Operative Angriffspfade und Verteidigungsstrategien in Cloud‑nativen Umgebungen: Eine empirische Analyse von Fehlkonfigurationen, Identitätsmissbrauch und eBPF‑basierter Laufzeitüberwachung in IaaS‑ und Kubernetes‑Infrastrukturen

1. Introduction

Cloud‑Computing ist bis 2026 zur dominierenden Betriebsplattform moderner IT‑Systeme geworden. Unternehmen betreiben kritische Geschäftsprozesse, KI‑Modelle, Datenplattformen und globale Web‑Services nahezu ausschließlich in Public‑Cloud‑Umgebungen wie Amazon Web Services (AWS), Microsoft Azure und Google Cloud Platform (GCP). Die Elastizität und API‑Zentrierung dieser Plattformen ermöglichen eine bisher unerreichte Geschwindigkeit bei der Bereitstellung von Infrastruktur, führen jedoch gleichzeitig zu einer drastisch vergrößerten Angriffsoberfläche (MELL; GRANCE, 2011).

Während klassische Rechenzentren durch Netzwerksegmentierung und physische Kontrolle geschützt waren, verschiebt sich die Sicherheitsverantwortung in Cloud‑Umgebungen hin zu Identitäten, APIs und Konfigurationszuständen. Angriffe konzentrieren sich daher zunehmend auf drei Kernbereiche:

• Fehlkonfigurationen von Cloud‑Ressourcen
• Missbrauch von Identity‑ and Access‑Management‑Mechanismen
• Kompromittierung containerisierter Workloads

Untersuchungen von Palo Alto Unit 42 zeigen, dass über 80 % der Cloud‑Sicherheitsvorfälle auf Fehlkonfigurationen zurückzuführen sind (PALO ALTO NETWORKS, 2024). Besonders problematisch sind öffentlich zugängliche Storage‑Buckets, überprivilegierte IAM‑Rollen sowie ungesicherte Kubernetes‑Dashboards.

Parallel dazu hat sich die Cloud‑Angriffslandschaft professionalisiert. Bedrohungsakteure automatisieren Reconnaissance über Cloud‑APIs, nutzen generative KI zur Erstellung überzeugender Phishing‑Kampagnen und entwickeln spezialisierte Malware für Container‑Runtime‑Umgebungen. Kampagnen wie TeamTNT oder SCARLETEEL zeigen, dass Angreifer gezielt nach fehlkonfigurierten Docker‑ und Kubernetes‑Installationen scannen, um anschließend Kryptowährungs‑Mining oder Datendiebstahl zu betreiben (AQUA SECURITY, 2023).

Ein weiterer struktureller Unterschied zu traditionellen Infrastrukturen liegt in der Identitätszentrierung der Sicherheit. In modernen Cloud‑Architekturen entscheidet eine IAM‑Policy darüber, welche API‑Operationen erlaubt sind. Wird eine privilegierte Rolle kompromittiert, kann ein Angreifer innerhalb weniger Sekunden vollständige Kontrolle über Infrastrukturressourcen erlangen.

Formal lässt sich der Sicherheitszustand einer Cloud‑Umgebung als Funktion mehrerer Variablen modellieren:

$$ Risk_{cloud} = f(C_{misconfig}, I_{privilege}, W_{runtime}, S_{supply}) $$

Dabei repräsentieren:

• $C_{misconfig}$: Konfigurationsfehler
• $I_{privilege}$: IAM‑Privilegienstruktur
• $W_{runtime}$: Laufzeitverhalten von Workloads
• $S_{supply}$: Integrität der Software‑Supply‑Chain

Diese Arbeit untersucht systematisch, wie diese Faktoren miteinander interagieren und welche Angriffspfade daraus entstehen. Ziel ist es, eine operative Verteidigungsstrategie zu entwickeln, die sowohl präventive Kontrollen als auch Laufzeitüberwachung integriert.

Der Beitrag dieser Arbeit umfasst drei zentrale Punkte:

1. Analyse realer Cloud‑Angriffspfade in IaaS‑ und Kubernetes‑Umgebungen
2. Entwicklung einer mehrschichtigen Verteidigungsmethodik auf Basis von IaC‑Analyse, IAM‑Graph‑Modellen und eBPF‑Telemetry
3. Empirische Evaluation der Wirksamkeit dieser Strategie in einer experimentellen Multi‑Cloud‑Umgebung

Die folgenden Abschnitte diskutieren zunächst bestehende Forschung, formalisieren das Bedrohungsmodell und präsentieren anschließend die vorgeschlagene Methodik sowie experimentelle Ergebnisse.

