Cloud-Sicherheit beschränkt sich längst nicht mehr auf das Prüfen von Konfigurationen. Es geht darum, Angreifern in dynamischen Umgebungen einen Schritt voraus zu sein, in denen ständig neue Dienste, Identitäten und Code hinzukommen.
Herkömmliche Sicherheitstools können mit kurzlebigen Cloud-Ressourcen, zunehmend komplexen Identitäten und dem Tempo moderner DevOps-Prozesse kaum Schritt halten. Sicherheitsteams benötigen eine Plattform, die Signale zusammenführt, tatsächliche Risiken und Angriffspfade erkennt und eine schnelle Behebung ermöglicht – ohne die Entwicklung auszubremsen.
Genau dafür wurden “cloud native application protection platforms” (CNAPPs) entwickelt: um Cloud-Sicherheit von der Entwicklung bis zur Produktion zu vereinheitlichen – über Infrastruktur, Workloads, Identitäten und Daten hinweg. Allerdings bieten nicht alle CNAPPs das gleiche Schutzniveau. Viele bestehen aus zusammengekauften Einzellösungen. Andere erzeugen zu viel Alarmrauschen ohne Kontext.
Dieser Leitfaden zeigt, worauf es bei der Auswahl einer CNAPP ankommt: vollständige Transparenz über alle Ebenen der Cloud-Umgebung, Runtime Protection und entwicklerfreundliche Workflows.
Außerdem erfahren Sie, wodurch sich moderne CNAPP-Lösungen auszeichnen – etwa durch graphbasierte Risikoanalysen, agentless Scanning oder Code-to-cloud-Nachverfolgbarkeit.
Gartner® Market Guide for CNAPP
The Gartner® Market Guide for Cloud-Native Application Protection Platforms (CNAPP) explores this shift and outlines what security leaders should consider as the market matures.
Kernfunktionen einer CNAPP
Moderne CNAPPs bieten mehr als Einzellösungen und führen Sicherheitsfunktionen auf einer zentralen Plattform zusammen. Statt Sicherheitssignale manuell zu korrelieren, nutzen moderne Plattformen kontextuelle Analysen und einheitliche Risikographen. So können Sicherheitsteams die tatsächlich relevanten Risiken priorisieren und aktive Bedrohungen in Echtzeit erkennen und blockieren.
Die fortschrittlichsten CNAPPs verwenden ein graphbasiertes Risikomodell, um Signale über Identitäten, Daten und Infrastruktur miteinander zu verknüpfen. Dadurch lassen sich relevante Angriffspfade identifizieren – etwa ein anfälliger Container, der über eine überprivilegierte IAM-Rolle erreichbar ist und auf sensible Daten zugreifen kann. So lassen sich Prioritäten setzen, anstatt isolierte Alarme abzuarbeiten.
Im Folgenden werden die Kernfunktionen einer CNAPP näher betrachtet.
1. Sichere Cloud-Entwicklung mit Shift-Left Security
Die Absicherung der Cloud-Entwicklung beginnt mit der Vorverlagerung der Sicherheit in den Entwicklungsprozess (Shift-Left Security). Das bedeutet, Anwendungsrisiken kontinuierlich vom Code bis zur Produktion zu identifizieren, zu beheben und nach Schweregrad zu priorisieren. Application Security Posture Management (ASPM) scannt dafür alles – vom Anwendungscode über infrastructure as code (IaC) bis hin zu Drittanbieterkomponenten und CI/CD pipelines – und verknüpft Risiken, um aufzuzeigen, welche Probleme tatsächlich geschäftsrelevant sind.
Ein weiterer Kernbestandteil von shift-left security ist die Absicherung der Software-Lieferkette.
Ein robuster Ansatz für die Sicherheit der Software-Lieferkette schützt vor Angriffen, die beispielsweise auf kompromittierte Build-Artefakte zurückgehen. Zu den wichtigsten Maßnahmen gehören das Scannen von Code-Repositories auf hartcodierte Secrets, die sichere Implementierung von Infrastructure as Code (IaC) sowie die Prüfung von Abhängigkeiten auf bekannte Schwachstellen in Drittanbieterbibliotheken vor dem Deployment.
2. Sichere Cloud-Infrastruktur durch präventive Kontrollen
Eine leistungsfähige CNAPP schützt die Cloud-Infrastruktur und sorgt für sichere, regelkonforme Konfigurationen. Dabei kommen verschiedene Sicherheitsfunktionen zum Einsatz:
Cloud Security Posture Management (CSPM) identifiziert und korrigiert Fehlkonfigurationen und Verstöße gegen Sicherheitsrichtlinien und unterstützt, diese zu beheben. CSPM reduziert das Risiko von KonfigurationsabweicMhungen und stellt die Einhaltung von Compliance-Anforderungen sicher.
