen in jeder Welle statt am Ende angehängt.
Sie erhalten
- Wellenplan und Abhängigkeitskarte
- Migrationsablaufpläne je Workload
- Umstellungs- und Rückfallkriterien
- Programmberichterstattung und Risikoprotokoll
Anwendungsmodernisierung und ContainerRegeldauer: 20–60 Tage
Containerisierung und Umbau von Anwendungen, wo es sich lohnt, mit einmal definierten und wiederverwendeten Basis-Images, Build-Ketten und Plattformzielen.
Sie erhalten
- Modernisierungsbewertung je Anwendung
- Referenz-Containerbuild und Basis-Images
- Deployment-Manifeste und Pipelines
- Dokumentation für die Entwicklung
Hybrides und Multi-Cloud-NetzwerkRegeldauer: 10–25 Tage
Konnektivität zwischen Rechenzentren, Clouds und Standorten, entworfen für Segmentierung und Beobachtbarkeit, nicht nur für Erreichbarkeit.
Sie erhalten
- Ziel-Netzarchitektur
- Entwurf für Segmentierung und Routing
- Umsetzungsplan für die Konnektivität
- Basis für Netzbeobachtbarkeit
Governance, Betrieb und Kosten
Wer wofür verantwortlich ist, wie überwacht wird und warum die Rechnung nicht mehr wächst.
Cloud-Governance und BetriebsmodellRegeldauer: 8–20 Tage
Wer was anlegen darf, wer es bezahlt, wer es sichert und wer nachts gerufen wird — festgehalten, vereinbart und per Richtlinie durchgesetzt statt aus dem Gedächtnis.
Sie erhalten
- Betriebsmodell und RACI
- Standards für Konten und Umgebungen
- Katalog der Richtlinien und Guardrails
- Governance-Gremium und Taktung
FinOpsRegeldauer: 10–25 Tage
Kostenzuordnung, Commitment-Strategie, Rightsizing und Beseitigung von Verschwendung, mit üblicherweise fünfzehn bis dreißig Prozent Rückfluss der Rechnung im ersten Quartal.
Sie erhalten
- Modell für Kostenzuordnung und Tagging
- Plan für Rightsizing und Commitments
- Einsparungstracker mit gemessenen Ergebnissen
- Monatliche FinOps-Berichterstattung
Fortlaufende Cloud-Sicherheit und -ComplianceRegeldauer: Laufend
Posture-Management, das täglich läuft und in der Sprache Ihres Kontrollrahmenwerks berichtet, sodass Cloud-Nachweise für ISO 27001 oder SOC 2 automatisch entstehen.
Sie erhalten
- Fortlaufende Kontrollüberwachung
- Compliance-Dashboards je Rahmenwerk
- Prozess für Abweichungen und Ausnahmen
- Automatisierter Nachweisexport
Resilienz, Multi-Cloud und DORA-AusstiegsplanRegeldauer: 10–25 Tage
Eine dokumentierte und getestete Ausstiegsstrategie für kritische Cloud-Dienste, die DORA von Finanzunternehmen verlangt und von der die meisten Verträge stillschweigend annehmen, sie werde nie gebraucht.
Sie erhalten
- Kritikalitäts- und Konzentrationsanalyse
- Ausstiegsstrategie je kritischem Dienst
- Entwurf für Portabilität und Datenextraktion
- Ausstiegstestplan und Ergebnisse
BeobachtbarkeitRegeldauer: 8–20 Tage
Metriken, Logs und Traces, die echte Fragen beantworten, mit gemeinsam mit dem Fachbereich definierten Service-Level-Zielen und Alarmen, die niemanden grundlos wecken.
Sie erhalten
- Architektur der Beobachtbarkeit
- Service-Level-Ziele und Fehlerbudgets
- Entwurf von Dashboards und Alarmen
- Einbindung in die Betriebsleitfäden
Bewertung von Souveränität und DatenresidenzRegeldauer: 5–12 Tage
Wo Ihre Daten physisch liegen, wer rechtlich Zugriff erzwingen kann und was es bräuchte, das zu ändern — dokumentiert für Aufsicht und Gremium.