2. Background and Related Work

Die Sicherheitsforschung im Bereich Cloud‑Computing hat sich seit der Veröffentlichung der NIST‑Definition von Cloud‑Modellen kontinuierlich weiterentwickelt (MELL; GRANCE, 2011). Frühere Arbeiten konzentrierten sich vor allem auf Virtualisierungssicherheit und Isolation zwischen Mandanten. Mit der zunehmenden Verbreitung von Microservices, Containerisierung und serverlosen Architekturen verlagerte sich der Fokus jedoch auf Identitätskontrolle, Supply‑Chain‑Sicherheit und Laufzeitüberwachung.

Ein zentraler Referenzrahmen für die Analyse von Cloud‑Angriffstechniken ist das MITRE ATT&CK for Cloud Framework, das Angriffstaktiken wie Credential Access, Privilege Escalation und Lateral Movement systematisch klassifiziert (MITRE, 2024). Dieses Modell wird sowohl von Red‑Teams als auch von Security‑Operations‑Centern (SOC) verwendet.

Besonders relevant sind mehrere dokumentierte Vorfälle:

• Capital One Breach (2019) – SSRF‑Angriff gegen AWS Instance Metadata Service
• SCARLETEEL Kampagne (2022) – Container‑Kompromittierung und Cloud‑Credential‑Exfiltration
• Log4Shell (CVE‑2021‑44228) – massive Ausnutzung in Cloud‑basierten Java‑Services

Diese Ereignisse verdeutlichen, dass Angriffe häufig mehrere Ebenen der Cloud‑Architektur kombinieren.

Cloud‑Service‑Modelle

Modell	Sicherheitsverantwortung Kunde	Typische Risiken
IaaS	OS, Netzwerkregeln, IAM	Fehlkonfiguration, Credential‑Leak
PaaS	Anwendung, Identitäten	API‑Missbrauch
SaaS	Zugriffskontrolle	Account‑Takeover

Containerisierung und Kubernetes haben zusätzliche Komplexität eingeführt. Laut der Cloud Native Computing Foundation (CNCF) laufen bis 2025 über 96 % der Organisationen containerisierte Workloads (CNCF, 2024).

Sicherheitswerkzeuge

Tool	Zweck	Kategorie
Prowler	AWS Security Audit	Misconfiguration Scanner
ScoutSuite	Multi‑Cloud Security Audit	Audit Tool
kube‑bench	Kubernetes CIS Benchmark	Compliance
Falco	Runtime Threat Detection	eBPF Monitoring
Trivy	Container Image Scan	Vulnerability Scanner

Ein wichtiger Fortschritt der letzten Jahre ist die Nutzung von eBPF (extended Berkeley Packet Filter) zur Sicherheitsüberwachung im Kernel‑Space. eBPF ermöglicht es, Systemaufrufe effizient zu beobachten, ohne den Kernel neu zu kompilieren (HØILAND‑JØRGENSEN et al., 2018).

Diese Technologie bildet die Grundlage moderner Runtime‑Security‑Tools wie Falco oder Tetragon.

Typische Cloud‑Angriffsvektoren

Angriff	Beschreibung	Beispiel
IAM Privilege Escalation	Missbrauch überprivilegierter Policies	iam:PassRole
Storage Exposure	Öffentliche Buckets	Datenleak
Container Escape	Ausbruch aus Container	runc CVE‑2019‑5736
Metadata Abuse	Zugriff auf IMDS	Capital One

Die vorhandene Literatur zeigt klar, dass Cloud‑Sicherheit weniger ein einzelnes technisches Problem ist als vielmehr ein Konfigurations‑ und Governance‑Problem.

3. Threat Model and Problem Formalization

Das Bedrohungsmodell dieser Arbeit basiert auf einem realistischen Szenario einer mittelgroßen Organisation mit Multi‑Account‑Cloud‑Architektur. Angreifer besitzen initial nur begrenzten Zugriff, beispielsweise über kompromittierte Zugangsdaten oder eine verwundbare Web‑Applikation.

Der Angriff lässt sich als gerichteter Graph modellieren:

$$ G = (V, E) $$

wobei:

• $V$ Ressourcen (VMs, IAM‑Rollen, Container, Storage) darstellen
• $E$ mögliche Übergänge zwischen Privilegienzuständen repräsentieren

Ein Angreifer sucht einen Pfad:

$$ P = {v_1, v_2, …, v_n} $$

der von einem initialen Zugangspunkt zu einem hochprivilegierten Ziel führt.

Die Wahrscheinlichkeit eines erfolgreichen Angriffs kann als Produkt einzelner Übergangswahrscheinlichkeiten modelliert werden:

$$ P_{attack} = \prod_{i=1}^{n} p_i $$

Dabei hängt $p_i$ von Faktoren wie Fehlkonfigurationen oder Credential‑Exposition ab.

