IT-Security

Sicherheit auf jeder Ebene der Architektur

Wir behandeln Sicherheit als Eigenschaft der Architektur, nicht als nachgelagerte Konfiguration. Die Ebenen greifen ineinander, und fällt eine aus, hält die nächste.

Zurück zur IT-Security-Übersicht

Netzwerksicherheit in Azure

Der Schnitt entscheidet: Was nicht erreichbar ist, muss nicht verteidigt werden.

Wir schneiden Azure-Umgebungen als Hub-Spoke-Topologie: ein zentraler Hub für Konnektivität und Inspektion, getrennte Spokes für Workloads, Stages und Mandanten. Network Security Groups regeln den Verkehr zwischen den Subnetzen, die Azure Firewall filtert alles, was den Hub passiert, ausgehende Verbindungen eingeschlossen. Datendienste wie Storage, SQL oder Key Vault binden wir über Private Endpoints an, damit sie kein öffentliches Interface mehr besitzen. Azure DDoS Protection sichert die verbleibenden öffentlichen Eintrittspunkte ab. Die Anbindung Ihrer Standorte läuft über ExpressRoute oder Site-to-Site-VPN, je nach Bandbreite, Latenzbedarf und vorhandener Leitung.

Azure Firewall
Network Security Groups
Private Endpoints
Azure DDoS Protection
ExpressRoute

Schutz von Anwendungen und APIs

Der Schutz sitzt vor der Anwendung, nicht in ihr.

Vor Ihren Anwendungen steht ein Azure Application Gateway mit Web Application Firewall, das Anfragen gegen die OWASP Top 10 prüft, bevor sie den Code erreichen. Azure Front Door verteilt den Verkehr global, terminiert TLS am Rand und hält bekannte Angriffsmuster früh ab. Für Schnittstellen setzen wir Azure API Management ein: Authentifizierung, Rate Limiting und Quotas liegen dort und nicht verstreut in einzelnen Diensten. Zwischen internen Services erzwingen wir mTLS, damit ein kompromittierter Dienst nicht automatisch mit allen anderen sprechen darf. Welche Regeln blockieren und welche zunächst nur protokollieren, entscheiden wir gemeinsam mit Ihnen anhand echter Verkehrsdaten statt anhand von Standardprofilen.

Azure Application Gateway
Web Application Firewall
Azure Front Door
Azure API Management

Identität als Perimeter

Ein permanenter Vollzugriff ist die teuerste Abkürzung in jeder Azure-Umgebung.

Zero Trust beginnt bei der Identität: In einer Cloud-Umgebung ist sie die Grenze, die verteidigt wird, nicht mehr das Netzwerk allein. Jeder Zugriff wird geprüft, unabhängig davon, ob er aus dem eigenen Netz kommt. Microsoft Entra ID ist dabei die zentrale Instanz für Benutzer, Dienste und Anwendungen. Conditional Access entscheidet pro Zugriff über Gerät, Standort, Risiko und Anmeldemethode, rollenbasierte Zugriffskontrolle begrenzt, was danach möglich ist. Privileged Identity Management vergibt administrative Rollen nur auf Zeit und nur nach Anforderung, sodass permanente Vollzugriffe verschwinden. Anwendungen und Pipelines arbeiten mit Workload Identities und Managed Identities, damit keine Secrets in Konfigurationen oder Repositories liegen.

Microsoft Entra ID
Conditional Access
Privileged Identity Management
Managed Identities

Angriffsszenarien und Abwehr

Sicherheitsarchitektur wird konkret, wenn man sie gegen reale Angriffe hält.

Für jedes Szenario klären wir drei Dinge: über welchen Weg der Angriff läuft, welche Kontrolle in Azure ihn abfängt und was wir dafür konfigurieren. Die folgenden fünf Muster decken den Großteil dessen ab, was Umgebungen in Industrie und Mittelstand tatsächlich trifft. Sie sind keine Liste zum Abhaken, sondern die Grundlage für die Entscheidung, wo Aufwand hingehört. Was in Ihrer Umgebung davon fehlt, zeigt die Bestandsaufnahme zu Beginn.

