← Alle Artikel

SDLC- und Kubernetes-Reifegrad selbst bestimmen — offline, auditfest, in Tagen

18. Juli 2026 · Ayoub Umoru SDLC Kubernetes CIS BSI NIS2

Als CISO in einem regulierten Unternehmen kennen Sie die Frage aus jedem Lenkungskreis: Wie sicher ist unsere Software-Lieferkette wirklich — und wie steht es um unsere Kubernetes-Umgebung? Die ehrliche Antwort lautet oft: Es gibt kein gemeinsames, belastbares Bild. Entwicklung, Plattformteam und Sicherheit tragen jeweils Teilwissen, aber niemand hat den Reifegrad über den gesamten Software-Development-Lifecycle (SDLC) und die Laufzeitumgebung zusammengeführt.

Dieser Artikel zeigt, wie Sie diese Lücke schließen — mit einem strukturierten, offline durchführbaren Selbst-Check, der sich an CIS Benchmarks und BSI IT-Grundschutz orientiert. Der SDLC & Kubernetes Security Selbst-Check von ZERODOTFIVE dient dabei als roter Faden — die Methode erklären wir daran.

Das Problem: kein belastbares Gesamtbild

Die meisten Sicherheitsbewertungen scheitern nicht an fehlenden Werkzeugen, sondern an fehlender Struktur. Es gibt Scan-Ergebnisse hier, Cluster-Konfigurationen dort und ein Bauchgefühl im Führungskreis. Was fehlt, ist eine gemeinsame Skala, die SDLC und Kubernetes über eine Sprache vergleichbar macht.

Der regulatorische Druck macht diese Lücke teuer. Mit der NIS2-Umsetzung über das BSIG (§30) sind in Deutschland rund 29.500 Unternehmen direkt zu Risikomanagementmaßnahmen verpflichtet — darunter Anforderungen an die Sicherheit der Lieferkette, an sichere Entwicklung samt Schwachstellenmanagement und an die Bewertung der Wirksamkeit von Maßnahmen. Genau diese drei Punkte lassen sich ohne strukturierte Reifegrad-Transparenz weder priorisieren noch nachweisen.

Warum offline zählt: Datenhoheit als Compliance-Argument

Eine Sicherheitsbewertung, bei der Konfigurationsdetails, Cluster-Topologien oder Schwachstellenlisten an einen externen Dienst fließen, ist in regulierten Kontexten oft selbst ein Risiko. Deshalb ist der Offline-Betrieb kein technisches Detail, sondern ein Vertrauensargument: Der Selbst-Check läuft vollständig lokal im Browser, ohne Backend und ohne Telemetrie. Keine Ihrer Antworten verlässt das Unternehmen.

Für Sie als CISO bedeutet das: Sie können den Check auch mit sensiblen Erkenntnissen durchführen, ohne vorab eine Auftragsverarbeitung oder ein Datenschutz-Review anzustoßen. Die Bewertung findet dort statt, wo die Verantwortung liegt — im eigenen Haus.

Das Reifegradmodell: 64 Kontrollen, Stufen 0 bis 4

Der Selbst-Check besteht aus 64 gewichteten Kontrollen. Jede Kontrolle bewerten Sie auf einer Reifegradskala von 0 bis 4:

• 0 — nicht vorhanden
• 1 — ad hoc, unregelmäßig
• 2 — definiert, aber uneinheitlich
• 3 — standardisiert und gelebt
• 4 — gemessen und kontinuierlich verbessert

Entscheidend ist die Gewichtung: Nicht jede Kontrolle wiegt gleich schwer. Der Risikobeitrag einer Lücke ergibt sich aus der Formel (4 − Reifegrad) × Gewicht. Eine kritische Kontrolle mit Reifegrad 1 erzeugt so einen deutlich höheren Risikobeitrag als eine nachrangige Kontrolle auf demselben Niveau. Das Ergebnis ist keine bloße Prozentzahl, sondern eine nach Risiko sortierte Liste — die Grundlage für Priorisierung statt Gießkanne.

