Azure Security Baseline, CSPM und Least Privilege für eine Großhandelsgruppe mit 30.000 Benutzern

Ausgangslage

Die IT-Holding einer Großhandelsgruppe verantwortet die IT für rund 30.000 Benutzer. Anwendungen laufen containerisiert in Azure Kubernetes Service (AKS), Images liegen in Azure Container Registry (ACR) und in selbstgehosteten Registries. Die Holding wollte eine unternehmensweite Azure Security Baseline, ein zentrales CSPM, also die laufende Prüfung der Cloud-Konfiguration, und eigene Fähigkeiten zur Erkennung von Angriffen. WCS ist seit Dezember 2025 für die Security- und Cloud-Architektur beauftragt.

Vorgehen

• AKS und ACR sind an CrowdStrike Falcon Cloud Security als zentrales CSPM angebunden. Fehlkonfigurationen, Schwachstellen und Workload-Risiken laufen an einer Stelle zusammen; selbstgehostete Registries prüft das Self-Hosted Registry Assessment.
• Der Falcon Admission Controller auf AKS, Image-Scanning, Runtime-Absicherung und Policy-Enforcement in CI/CD sichern den Weg vom Build bis zum laufenden Container.
• Ein CSPM-Konzept legt Verantwortlichkeiten, Eskalationswege und Reporting fest.
• Die Infrastruktur entsteht vollständig per Terraform mit getrenntem State in GitLab; Dienste authentifizieren sich über User-Assigned Managed Identities.
• Seit September 2026 kommt eine Entra-ID-Baseline hinzu: eigene Rollendefinitionen für Blue Team und Plattformbetrieb anstelle hochprivilegierter Built-in-Rollen, PIM-Just-in-Time statt dauerhafter privilegierter Zuweisungen und eine Least-Privilege-Auswertung, die auch transitive Rechte über verschachtelte Gruppen erfasst.

Ergebnis

Die Baseline ist im ISMS der Gruppe verankert und damit verbindlicher Maßstab für neue Workloads. Cloud-Risiken sind zentral sichtbar, und für jedes Risiko ist geregelt, wer es bearbeitet und wohin eskaliert wird. Privilegierte Rechte in Entra ID sind auf die Aufgaben von Blue Team und Plattformbetrieb zugeschnitten und werden nur bei Bedarf aktiviert.

Im bestehenden Blue Team der Gruppe arbeiten wir bei Cloud Detection und Incident Handling mit. Schulungen für Security-, Plattform- und DevOps-Teams sorgen dafür, dass die Holding Baseline und Werkzeuge selbst weiterführt.