Fünf Angriffsmuster, je mit Angriffsvektor, greifender Azure-Kontrolle, unserer Konfiguration und dem beobachtbaren Zeichen, dass diese Kontrolle fehlt.
Szenario	Angriffsvektor	Greifende Azure-Kontrolle	Was DEVDEER konfiguriert	Woran Sie merken, dass Ihnen das fehlt
DDoS	Volumetrische Last oder gezielte Anfragen auf öffentliche Endpunkte, bis Gateway oder Anwendung nicht mehr antworten.	Azure DDoS Protection auf dem virtuellen Netzwerk, Azure Front Door als vorgelagerter Rand, Rate Limiting im Azure API Management.	Schutzplan auf allen öffentlichen IP-Adressen, Alarmierung auf Mitigation-Ereignisse, Lasttests gegen die vereinbarten Schwellen.	Ihre Anwendung wird zäh oder ist zeitweise nicht erreichbar, ohne dass ein Release oder ein Fehler im Code das erklärt.
Credential Stuffing	Automatisierte Anmeldeversuche mit Zugangsdaten aus fremden Leaks gegen Ihre Anmeldemasken und APIs.	Microsoft Entra ID mit Conditional Access, Risikobewertung der Anmeldung, Multi-Faktor-Authentifizierung und Smart Lockout.	Richtlinien je Benutzergruppe und Anwendung, Abschaltung veralteter Authentifizierungsprotokolle, Auswertung der Anmeldeprotokolle in Microsoft Sentinel.	In den Anmeldeprotokollen stehen Wellen fehlgeschlagener Anmeldungen über viele Konten hinweg, und einzelne Konten werden gesperrt, ohne dass die Nutzer etwas geändert haben.
Injection-Angriffe	Manipulierte Eingaben, die in SQL-Abfragen, Kommandos oder Templates ausgeführt werden und Daten offenlegen.	Web Application Firewall im Azure Application Gateway mit OWASP-Regelsatz, parametrisierte Datenzugriffe, SAST und DAST in der CI/CD.	Regelsatz zuerst im Protokollmodus, dann blockierend, jede Ausnahme dokumentiert; Scans als Pflichtschritt vor jedem Merge.	In den Logs tauchen Datenbankfehler und abgebrochene Abfragen zu Eingaben auf, die so aus keinem Ihrer Formulare kommen können.
Supply-Chain-Angriffe	Kompromittierte oder manipulierte Pakete und Build-Werkzeuge, die über Ihre Pipeline in die Produktion gelangen.	Abhängigkeitsprüfung in der CI/CD, signierte Artefakte, private Registries, Managed Identities statt Secrets in Pipelines.	Feste Versionsstände, automatische Prüfung neuer Abhängigkeiten, getrennte Build- und Deployment-Rechte, Nachverfolgung der Befunde über DELTA.	Ein Build zieht eine Paketversion, die niemand angefordert hat, und niemand kann sagen, wer sie freigegeben hat.
Ransomware	Verschlüsselung von Daten und Sicherungen, nachdem Konten übernommen oder Systemzugänge ausgenutzt wurden.	Microsoft Defender for Cloud, unveränderliche Sicherungen in Azure Backup, Netzsegmentierung, Privileged Identity Management.	Getrennte Sicherungsziele mit eigenem Rechtekreis, regelmäßige Wiederherstellungstests, definierte Eindämmungspfade im Incident-Prozess.	Sicherungen laufen zwar durch, aber niemand kann sagen, wann zuletzt eine Wiederherstellung tatsächlich getestet wurde.

Penetrationstests und Security Assessments

Ein Bericht, den nur Sicherheitsleute lesen können, ändert nichts.

Ein Penetrationstest beginnt bei uns mit der Scope-Definition: welche Systeme, welche Konten, welche Zeitfenster und was ausdrücklich nicht angefasst wird. Anschließend prüfen wir die Umgebung aus der Perspektive eines Angreifers, von außen und, wenn vereinbart, zusätzlich mit einem regulären Benutzerkonto. Sie erhalten einen Bericht mit reproduzierbaren Schritten, einer Einordnung nach Schwere und Auswirkung sowie einem konkreten Behebungsvorschlag je Befund. Für die Abstimmung im Haus liegt eine kurze Übersicht bei, die auch ohne Sicherheitsvorwissen lesbar ist. Nach der Behebung folgt ein Retest, der ausschließlich die gemeldeten Punkte erneut prüft und den Status jedes Befundes festschreibt.

Detection und Response

Erkennung braucht eine Stelle, die alles sieht.

