Organisationen investieren viel in den Schutz von Netzwerk und Anwendungen, vernachlässigen aber oft das Basis-Image, von dem alles startet. Ein AMI mit veralteten Paketen oder unverschlüsselten Snapshots trägt das Risiko in jede daraus geborene Instanz. Die gute Nachricht: Das Image zu schützen ist ein einzelner, sehr wirtschaftlicher Kontrollpunkt.
Die Triade, die das löst, ist leicht gesagt und anspruchsvoll zu halten: Verschlüsselung, Patches und nachweisbare Compliance.
1. Verschlüsselung: Daten im Ruhezustand und bei der Übertragung schützen
Verschlüsselung ist die Verteidigungslinie, wenn alles andere versagt. Bei Maschinen-Images greift sie auf mehreren Ebenen:
- Verschlüsselte EBS-Snapshots mit AWS KMS bzw. Azure Disk Encryption und Google CMEK in anderen Clouds.
- Kundenseitig verwaltete Schlüssel (CMK) mit automatischer Rotation und minimalen Zugriffsrichtlinien.
- Standardverschlüsselung auf Kontoebene aktiviert, damit kein Image unverschlüsselt entsteht.
- Secrets außerhalb des Images verwalten: Backen Sie nie Passwörter oder Tokens ein; injizieren Sie sie zur Laufzeit mit Secrets Manager, Vault oder Parameter Store.
2. Patches: das Rennen gegen die CVEs
Täglich werden Schwachstellen veröffentlicht. Ein Image ist an dem Tag sicher, an dem Sie es erstellen – und jeden Tag danach ein bisschen weniger. Patch-Management in einer unveränderlichen Welt heißt nicht, laufende Server zu aktualisieren, sondern häufig neu zu backen.
- Rebuild-Takt: Bauen Sie das Basis-Image mindestens monatlich neu, und dringend bei einem kritischen CVE Ihres Stacks.
- Scan in der Pipeline: Integrieren Sie Trivy, Grype oder Amazon Inspector, um CVEs vor der Veröffentlichung zu finden.
- Qualitäts-Gate: Blockieren Sie die Veröffentlichung, wenn Schwachstellen oberhalb eines Schwellwerts auftreten, etwa kritische oder ausnutzbare hohe.
- SBOM: Erzeugen Sie eine Software Bill of Materials, um genau zu wissen, was jedes Image enthält, und beim nächsten Log4Shell schnell zu reagieren.
3. Compliance: nachweisen, nicht nur tun
In einem Audit reicht Sicherheit nicht: Sie müssen sie mit Nachweisen belegen. Gut regierte Images erzeugen diese Nachweise ganz von selbst.
| Rahmenwerk | Was es von Ihren Images erwartet | Nachweis, den Sie liefern können |
|---|---|---|
| SOC 2 | Konsistente, überwachte Sicherheitskontrollen | Hardening-Berichte und Build-Logs |
| ISO 27001 | Schwachstellenmanagement und Änderungskontrolle | CVE-Scans, Versionierung und SBOM |
| PCI DSS | Sichere Konfiguration und dokumentiertes Patchen | CIS Benchmark und Rebuild-Historie |
| ENS / DSGVO | Verschlüsselung und Datenminimierung | KMS-Verschlüsselung, keine Personendaten im Image |
Wie sich sichere Image-Praktiken in Compliance-Nachweise übersetzen.
Der neue regulatorische Kontext 2026
Das regulatorische Umfeld verschärft sich. 2026 treten zentrale Stufen der europäischen KI-Regulierung und neue Produkthaftungsrichtlinien in Kraft, und mehrere Jurisdiktionen verschärfen ihre Anforderungen an Cloud-Governance und Compliance. Praktisch übersetzt: Nachvollziehbarkeit darüber, welche Software Sie ausführen und wie Sie sie absichern, ist nicht mehr optional. Eine prüfbare Image-Kette ist Ihre beste Versicherung.
Checkliste zur Image-Sicherheit
- Standardverschlüsselung aktiviert und Snapshots mit CMK.
- Keine eingebackenen Secrets; externe Verwaltung von Zugangsdaten.
- CVE-Scan bei jedem Build mit Qualitäts-Gate.
- Regelmäßiger Rebuild und Rebuild bei kritischem CVE.
- CIS Benchmark angewendet und validiert.
- SBOM und Build-Logs als Nachweis archiviert.
- Sichere Ausmusterung veralteter Images.
Häufig gestellte Fragen
Wie oft muss ein unveränderliches Image gepatcht werden?
Es wird nicht im laufenden Betrieb gepatcht, sondern neu gebaut. Ein monatlicher Zyklus ist ein gutes Minimum, dazu außerplanmäßige Rebuilds bei kritischen CVEs, die Ihre Software betreffen.
Was ist ein SBOM und warum brauche ich es?
Ein SBOM ist das Inventar aller Software und Abhängigkeiten in Ihrem Image. Damit wissen Sie in Minuten, ob eine neue Schwachstelle Sie betrifft – und es wird in der Compliance immer häufiger gefordert.
Beeinträchtigt Verschlüsselung die Leistung?
Die EBS-Verschlüsselung mit KMS ist transparent, und ihr Leistungseinfluss ist für die meisten Lasten praktisch nicht wahrnehmbar.
Bei imaxe.cloud wenden wir Verschlüsselung, Scans und kontinuierliche Aktualisierung auf unsere Images an, damit Sie von einer Basis starten, die jedem Audit standhält.