Sie erhalten
- Karte der Datenresidenz
- Analyse extraterritorialer Zugriffe
- Bewertung des Souveränitätsrisikos
- Optionen und Kosten einer Änderung
DevSecOps
Kontrollen in der Auslieferungskette, die im Lauf ihre eigenen Auditnachweise erzeugen.
Reifegradbewertung DevOps und DevSecOpsRegeldauer: 5–12 Tage
Gemessen an den DORA-Metriken, OWASP SAMM, NIST SSDF und SLSA, samt dem Unterschied zwischen dem, was die Dokumentation behauptet, und dem, was die Pipelines tatsächlich tun.
Sie erhalten
- Ausgangswerte der DORA-Metriken
- Bewertung nach OWASP SAMM und NIST SSDF
- Einstufung des SLSA-Niveaus
- Priorisiertes Verbesserungs-Backlog
Entwurf eines sicheren EntwicklungszyklusRegeldauer: 8–20 Tage
Sicherheitsanforderungen, Prüfpunkte und Abnahmekriterien je Phase definiert, leicht genug, dass Teams sie behalten, und fest genug, um einen Prüfer zufriedenzustellen.
Sie erhalten
- Definition des sicheren SDLC je Phase
- Katalog der Sicherheitsanforderungen
- Prüfpunkt- und Ausnahmeprozess
- Einführungsmaterial für Teams
BedrohungsmodellierungRegeldauer: 3–10 Tage
Strukturierte Bedrohungsmodellierung Ihrer kritischen Dienste, als Workshop mit den Ingenieur:innen, die sie bauen, mit Backlog-Einträgen als Ergebnis statt eines Dokuments, das niemand wieder öffnet.
Sie erhalten
- Datenflussdiagramme
- Bedrohungsmodell je kritischem Dienst
- Backlog-Einträge zur Risikominderung
- Wiederholbare Methode für Ihre Teams
Härtung der CI/CD-PipelineRegeldauer: 8–20 Tage
Härtung von GitHub Actions, GitLab CI oder Azure DevOps: Runner mit minimalen Rechten, fixierte Actions, geschützte Branches, signierte Artefakte und keine langlebigen Zugangsdaten.
Sie erhalten
- Bedrohungsmodell der Pipeline und Feststellungen
- Gehärtete Referenz-Workflows
- Architektur für Runner und Zugangsdaten
- Schutzregeln für Branches und Releases
Integration von SAST, DAST, SCA und IaC-ScansRegeldauer: 8–20 Tage
Sicherheitstests in der Pipeline mit Schwellen, die das Wesentliche blockieren und sonst still bleiben, denn ein Scanner, dem niemand traut, ist ein Scanner, den niemand liest.
Sie erhalten
- Werkzeugauswahl und Integration
- Regelabstimmung und Unterdrückung des Altbestands
- Blockierregeln nach Schweregrad
- Triage-Prozess und Zuständigkeiten
Secrets-ManagementRegeldauer: 5–15 Tage
Secrets raus aus Repositories und Pipelines, hinein in einen Tresor mit kurzlebigen Zugangsdaten und Workload Identity, dazu Erkennung der bereits geleakten.
Sie erhalten
- Secrets-Inventar und Leak-Scan
- Entwurf für Tresor und Workload Identity
- Rotations- und Widerrufsprozess
- Pipeline-Integration
Sicherheit der Software-LieferketteRegeldauer: 10–25 Tage
SBOM-Erzeugung, Abhängigkeitsrichtlinie, Artefaktsignierung und Provenienz nach SLSA-Stufen, abgestimmt auf das, was der Cyber Resilience Act verlangen wird.
Sie erhalten
- SBOM-Erzeugung und -Ablage
- Abhängigkeits- und Lizenzrichtlinie
- Artefaktsignierung und Provenienz
- Zuordnung zur CRA-Konformität
IaC-Sicherheit und Policy as CodeRegeldauer: 8–20 Tage
Richtlinien als Code ausgedrückt und vor dem Deployment durchgesetzt, sodass eine nicht konforme Ressource den Pull Request scheitern lässt, statt sechs Monate später in einem Audit aufzutauchen.
