AWS Security- & Kosten-Review

Gründungsangebot: Meine ersten drei Kunden erhalten das Review für 1.800 € statt 2.400 €. Scoping-Gespräche sind jetzt buchbar, wählen Sie also unten einen 30-Minuten-Termin.

Geben Sie mir fünf Arbeitstage, und ich zeige Ihnen, wo Ihre AWS-Rechnung still und leise steigt, welche Sicherheitslücken Ihre Enterprise-Deals bremsen und was Sie zuerst anpacken sollten.

#

Das ist ein AWS Security- & Kosten-Review zum Festpreis, gemacht für B2B-Softwarefirmen, die auf AWS laufen und an Enterprise- oder regulierte Kunden verkaufen. Fünf Bereiche, ein priorisierter Bericht, fertig in einer Woche. Alles läuft mit reinem Lesezugriff, in Ihrem Account ändert sich also nichts. Nicht das Geringste.

30-Minuten-Scoping-Gespräch buchen →

Zwei Probleme, die ich Ihnen abnehme

#

💸 Ihre AWS-Rechnung steigt schneller als Ihr Umsatz. Ungenutzte Ressourcen, zu groß gewählte Instanzen, die Staging-Umgebung, die niemand abgestellt hat, keine Savings Plans in Sicht. Das summiert sich auf Tausende Euro im Monat, die still versickern, während das Team Features baut. Ich finde das alles und sortiere es nach dem, was es Sie wirklich kostet, damit Sie wissen, was Sie zuerst abschalten sollten.

🔒 Sicherheitslücken blockieren echte Deals. ISO 27001, SOC 2, der Sicherheitsfragebogen, den ein Großkunde gerade in Ihr Postfach gelegt hat. Deals stocken, wenn Ihr AWS-Setup offensichtliche Schwachstellen hat, und für B2B-Software schmerzt das oft am meisten, weil es keine Kostenlinie ist, sondern eine Umsatzlinie. Ich bringe die Lücken ans Licht, die bei solchen Prüfungen durchfallen, bevor das Sicherheitsteam Ihres Interessenten sie findet.

Ein Review deckt beides ab. Sie müssen sich nicht entscheiden.

Erkennen Sie sich wieder?

#

• Sie sind eine B2B-Softwarefirma mit etwa 20 bis 250 Mitarbeitenden und verkaufen an Enterprise- oder regulierte Kunden.
• Sie laufen auf AWS, aber es gibt keinen dedizierten SRE, Platform Lead oder Cloud-Security-Verantwortlichen, der das Ganze hauptamtlich im Blick hat.
• Die Rechnung, der Security-Rückstand oder ehrlich gesagt beides wächst schneller, als jemand Zeit hat, sich darum zu kümmern.
• Sie sind in der DACH-Region oder arbeiten problemlos auf Englisch.

Wenn Ihnen das vertraut vorkommt, rechnet sich dieses Review meist schon, bevor der Bericht in Ihrem Postfach landet.

Vielleicht kennen Sie diese Gedanken

#

• „Unsere AWS-Rechnung ist dieses Quartal wieder gestiegen, und niemand kann das wirklich erklären.“
• „Das Sicherheitsteam eines Interessenten hat einen Fragebogen geschickt, und ich bin nicht sicher, wie wir die Hälfte der Fragen beantworten sollen.“
• „ISO 27001 oder SOC 2 steht an, und wir wissen nicht, was auf uns zukommt.“
• „Wir hatten einen Ausfall, oder beinahe, und dann festgestellt, dass das eigentlich niemand verantwortet.“
• „Wir stellen gerade unseren ersten Platform Engineer ein, und ich würde ihm lieber eine Karte mitgeben als ein Chaos.“

Was Sie konkret bekommen

#

Einen Bericht mit 15 bis 25 Seiten, mit dem Sie noch in derselben Woche loslegen können, plus eine Stunde Gespräch mit mir, um alles durchzugehen. Das steckt drin:

• Eine einseitige Zusammenfassung, die Ihr CEO oder CTO in drei Minuten liest.
• Ihre zehn wichtigsten Feststellungen, priorisiert nach Risiko, Euro-Auswirkung und Aufwand, damit Sie zuerst das angehen, was am meisten bringt.
• Sicherheitsfeststellungen zugeordnet zu ISO 27001 Anhang A und NIS2, mit denselben Control-Referenzen, die das Sicherheitsteam Ihres Kunden und Ihr Auditor verwenden.
• Quick Wins: Korrekturen, die jeweils weniger als einen Tag dauern.
• Ein priorisiertes P0/P1/P2-Backlog, das Sie oder Ihre nächste Einstellung der Reihe nach abarbeiten können.
• Ein 60-minütiges Walkthrough-Gespräch, um alles zu besprechen und offene Fragen zu klären.
• Auf Wunsch ein Festpreisangebot für die Umsetzung der Korrekturen, falls Sie das lieber mir überlassen.

