CNAPP & CSPM: vom Einzelfinding zum Angriffspfad

CSPM (Cloud Security Posture Management) prüft Cloud-Konfigurationen kontinuierlich gegen Richtlinien und Benchmarks und deckt Fehlkonfigurationen sowie Compliance-Abweichungen auf. CWPP (Cloud Workload Protection Platform) schützt die Workloads selbst – virtuelle Maschinen, Container und Serverless-Funktionen – durch Schwachstellenanalyse und Laufzeitüberwachung. CIEM (Cloud Infrastructure Entitlement Management) inventarisiert Cloud-Identitäten samt Berechtigungen und setzt das Least-Privilege-Prinzip durch. KSPM überträgt den Posture-Gedanken auf Kubernetes-Cluster; DSPM (Data Security Posture Management) findet sensible Daten in Cloud-Speichern und bewertet deren Exposition.

Statt CSPM, CWPP, CIEM und Schwachstellenscanner getrennt zu betreiben, integriert eine CNAPP diese Funktionen in einer Plattform mit gemeinsamem Datenmodell – vom Code über die Pipeline bis zur Laufzeit. Wie verbreitet der Ansatz ist, zeigt eine Umfrage der Cloud Security Alliance von 2023 unter 1.201 IT- und Sicherheitsverantwortlichen: Drei von vier Organisationen hatten eine CNAPP bereits eingeführt oder planten dies – vor allem, um die Komplexität ihrer Multi-Cloud-Umgebungen zu beherrschen. Auch die Hyperscaler positionieren ihre Security-Suiten inzwischen ausdrücklich als CNAPP, etwa Microsoft Defender for Cloud mit den Bausteinen CSPM, DevSecOps und CWPP.

Agentenlose Ansätze lesen Konfigurationen und Workload-Snapshots über die APIs der Cloud-Provider aus: Sie erreichen in kurzer Zeit nahezu vollständige Abdeckung, auch bei Workloads, auf denen nie ein Agent installiert wurde. Ihre Grenze: Sie liefern Momentaufnahmen und können Angriffe zur Laufzeit weder in Echtzeit erkennen noch blockieren. Agentenbasierte Sensoren liefern dagegen Laufzeit-Telemetrie für Detection und Response, erzeugen aber Rollout- und Betriebsaufwand. In der Praxis hat sich die Kombination durchgesetzt – agentenlose Basisabdeckung für Sichtbarkeit und Posture, ergänzt um leichtgewichtige Sensoren auf kritischen Workloads; diesem Modell folgen etwa Wiz mit agentenlosem Scanning plus optionalem Runtime-Sensor und ebenso Microsoft Defender for Cloud.

Klassische Einzeltools erzeugen lange Findings-Listen ohne Zusammenhang; in der CSA-Umfrage gaben 32 Prozent der Organisationen an, Sicherheitsmaßnahmen wegen der Flut oft unpräziser Alerts nicht priorisieren zu können. CNAPPs begegnen dem mit Graph-Analyse: Ressourcen, Fehlkonfigurationen, Schwachstellen, Identitäten, Netz-Exposition und Datenklassifizierung werden als verknüpfter Graph modelliert. So werden toxische Kombinationen sichtbar – etwa eine internet-exponierte VM mit kritischer Schwachstelle und hoch privilegierter Rolle – und Attack Paths zeigen, über welche Wege Angreifer tatsächlich zu kritischen Assets gelangen könnten. Priorisiert wird damit nicht nach Einzel-Schweregrad, sondern nach realer Ausnutzbarkeit.

Eine CNAPP setzt bereits vor der Bereitstellung an: IaC-Scanning prüft Terraform-, ARM- oder Kubernetes-Manifeste in der CI/CD-Pipeline auf Fehlkonfigurationen und exponierte Secrets, sodass Findings dort behoben werden, wo sie entstehen – im Code. Der Cloud-Kontext hilft zugleich zu erkennen, welche Code-Findings in der Produktion überhaupt relevant sind. Am anderen Ende des Lebenszyklus stehen Laufzeitschutz und Cloud Detection & Response (CDR), die aktive Bedrohungen in laufenden Workloads erkennen. Dass Container-Sicherheit den gesamten Lebenszyklus von Image über Registry und Orchestrierung bis zur Laufzeit umfassen muss, beschreibt bereits der NIST-Leitfaden SP 800-190.

Zentrale Kriterien sind die Abdeckung der eigenen Umgebung (Cloud-Provider, Kubernetes, Serverless, ggf. On-Premises), die Scan-Architektur (agentenlos plus Sensor), die Qualität von Graph-Analyse und Attack Paths, Compliance-Mappings auf Rahmenwerke wie CIS Benchmarks oder den BSI-C5-Katalog sowie Integrationen in SIEM, Ticketing und Entwickler-Workflows. Ebenso wichtig ist das Betriebsmodell: Ohne definierte Verantwortlichkeiten für die Abarbeitung der Findings bleibt auch die beste Plattform wirkungslos. Hinzu kommt das Vendor-Risiko, denn der CNAPP-Markt konsolidiert sich – im März 2026 hat Google die Übernahme von Wiz für rund 32 Milliarden US-Dollar abgeschlossen. Es empfiehlt sich daher, Feature-Parität über alle genutzten Clouds hinweg regelmäßig zu prüfen und Wechselkosten sowie Multi-Cloud-Neutralität vertraglich zu adressieren.