Sie erhalten
- Richtlinienkatalog als Code
- Durchsetzung vor dem Deployment in der CI
- Prozess für Ausnahmen und Verzichte
- Abdeckungsberichterstattung
Sicherheitsbefähigung der EntwicklungRegeldauer: Laufend
Schulungen auf Basis Ihres eigenen Codes und Ihrer eigenen Feststellungen, dazu ein Netz von Security Champions, das Teams jemanden gibt, den sie vor dem Review fragen können statt danach.
Sie erhalten
- Rollenbezogene Schulungseinheiten
- Security-Champion-Programm
- Leitfaden für sichere Programmierung in Ihrem Stack
- Fortschrittsmessung
Kubernetes-SicherheitsauditRegeldauer: 5–12 Tage
Clusterprüfung gegen den CIS-Kubernetes-Benchmark: RBAC, Admission Control, Netzwerkrichtlinien, Workload Identity, Umgang mit Secrets und Node-Härtung.
Sie erhalten
- Bewertung gegen den CIS-Benchmark
- Prüfung von RBAC und Admission-Richtlinien
- Entwurf der Netzwerkrichtlinien
- Priorisierter Härtungsplan
Sicherheit von Container-ImagesRegeldauer: 5–12 Tage
Minimale Basis-Images, reproduzierbare Builds, Scannen und Signieren in der Registry, dazu ein Patchweg, der nicht verlangt, jeden Dienst von Hand neu zu bauen.
Sie erhalten
- Satz geprüfter Basis-Images
- Build- und Scan-Pipeline
- Image-Signierung und Admission-Richtlinie
- Patch- und Rebuild-Prozess
Platform Engineering und interne EntwicklerplattformRegeldauer: 20–60 Tage
Vorgezeichnete Wege, die den sicheren Weg zum schnellsten machen: geprüfte Vorlagen, Self-Service-Umgebungen und GitOps-Auslieferung mit bereits eingebauten Guardrails.
Sie erhalten
- Plattformarchitektur und GitOps-Modell
- Vorlagen für die vorgezeichneten Wege
- Self-Service-Bereitstellung von Umgebungen
- Plattformdokumentation und Einführung
LaufzeitsicherheitRegeldauer: 8–20 Tage
Erkennung dessen, was nach dem Deployment geschieht: anomales Prozessverhalten, Container-Ausbrüche, unerwartete Netzflüsse, mit vorab definierten Reaktionen.
Sie erhalten
- Einführung der Laufzeiterkennung
- Abstimmung der Erkennungsregeln
- Reaktionsleitfäden
- Anbindung an das SOC
SRE-PraktikenRegeldauer: 10–25 Tage
Service-Level-Ziele, Fehlerbudgets, Vorfallnachbereitung ohne Schuldzuweisung und gemessene Routinearbeit, damit Automatisierung durch Belege finanziert wird und nicht durch Überzeugung.
Sie erhalten
- Definition von SLI und SLO
- Richtlinie zum Fehlerbudget
- Prozess zur Vorfallnachbereitung
- Rufbereitschaftsentwurf und Ausgangswert der Routinearbeit
Beobachtbarkeit und SicherheitstelemetrieRegeldauer: 8–20 Tage
Eine Telemetriestrecke für Engineering und Sicherheit zugleich, mit Aufbewahrungsfristen nach regulatorischer Anforderung statt nach Voreinstellung.
Sie erhalten
- Architektur der Telemetriestrecke
- Abdeckung der Quellen und Aufbewahrungsrichtlinie
- Erkennungsdatenströme für die Sicherheit
- Kosten- und Volumenkontrolle
Compliance as CodeRegeldauer: 10–25 Tage
Kontrollen für ISO 27001, SOC 2, NIS2 und DORA als automatisierte Prüfungen umgesetzt, die ihre eigenen zeitgestempelten Nachweise erzeugen — genau das macht ein Zertifikat bezahlbar in der Pflege.
Sie erhalten
- Zuordnung von Kontrollen zu Prüfungen
- Automatisierte Nachweiserhebung
- Dashboard für fortlaufende Compliance
- Prüferfertiger Nachweisexport
Release- und ÄnderungssteuerungRegeldauer: 5–12 Tage
Änderungsmanagement, das Prüfer zufriedenstellt, ohne wöchentliches Gremium: Freigaben im Pull Request, automatisch erzeugte Deployment-Aufzeichnungen, dokumentierter Notfallweg.