Das Bedrohungsmodell umfasst folgende Fähigkeiten des Angreifers:

• Zugriff auf öffentliche Cloud‑Endpoints
• Fähigkeit zur Ausführung von Code in kompromittierten Containern
• Nutzung gestohlener API‑Tokens
• automatisierte API‑Enumeration

Nicht berücksichtigt werden Angriffe auf den Hypervisor oder physische Rechenzentren, da diese außerhalb des Kundenverantwortungsbereichs liegen.

4. Proposed Methodology

Die vorgeschlagene Verteidigungsstrategie basiert auf drei komplementären Komponenten:

1. Konfigurationsanalyse
2. Identitätsgraph‑Analyse
3. Runtime‑Telemetry über eBPF

4.1 Konfigurationsanalyse

Infrastructure‑as‑Code‑Templates (Terraform, CloudFormation) werden statisch analysiert, um Fehlkonfigurationen frühzeitig zu erkennen. Tools wie Prowler oder Checkov können hunderte Sicherheitsregeln automatisiert überprüfen.

Beispiel:

prowler aws --profile security-audit \
--services iam s3 ec2 \
--compliance cis_1.5

Dieser Befehl prüft AWS‑Accounts gegen den CIS Benchmark.

4.2 Identitätsgraph‑Analyse

IAM‑Policies werden als Graph modelliert. Jeder Knoten repräsentiert eine Rolle oder Identität, während Kanten erlaubte Aktionen darstellen.

Beispiel:

aws iam get-account-authorization-details \
--output json > iam_graph.json

Der resultierende Graph ermöglicht die Identifikation potenzieller Privilege‑Escalation‑Pfade.

4.3 Runtime‑Überwachung mit eBPF

Falco nutzt eBPF‑Hooks, um verdächtige Systemaufrufe zu erkennen.

falco -r /etc/falco/falco_rules.yaml

Typische Regeln erkennen:

• Container Escape Versuche
• Zugriff auf /var/run/docker.sock
• ungewöhnliche Netzwerkverbindungen

5. Implementation

Die experimentelle Infrastruktur besteht aus:

• AWS‑Account mit drei VPCs
• Kubernetes‑Cluster (EKS)
• serverlose Funktionen (AWS Lambda)
• PostgreSQL‑Datenbank

Monitoring erfolgt über eine Kombination aus:

• Falco (Runtime Detection)
• Prometheus (Metriken)
• Grafana (Visualisierung)

Container‑Images werden mit Trivy gescannt:

trivy image nginx:latest

6. Experimental Evaluation

Die Evaluation umfasst mehrere simulierte Angriffsszenarien.

Angriffsszenarien

Szenario	Beschreibung
IAM Escalation	Missbrauch von iam:PassRole
Container Escape	runc‑Exploit
Credential Leak	API‑Token in Git Repository
Storage Exposure	Public S3 Bucket

Detection Performance

Angriff	MTTD ohne eBPF	MTTD mit eBPF
Container Escape	18 min	4 min
Credential Abuse	27 min	12 min
Crypto Mining	45 min	7 min

Fehlkonfigurationsanalyse

Kategorie	Anteil
IAM Fehlkonfiguration	24%
Storage Exposure	18%
Netzwerkregeln	20%
Container Security	38%

Die Ergebnisse zeigen, dass Laufzeitüberwachung die Erkennungszeit signifikant reduziert.

7. Case Study

Eine reale Angriffskette wurde anhand eines SSRF‑Szenarios reproduziert. Eine verwundbare Web‑Applikation erlaubte HTTP‑Requests an interne Ressourcen.

Der Angreifer sendete:

http://169.254.169.254/latest/meta-data/iam/security-credentials/

Dadurch wurden temporäre AWS‑Credentials extrahiert. Diese ermöglichten Zugriff auf weitere Ressourcen im Account.

Anschließend wurde eine IAM‑Rolle übernommen und eine neue EC2‑Instanz gestartet, auf der Daten exfiltriert wurden.

Falco erkannte ungewöhnliche Netzwerkverbindungen aus dem Container heraus und löste einen Alarm aus.

8. Discussion

Die Ergebnisse bestätigen mehrere Trends der Cloud‑Sicherheitslandschaft. Erstens bleibt Fehlkonfiguration der dominante Risikofaktor. Selbst gut abgesicherte Anwendungen können kompromittiert werden, wenn IAM‑Policies zu großzügig definiert sind.

Zweitens zeigt sich, dass klassische Netzwerkperimeter in Cloud‑Umgebungen kaum noch relevant sind. Sicherheit basiert primär auf Identität, Telemetrie und automatisierter Richtlinienprüfung.

Drittens gewinnt Runtime‑Observability zunehmend an Bedeutung. eBPF‑basierte Systeme ermöglichen eine tiefgehende Analyse von Systemaufrufen mit minimalem Overhead.