Cloud Infrastructure Entitlement Management (CIEM) schafft Transparenz über Identitäten, Berechtigungen und Zugriffsrechte über mehrere Cloud-Plattformen hinweg. CIEM erkennt übermäßige oder riskante Berechtigungen und hilft dabei, Zugriffsrisiken nach dem Least-Privilege-Prinzip zu reduzieren.
Zum Schutz laufender Workloads in der Cloud konzentrieren sich Cloud Workload Protection Platforms (CWPP) auf die Absicherung von Containern und virtual machines. CWPP kombiniert Schwachstellenprüfungen mit Echtzeitüberwachung und erkennt so Zugriffsversuche auf unberechtigte Ressourcen.
Data security posture management (DSPM) schützt sensible Daten. DSPM lokalisiert, wo wichtige Informationen gespeichert sind, überwacht deren Bewegungen innerhalb der Cloud und stellt sicher, dass Speichereinstellungen korrekt konfiguriert sind. Außerdem identifiziert DSPM mögliche Angriffspfade zu diesen Daten, sodass Entwicklungsteams Lücken schließen können, bevor Probleme auftreten.
API security ist ein weiterer Bereich, in dem CNAPPs Stärken zeigen. APIs sind häufig der Verbindungspunkt zwischen Diensten, und wenn sie nicht ordnungsgemäß abgesichert sind, können sie zu einem einfachen Einfallstor für Angreifer werden. CNAPPs erkennen API-Probleme frühzeitig und stellen sicher, dass APIs keine versteckte Schwachstelle in der Cloud-Umgebung darstellen.
3. Runtime Protection durch Cloud Detection and Response
Cloud Detection and Response bietet Bedrohungserkennung in Echtzeit mit automatisierten Reaktionen auf Angriffe in der Cloud-Umgebung – etwa Malware, Cryptojacking und Remote Code Execution. CDR bietet umfassende Transparenz und sammelt Informationen aus Cloud-Aktivitäten, Audit-Logs und Signalen. So lassen sich Angreiferbewegungen verfolgen, Angriffspfade visualisieren und schnelle Reaktionen der Sicherheitsteams gewährleisten.
Über die besprochenen Kategorien hinweg (sichere Entwicklung, präventive Kontrollen und Runtime Protection) bieten CNAPPs auch integrierte Compliance-Funktionen. Diese vereinfachen Cloud Governance und die Durchsetzung von Richtlinien für Standards wie PCI DSS, GDPR und NIST. Diese Funktionen reduzieren den Audit-Aufwand und manuellen Betriebsaufwand bei gleichzeitiger Aufrechterhaltung kontinuierlicher Compliance.
IDC MarketScape for CNAPP
Wiz was named a Leader in the IDC MarketScape: Worldwide Cloud-Native Application Protection Platforms (CNAPP) 2025 Vendor Assessment
Schrittweiser Ansatz zur Ermittlung der CNAPP-Anforderungen
Die Auswahl der richtigen CNAPP beginnt mit einem klaren Verständnis des aktuellen Stands. Der folgende dreistufige Ansatz hilft bei der Ermittlung der Anforderungen.
Schritt 1: Cloud-Umgebung analysieren
Vor der Auswahl einer CNAPP muss die Cloud-Architektur mit allen Workload-Abhängigkeiten verstanden werden. Relevante Fragen sind:
Wird in AWS, Azure, GCP oder einer Kombination von Anbietern (multi-cloud) betrieben?
Laufen die Anwendungen auf virtuellen Maschinen, in Containern oder als Serverless Functions?
Wird die Infrastruktur mit Infrastructure-as-Code-(IaC-)Tools bereitgestellt?
Nutzen die Teams CI/CD-Werkzeuge für Anwendungs- und Infrastruktur-Deployment?
Eine gründliche Analyse liefert eine klare Übersicht über den Cloud-Footprint und hilft bei der Bestimmung der wichtigsten CNAPP-Funktionen.
Schritt 2: Bestehende Sicherheitslücken bewerten
In diesem Schritt wird die aktuelle Sicherheitsstrategie bewertet. Ziel ist es, zu identifizieren, wo sie beim Schutz von cloud-nativen-Anwendungen unzureichend ist.
Folgende Schlüsselbereiche sollten untersucht werden:
Transparenzlücken: Werden Echtzeiteinblicke in Fehlkonfigurationen oder exponierte APIs benötigt?
Identitäts- und Zugriffsrisiken: Gibt es ungenutzte Anmeldedaten oder schwache bzw. überprivilegierte IAM-Richtlinien innerhalb der Cloud-Umgebung?
Fragmentierte Einzellösungen: Werden CSPM-, CWPP- und CIEM-Lösungen eingesetzt, die aufgrund mangelnder Integration blinde Flecken erzeugen?