Microsoft Sentinel sammelt Protokolle aus Azure, Microsoft Entra ID, Endpunkten und Anwendungen zusammen. Microsoft Defender for Cloud bewertet parallel die Konfiguration Ihrer Ressourcen und meldet Abweichungen, bevor sie ausgenutzt werden. Für die Alarme legen wir gemeinsam fest, was automatisch reagiert und was einen Menschen weckt. Im Ernstfall greift ein Incident-Prozess mit Andon-Cord-Eskalation: Jede beteiligte Person darf anhalten, die Eskalation läuft ohne Umweg über Meetings. Nach jedem Vorfall folgt ein Post-Mortem ohne Schuldzuweisung, dessen Maßnahmen zurück in Architektur und Automatisierung fließen. Begleitend schulen wir Ihre Teams mit Fire Drills und Phishing-Kampagnen, damit die Prozesse im Ernstfall sitzen.

Microsoft Sentinel
Microsoft Defender for Cloud

DEVDEER DELTA

DELTA prüft Ihre Quellcode-Repositories und verfolgt jede gefundene Schwachstelle über Zyklen hinweg mit einer dauerhaften Kennung. So sehen Sie nicht nur den heutigen Stand, sondern auch, was behoben wurde, was wiederkam und welche Muster ein Team wiederholt erzeugt. Aus der Momentaufnahme wird eine Verlaufskurve, die Entscheidungen über Aufwand und Schulung trägt.

Verlaufstabelle

Verlaufstabelle mit Demonstrationsdaten: sechs Prüfungen zwischen dem 09.04. und dem 21.08., ein Rückkehrer und eine Fix-Meldung, die die Prüfung am 16.07. widerlegt hat.
Finding	09.04.	21.04.	19.05.	24.06.	16.07.	21.08.	Status
SEC-01Anmeldung prüft nur, ob das Cookie existiert	in dieser Prüfung gefunden	in dieser Prüfung gefunden	in dieser Prüfung gefunden	in dieser Prüfung gefunden	in dieser Prüfung gefunden	in dieser Prüfung gefunden	Offen
SEC-07Fehlende CSRF-Prüfung im Formular-Handler	in dieser Prüfung gefunden	in dieser Prüfung gefunden	✓als behoben bestätigt	kein Eintrag in dieser Prüfung	kein Eintrag in dieser Prüfung	kein Eintrag in dieser Prüfung	Behoben
SEC-11Reflected XSS im Suchparameter	in dieser Prüfung gefunden	in dieser Prüfung nicht gefunden	in dieser Prüfung gefunden	in dieser Prüfung gefunden	in dieser Prüfung gefunden	in dieser Prüfung gefunden	Rückkehrer
SEC-21Hartcodierte Zugangsdaten im Deploy-Skript↳ Am 24.06. als behoben gemeldet — von der Prüfung am 16.07. widerlegt	kein Eintrag in dieser Prüfung	in dieser Prüfung gefunden	in dieser Prüfung gefunden	in dieser Prüfung gefunden	in dieser Prüfung gefunden	in dieser Prüfung gefunden	Offen

gefunden — der Befund stand in dieser Prüfung drin
nicht gefunden — diese Prüfung hat ihn nicht gesehen, bestehen kann er trotzdem
behoben — im vollständigen Durchlauf nicht mehr auffindbar
kein Eintrag — der Befund war noch nicht erfasst oder bereits geschlossen

Compliance als Ergebnis der Architektur

Sicherheit ist die Grundlage, Compliance der Nachweis. Wenn Zugriffe rollenbasiert vergeben, Schlüssel zentral verwaltet und Änderungen lückenlos protokolliert werden, entsteht dieser Nachweis aus dem laufenden Betrieb statt aus einer Sonderaktion vor dem Audit. Wir richten Architektur und Prozesse so ein, dass sich die Anforderungen aus NIS2, TISAX und ISO 27001 daraus bedienen lassen. Was ein einzelner Standard im Detail verlangt, klären wir im Projekt.

Policy-as-Code und Audit-Trails in der CI/CD – für nachvollziehbare Sicherheit ohne Mehraufwand.
Zentrale Überwachung mit Azure Monitor und Log Analytics, auf Wunsch ausgebaut mit Microsoft Sentinel und Defender for Cloud – Alarmierung und Nachverfolgung von Sicherheitsereignissen an einer Stelle.
Schlüsselmanagement via Azure Key Vault – managed oder kundenspezifisch, aber immer prüfbar.
Zusammenarbeit mit Datenschutzbeauftragten ab Tag 1 – nicht erst zur Abnahme.

Was davon in Ihrer Umgebung fehlt, zeigt die Bestandsaufnahme.

Wir sehen uns die sechs Ebenen in Ihrem Abonnement an und sagen Ihnen, welche tragen und wo die Lücken sitzen.