Kein 80-seitiges PDF, das Sie einmal überfliegen und dann vergessen. Nur eine klare, priorisierte Liste mit dem nächsten Schritt.

Die fünf Bereiche, die ich mir anschaue

#

Jedes Review geht Ihren Account aus fünf Richtungen durch:

1. Kosten. Ausgabentrends, ungenutzte und überdimensionierte Ressourcen, Savings-Plan- und Reserved-Instance-Abdeckung und die echten Euros, die Sie jeden Monat verlieren.
2. Sicherheit. IAM-Rechte, öffentlicher Zugriff, Verschlüsselungslücken, Protokollierung und Alarmierung und die Feststellungen, die bei Sicherheitsprüfungen von Kunden und bei der ISO-27001-Vorbereitung durchfallen.
3. Zuverlässigkeit. Single Points of Failure, fehlende Backups, unverschlüsselte Volumes, fehlende Alarme. Das, woraus nachts um zwei Uhr Anrufe werden.
4. Betrieb. Logging, Konfigurationsnachverfolgung, Tagging-Hygiene und was Sie sehen können (und was nicht), wenn etwas schiefläuft.
5. EU-Compliance. Datenhaltung, Regionsnutzung, öffentliche Buckets, Verschlüsselungs-Defaults. Die DSGVO-relevanten Signale, die hier in Europa zählen.

Wie die Woche abläuft

#

Unterm Strich brauchen Sie für die ganze Woche ungefähr 2 bis 3 Stunden Ihrer Zeit. Das war’s.

Was ich von Ihnen brauche

#

• Eine IAM-Rolle mit reinem Lesezugriff. Ich stelle Ihnen bereit, was zu Ihrem Setup passt: einen CloudFormation-Stack per Klick, ein Terraform-Snippet oder eine Schritt-für-Schritt-Anleitung für die Konsole. Die Rolle kann Ihre Konfiguration und Abrechnung lesen, und sonst nichts. Keinerlei Schreibrechte, niemals. Und Sie können sich genau anschauen, was sie darf, bevor Sie sie einrichten.
• Ungefähr 2 bis 3 Stunden einer Person über die Woche verteilt (Kickoff, Rolleneinrichtung, Walkthrough).

Das ist wirklich alles. Ihre Produktionsumgebung wird nicht angefasst.

Was es kostet

#

2.400 €, Festpreis. Darin enthalten sind bis zu drei AWS-Konten und zwei Regionen. Jedes weitere Konto kostet 400 €. Die Hälfte ist zu Beginn fällig, die andere Hälfte bei Lieferung. Kein Stundenhonorar, kein Scope Creep, keine überraschende Rechnung am Ende.

Gründungspreis: 1.800 € für meine ersten drei Kunden, im Gegenzug für eine anonymisierte Fallstudie und ein kurzes Testimonial. Gültig bis spätestens 31. März 2027.

Und das ist mein Versprechen: Findet die Prüfung weniger als fünf Feststellungen mit hoher oder kritischer Einstufung, jeweils ISO 27001 oder NIS2 zugeordnet, zahlen Sie nichts.

Technische Prüfung, kein Zertifizierungsaudit. Ich prüfe Ihre AWS-Konfiguration gegen die aktuellen Anforderungen aus ISO/IEC 27001:2022 Anhang A und NIS2 (Art. 21, § 30 BSIG) und verwende dabei dieselben Control-Referenzen wie Ihr Auditor. Das Ergebnis ist ein technischer Nachweis für Ihr ISMS, die Sicherheitsfragebögen Ihrer Kunden und Ihre Audit-Vorbereitung. Es ersetzt weder ein Zertifizierungsaudit durch eine akkreditierte Stelle noch eine Rechtsberatung.

Alle Preise netto, zuzüglich gesetzlicher Umsatzsteuer, sofern sie anfällt.