Eine Bewertung der Sicherheitsschwächen deckt Lücken im System auf und hilft bei der Identifikation der besten CNAPP für vollständige Abdeckung.
Schritt 3: Geschäftsprioritäten definieren
Die richtige CNAPP muss mit den Sicherheits- und Betriebsanforderungen der Organisation abgestimmt sein. Prioritäten lassen sich anhand folgender Kriterien bewerten:
Compliance: Liegt der Hauptfokus auf der Erfüllung von Compliance-Anforderungen oder primär auf Echtzeit-Angriffsprävention?
DevSecOps-Integration: Werden IaC-Scanning-Funktionen benötigt, um Schwachstellen vor dem Push in die Produktion zu verhindern?
Kosten: Skaliert die Lösung mit dem Cloud-Footprint?
Was CNAPPs im Jahr 2025 wirklich unterscheidet
Mit zunehmender Komplexität von Cloud-Umgebungen sind CNAPPs sowohl für die Sicherheit als auch für den Gesamtschutz der Plattform unverzichtbar. Im Jahr 2025 zeichnen sich führende CNAPPs dadurch aus, dass sie native, agentless und entwicklerfreundliche Lösungen liefern. Diese Lösungen decken nicht nur echte Risiken auf, sondern verfolgen diese auch bis zu ihrem Ursprung zurück – über den gesamten Entwicklungslebenszyklus hinweg.
Die wichtigsten Differenzierungsmerkmale sind:
Einheitliche Plattform: Die effektivsten CNAPPs sind keine Zusammenstellung zugekaufter Werkzeuge. Native Integrationen beseitigen die Lücken zwischen Posture-Management, Workload-Schutz, Identitäts- und Datensicherheit. Eine gute CNAPP schafft ein einheitliches System, in dem Sicherheitsteams nahtlose Transparenz, schnellere Erkennung und einfachere Workflows erhalten.
Agentless-First-Architektur mit sofortiger Bereitstellung und umfassendem Scanning: CNAPPs mit einem Agentless-First-Ansatz ermöglichen sofortiges Onboarding, Installation und Transparenz ohne Installation oder Verwaltung von Agenten. Mit diesem Ansatz identifizieren Sicherheitsteams Fehlkonfigurationen, exponierte APIs, Identitätsrisiken und anfällige Workloads. Weitere Vorteile: Diese Architektur unterstützt kontinuierliches Scanning von IaC, Containern und APIs in Echtzeit ohne Leistungseinbußen oder Engpässe für Sicherheitsteams.
Code-to-cloud-Korrelation: Die führenden CNAPPs im Jahr 2025 verfolgen aktive Bedrohungen und Schwachstellen bis zu ihrem Ursprung zurück – ob fehlkonfigurierte IaC-Vorlage, exponiertes Secret in einem Git-Commit oder unsicherer CI/CD-Pipeline-Job. Entwicklungsteams beheben Probleme so frühzeitig, und Sicherheitsteams ermitteln Ursachen schnell.
Kontextuelle Risikopriorisierung: Die meisten Cloud-Umgebungen erzeugen viele Alarme. Deshalb listet eine gute CNAPP nicht nur Schwachstellen auf, sondern verbindet die Zusammenhänge. Sie analysiert die Beziehungen zwischen Datensensibilität, Identitätsberechtigungen und Netzwerk-Angriffsfläche – und priorisiert dann den geringen Prozentsatz an Problemen, die echte Geschäftsrisiken darstellen. Die gewählte CNAPP sollte auch potenzielle Angriffspfade und lateral movement aufzeigen, damit Sicherheitsteams sich auf bessere Sicherheitsentscheidungen konzentrieren können, anstatt Alarmrauschen zu verfolgen.
Entwicklerorientierte Workflows mit Integration in IDEs, Pull Requests und CI-Jobs: Eine hervorragende CNAPP integriert Sicherheit nahtlos in alle Entwickler-Workflows, ohne diese zu verlangsamen. Sie bietet native Integrationen mit IDEs, SCMs und CI/CD-Workflows, scannt IaC-Vorlagen in Echtzeit, kennzeichnet alle Sicherheitsmängel in Pull Requests und setzt strenge Richtlinien in CI-Pipelines durch.
Cloud-native Abdeckung: Eine CNAPP sollte umfassenden Schutz über verschiedene Compute-Typen bieten, einschließlich virtueller Maschinen, Container, serverless Workloads oder Kubernetes-Cluster.
Zu beachten: Ohne runtime monitoring, Richtliniendurchsetzung, API-Erkennung und -Schutz, Datensensibilitäts-Mapping mit DSPM und Berechtigungs-/Rollenanalyse mit CIEM gibt es keinen umfassenden Schutz.