Sie erhalten
- Änderungsrichtlinie und Freigabemodell
- Automatisierte Änderungsaufzeichnungen
- Verfahren für Notfalländerungen
- Zuordnung der Auditnachweise
Automatisierung des WiederanlaufsRegeldauer: 8–20 Tage
Wiederanlauf als Code ausgedrückt und planmäßig getestet, damit das Wiederherstellungszeitziel eine gemessene Zahl ist und keine Absichtserklärung in einem Dokument.
Sie erhalten
- Wiederanlaufarchitektur als Code
- Automatisierte Wiederanlauf-Ablaufpläne
- Geplante Wiederherstellungstests
- Nachweise zu gemessenem RTO und RPO
Managed-DevSecOps-VertragRegeldauer: Laufend
Dauerhafte Engineering-Kapazität, die Pipeline, Guardrails und Nachweise funktionsfähig hält, während sich Ihre Plattform verändert, mit benanntem Engineer und monatlicher Durchsprache.
Sie erhalten
- Benannte:r Engineer und vereinbarte Kapazität
- Pflege von Pipeline und Guardrails
- Triage der Feststellungen und Behebungsunterstützung
- Monatliche Durchsprache und Roadmap
Als Festpreispaket verfügbar
DevSecOps Kickstart
Sicherheitskontrollen in Ihrer Pipeline, so abgestimmt, dass das Team sie nach unserem Weggang behält.
- Dauer
- 6–8 Wochen
- Preis
- 18.000 € bis 30.000 €
- zzgl. MwSt., Richtwert
Kubernetes Secure
Ein Clusteraudit gegen den CIS-Benchmark, mit angewandter und überprüfter Härtung.
- Dauer
- 3–4 Wochen
- Preis
- 8.000 € bis 15.000 €
- zzgl. MwSt., Richtwert
Supply-Chain Shield (CRA-ready)
SBOM, Signierung und Provenienz eingerichtet, abgebildet auf das, was der Cyber Resilience Act verlangen wird.
- Dauer
- 5–8 Wochen
- Preis
- 15.000 € bis 28.000 €
- zzgl. MwSt., Richtwert
Über dieses Paket sprechen — Supply-Chain Shield (CRA-ready)
Als laufende Leistung verfügbar
Managed DevSecOps
Dauerhafte Engineering-Kapazität, die Pipelines, Guardrails und Compliance-Nachweise funktionsfähig hält, während sich Ihre Plattform verändert, mit benanntem Engineer und monatlicher Durchsprache.
Enthalten ist
- Benannte:r Engineer und vereinbarte Kapazität
- Pflege von Pipeline und Guardrails
- Triage der Feststellungen und Behebungsunterstützung
- Pflege der Compliance-Nachweise
- Monatliche Durchsprache und Roadmap
Cloud
Managed FinOps
Fortlaufendes Kostenmanagement: Zuordnung aktuell gehalten, Commitments gesteuert, Verschwendung monatlich entfernt und Einsparungen als gemessene Zahlen berichtet.
Enthalten ist
- Pflege der Kostenzuordnung
- Steuerung von Commitments und Rabatten
- Monatliche Rightsizing-Maßnahmen
- Anomalieerkennung und Warnungen
- Berichterstattung über gemessene Einsparungen
Cloud
Schwachstellen- und Angriffsflächenmanagement
Fortlaufendes Scannen dessen, was Ihnen gehört und was in Ihrem Namen exponiert ist, mit gefilterten, priorisierten und bis zum Abschluss verfolgten Feststellungen statt einer Rohliste.
Enthalten ist
- Interne und externe Scans
- Erkennung der externen Angriffsfläche
- Risikobasierte Priorisierung
- Verfolgung der Behebung gegen vereinbarte Fristen
- Monatliche Berichterstattung
CyberCloud
Über diese Leistung sprechen — Schwachstellen- und Angriffsflächenmanagement
Zwei übliche Einstiege
Secure Cloud Start, wenn das Fundament noch zu bauen ist. DevSecOps Kickstart, wenn der Code wöchentlich ausgeliefert wird und Sicherheit noch außerhalb der Kette steht.