Warum ich?

#

Ich habe mehr als 20 Jahre damit verbracht, Cloud-Plattformen aufzubauen und abzusichern, und ich saß genau dort, wo Sie gerade sitzen.

Als Mitgründer und CTO von CINE.BOX habe ich die Streaming-Plattform aufgebaut und ausgeliefert, die eines der größten deutschen Filmfestivals, das Filmfestival Max Ophüls Preis, während Corona vollständig online brachte. Das war DSGVO-konform, kostenoptimiert und unter enormem Zeitdruck in etwa drei Monaten umgesetzt: über 11.000 verkaufte Tickets, rund 12.800 registrierte Nutzerinnen und Nutzer, etwa 39.000 Filmaufrufe. Eine unabhängige Begleitforschung im Auftrag des saarländischen Wirtschaftsministeriums bezeichnete das Projekt später als „Leuchtturmprojekt“ für Blockchain in Deutschland.

Davor habe ich die AWS-IoT-Cloud-Plattform eines globalen Industrieunternehmens verantwortet: eine Geräteflotte über mehrere Regionen hinweg, mit allem, was das für Kosten, Sicherheit und Zuverlässigkeit in echtem Maßstab bedeutet.

Heute helfe ich B2B-Softwarefirmen, genau dorthin zu kommen: zu einem AWS-Setup, das nicht still Geld verliert und in einer Sicherheitsprüfung durch Enterprise-Kunden nicht durchfällt. Ich sitze in München und arbeite auf Deutsch und Englisch. Und ich denke von Haus aus sicherheitsorientiert, deshalb läuft jedes meiner Reviews mit reinem Lesezugriff.

Häufige Fragen

#

Wird dabei unsere Produktionsumgebung angefasst? Nein. Das gesamte Review läuft über eine IAM-Rolle mit reinem Lesezugriff, die Sie selbst einrichten. Sie hat keinerlei Schreibrechte. Sie kann schauen, aber nichts ändern. Und ich zeige Ihnen genau, was sie darf, bevor Sie sie einrichten.

Unsere AWS-Rechnung ist nicht so hoch. Lohnt sich das trotzdem? Oft ja, weil der größere Gewinn meist auf der Sicherheits- und Deal-Seite liegt, nicht bei den reinen Kosteneinsparungen. Wenn die Sicherheitsprüfung eines Enterprise-Kunden einen Vertrag aufhält, ist das Finden und Beheben dieser Lücken das Honorar wert, egal wie hoch Ihre Rechnung ist.

Ist das ein Zertifizierungsaudit? Nein. Es ist eine technische Prüfung Ihrer AWS-Konfiguration, zugeordnet zu ISO 27001 Anhang A und NIS2, damit Ihr ISMS-Team oder Ihr Auditor die Feststellungen direkt weiterverwenden kann. Sie ersetzt kein Zertifizierungsaudit durch eine akkreditierte Stelle und ist keine Rechtsberatung.

Wann können Sie anfangen? Ich nehme nur wenige Reviews gleichzeitig an. Buchen Sie ein Scoping-Gespräch, dann legen wir gemeinsam einen Starttermin fest. Wer früh spricht, hat die erste Wahl bei den Terminen.

Was passiert im Scoping-Gespräch? Dreißig Minuten, kostenlos, ohne Druck. Ich verstehe Ihr Setup und was Sie beschäftigt, und Sie bekommen eine ehrliche Einschätzung, ob das hier passt. Wenn nicht, sage ich es Ihnen direkt.

Können Sie die Korrekturen auch umsetzen, nicht nur finden? Ja. Es gibt einen optionalen Remediation-Sprint zum Festpreis, der genau dort weitermacht, wo das Review aufhört, falls Sie das lieber nicht intern erledigen. Der Bericht steht in jedem Fall für sich.

Lassen Sie uns sprechen

#

Buchen Sie ein 30-Minuten-Gespräch, und wir schauen, ob das Review das Richtige für Sie ist. Kostenlos, unverbindlich, ohne Verkaufsdruck.

Gründungspreis für meine ersten drei Kunden · Scoping-Gespräche jetzt offen · München · DE / EN

Noch nicht bereit für ein komplettes Review? Beginnen Sie mit dem Gratis-Leitfaden: die 17 AWS-Kostenlecks, die mir am häufigsten begegnen.