Echtzeit-Erkennung und -Reaktion: Eine hervorragende CNAPP erkennt und reagiert in Echtzeit, erfasst aktive Angriffe, Fehlkonfigurationen und verdächtige Verhaltensweisen, sobald sie auftreten. Noch besser: Sie blockiert lateral movement automatisch und schließt Ausnutzungspfade, bevor Angreifer sensible Daten oder Workloads kompromittieren.
Policy as code: Manuelle Compliance-Methoden skalieren nicht – insbesondere angesichts der Dynamik von Cloud-Umgebungen. Deshalb bieten moderne CNAPPs Unterstützung für policy as code. Damit lässt sich Compliance mithilfe von Werkzeugen wie Open Policy Agent (OPA) automatisieren. Richtlinien können als Code über die gesamte Umgebung hinweg definiert und durchgesetzt werden. Eine gute CNAPP bietet auch vorgefertigte Richtlinien für CIS benchmarks, HIPAA, GDPR und mehr, plus Drift-Erkennung in Echtzeit.
Wiz Named a Leader in The Forrester Wave™
Forrester’s CNAPP evaluation rated Wiz with the highest Current Offering category score, which we believe reflects our commitment to protecting everything built and run in the cloud.
Häufige Fehler bei der CNAPP-Auswahl
Zusammengestückelte CNAPPs
Die meisten Anbieter behaupten, eine vollständige CNAPP anzubieten, liefern aber statt einer einheitlichen Plattform zusammengekaufte Werkzeuge und schaffen so fragmentierte Lösungen. Aufgrund mangelhafter Integration entstehen Transparenzlücken, in denen sich Bedrohungen verbergen können. Sicherheitsteams müssen mit mehreren Dashboards und inkonsistenten Datenflüssen umgehen, was zu Überlastung durch Alarme führt. Kritische Erkenntnisse werden übersehen.
Empfehlung: Nach einer einheitlichen CNAPP suchen, die CSPM, CWPP und CIEM integriert und Transparenz über die gesamte Cloud-Umgebung bietet.
CNAPPs ohne Laufzeit-Transparenz
Die meisten CNAPPs vernachlässigen runtime protection, wodurch Workloads Live-Angriffen ausgesetzt bleiben. Ohne Echtzeit-Workload-Überwachung, automatisierte Reaktion oder Bedrohungserkennung bleiben Sicherheitsteams gegenüber Exploitation und lateral movement blind. Unzureichende runtime security bedeutet zudem fehlende Durchsetzungsmechanismen, um bösartiges Verhalten einzudämmen oder zu blockieren, sobald ein Angreifer in die Systeme eingedrungen ist.
Bei der Auswahl einer CNAPP sollte eine Lösung gewählt werden, die Echtzeit-Workload-Überwachung und Bedrohungserkennung bietet und automatisierte Reaktionsfähigkeiten bereitstellt, um Angriffe zu verhindern, bevor sie ernsthaften Schaden anrichten.
Wenn Sicherheit die Entwicklung verlangsamt
Moderne Entwicklungsteams arbeiten schnell – und wenn Sicherheitswerkzeuge nicht mithalten können, werden sie umgangen oder ignoriert. Wenn Sicherheitswerkzeuge die Workflows von Entwicklungsteams stören, werden diese höchstwahrscheinlich umgangen oder deaktiviert. In dieser Situation wird Sicherheit zu einem nachträglichen Audit statt zu einer integrierten Funktion. Das Anhängen von Sicherheit am Ende des SDLC bedeutet, dass kritische Schwachstellen in die Produktion gelangen können, bevor sie erkannt werden.
Die Lösung: Eine CNAPP, die entwicklerfreundlich ist und native IDE/CLI-Integration bietet, sodass Entwicklungsteams sie während der Entwicklung nicht umgehen.
Mit Wiz alles absichern, was in der Cloud entwickelt und betrieben wird
Wiz ist die CNAPP, die für die Realität der Cloud entwickelt wurde – von Anfang an einheitlich, von Grund auf agentless und standardmäßig kontextbewusst.
Das Wesentliche priorisieren: Der Security Graph von Wiz verbindet Fehlkonfigurationen, Identitätsrisiken, Schwachstellen und Daten-Angriffsflächen – sodass echte Angriffspfade behoben werden, nicht nur Scan-Ergebnisse.
Sicherheit in Cloud-Geschwindigkeit: Sofortiges Scanning über multi-cloud-Umgebungen hinweg ohne Agenten. Keine Verlangsamungen, keine übersehenen Ressourcen.
Entwicklungsteams stärken: Behebung direkt aus Pull Requests, CI-Jobs und IDEs.
Bedrohungen in Echtzeit stoppen: Detection and response in Echtzeit, das den Kreislauf schließt.
Demo anfordern – und erfahren, wie Wiz Cloud-Sicherheit vereinheitlicht und Alarmrauschen reduziert.
Get a CNAPP Demo
Watch how Wiz connects code, cloud, and runtime into a single risk story