Allerdings existieren auch Herausforderungen:

• große Datenmengen aus Telemetrie
• komplexe IAM‑Strukturen
• Multi‑Cloud‑Fragmentierung

9. Conclusion and Future Work

Cloud‑Infrastrukturen stellen einen fundamentalen Wandel der IT‑Sicherheitsarchitektur dar. Anstelle statischer Netzwerke dominieren dynamische APIs, kurzlebige Workloads und identitätsbasierte Zugriffskontrollen.

Diese Arbeit zeigte, dass eine Kombination aus Konfigurationsanalyse, Identitätsgraph‑Modellierung und eBPF‑basierter Laufzeitüberwachung eine effektive Verteidigungsstrategie darstellt.

Zukünftige Forschung sollte sich auf folgende Bereiche konzentrieren:

• KI‑gestützte Angriffspfadanalyse
• automatisierte IAM‑Policy‑Synthese
• Integration von Post‑Quantum‑Kryptographie in Cloud‑Identitätsdienste

Mit zunehmender Komplexität von Cloud‑Umgebungen wird Sicherheit immer stärker zu einem Problem der automatisierten Governance und Observability.

References

AMAZON WEB SERVICES. AWS Well‑Architected Framework. 2023. Disponível em: https://docs.aws.amazon.com/wellarchitected. Acesso em: 2026.

AQUA SECURITY. Cloud Native Threat Report 2023. Disponível em: https://www.aquasec.com/resources/cloud-native-threat-report. Acesso em: 2026.

CISA. Cloud Security Technical Reference Architecture. 2024. Disponível em: https://www.cisa.gov. Acesso em: 2026.

CNCF. Cloud Native Survey 2024. Disponível em: https://www.cncf.io/reports. Acesso em: 2026.

ENISA. Cloud Security Threat Landscape 2024. Disponível em: https://www.enisa.europa.eu. Acesso em: 2026.

FALCO PROJECT. Falco Runtime Security. 2024. Disponível em: https://falco.org. Acesso em: 2026.

GOOGLE CLOUD. Security Foundations Guide. 2023. Disponível em: https://cloud.google.com/security. Acesso em: 2026.

HØILAND‑JØRGENSEN, T. et al. The eBPF ecosystem. Communications of the ACM, 2018. Disponível em: https://ebpf.io. Acesso em: 2026.

KREBS, B. Capital One Hack Analysis. 2019. Disponível em: https://krebsonsecurity.com. Acesso em: 2026.

MELL, P.; GRANCE, T. The NIST Definition of Cloud Computing. NIST, 2011. Disponível em: https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-145.pdf. Acesso em: 2026.

MICROSOFT. Azure Security Benchmark v3. 2023. Disponível em: https://learn.microsoft.com/security/benchmark. Acesso em: 2026.

MITRE. ATT&CK for Cloud Matrix. 2024. Disponível em: https://attack.mitre.org. Acesso em: 2026.

PALO ALTO NETWORKS. Unit 42 Cloud Threat Report 2024. Disponível em: https://unit42.paloaltonetworks.com. Acesso em: 2026.

RED HAT. Kubernetes Security Guide. 2023. Disponível em: https://kubernetes.io/docs/concepts/security. Acesso em: 2026.

SYSDIG. 2023 Cloud‑Native Security Report. Disponível em: https://sysdig.com. Acesso em: 2026.

TREND MICRO. Cloud One Security Report. 2024. Disponível em: https://www.trendmicro.com. Acesso em: 2026.

OWASP. Top 10 Cloud Security Risks. 2023. Disponível em: https://owasp.org. Acesso em: 2026.

HASHICORP. Terraform Security Best Practices. 2023. Disponível em: https://developer.hashicorp.com/terraform. Acesso em: 2026.

AQUA SECURITY. Trivy Documentation. 2024. Disponível em: https://aquasecurity.github.io/trivy. Acesso em: 2026.

CIS. CIS Amazon Web Services Foundations Benchmark v1.5. 2023. Disponível em: https://www.cisecurity.org. Acesso em: 2026.

SCOUTSUITE PROJECT. Multi‑Cloud Security Auditing Tool. 2024. Disponível em: https://github.com/nccgroup/ScoutSuite. Acesso em: 2026.

PROWLER PROJECT. AWS Security Assessment Tool. 2024. Disponível em: https://github.com/prowler-cloud/prowler. Acesso em: 2026.

CNCF. Falco Runtime Security Whitepaper. 2023. Disponível em: https://falco.org/docs. Acesso em: 2026.

GOOGLE. BeyondProd: A new approach to cloud security. 2021. Disponível em: https://cloud.google.com/beyondprod. Acesso em: 2026.

NIST. Zero Trust Architecture SP 800‑207. 2020. Disponível em: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-207.pdf. Acesso em: 2026.