Die SDLC-Seite: die Lieferkette absichern

Auf der SDLC-Seite geht es um alles, was zwischen Commit und Deployment passiert: Quellcode-Verwaltung, Abhängigkeiten, Build-Integrität, Secrets-Handling und die Prüfung von Container-Images.

Ein konkretes Beispiel für eine Kontrolle ist das automatisierte Image-Scanning. Werkzeuge wie das frei verfügbare Trivy prüfen Container-Images auf bekannte Schwachstellen, Fehlkonfigurationen und offengelegte Secrets — idealerweise als verpflichtender Schritt in der CI/CD-Pipeline, nicht als gelegentlicher manueller Lauf. Die Reifegrad-Frage lautet hier nicht „Nutzen wir einen Scanner?", sondern: Läuft der Scan bei jedem Build, blockiert er kritische Funde und ist das Ergebnis nachvollziehbar dokumentiert? Genau dieser Unterschied trennt Reifegrad 1 von Reifegrad 3.

Die Kubernetes-Seite: Policy-Enforcement statt Vertrauen

Auf der Laufzeitseite entscheidet, ob Ihre Cluster-Konfiguration den anerkannten Härtungsvorgaben folgt — und ob Abweichungen technisch verhindert oder nur nachträglich bemerkt werden.

Hier ist Policy-Enforcement die Schlüsselkontrolle. Ein Admission-Controller wie Kyverno setzt Richtlinien durch, bevor eine Ressource überhaupt im Cluster landet — etwa das Verbot privilegierter Container oder die Pflicht zu Ressourcenlimits. Dass Kyverno im März 2026 den Status eines CNCF-„graduated"-Projekts erreicht hat, unterstreicht die Reife dieses Ansatzes. Auch hier zählt der Reifegrad: Werden Policies nur empfohlen, gewarnt oder tatsächlich erzwungen? Der Selbst-Check bildet diese Abstufung entlang der einschlägigen CIS-Benchmark-Themen ab.

Normbezug: BSI IT-Grundschutz und CIS Benchmarks

Der Wert eines Selbst-Checks steht und fällt mit seiner Anschlussfähigkeit an anerkannte Normen. Die Kontrollen docken an zwei Rahmenwerken an:

• CIS Kubernetes Benchmark — die de-facto-Referenz für die Härtung von Kubernetes-Clustern, herausgegeben vom Center for Internet Security.
• BSI IT-Grundschutz — insbesondere die Bausteine APP.4.4 (Kubernetes) und SYS.1.6 (Container).

Darüber hinaus verweisen die Kontrollen auf die relevanten Pflichten aus NIS2/§30 BSIG sowie auf ISO 27001:2022. So können Sie ein Ergebnis nicht nur intern kommunizieren, sondern direkt gegen die Anforderungen setzen, an denen Sie ohnehin gemessen werden.

Vom Ergebnis zur Entscheidung

Am Ende des Checks steht ein exportierbarer Bericht. Er erfüllt zwei Aufgaben zugleich: Er priorisiert nach Risikobeitrag — Sie sehen sofort, welche Lücken den größten Hebel haben — und er dokumentiert den Ist-Stand auditfest. Damit wird aus einer Momentaufnahme eine belastbare Entscheidungsgrundlage für Budget, Roadmap und die Nachweispflicht gegenüber Aufsicht und Auditoren.

Eine ehrliche Einordnung gehört dazu: Ein Selbst-Check ist eine strukturierte Selbstauskunft, kein externes Audit. Er ersetzt keine unabhängige Prüfung und keine kontinuierliche Überwachung — er verschafft Ihnen in Tagen statt Monaten das gemeinsame Bild, auf dessen Basis Sie beides gezielt beauftragen können. Und weil es eine Momentaufnahme ist, entfaltet der Check seinen Wert erst in der Wiederholung: als wiederkehrender Reifegrad-Messpunkt über die Zeit.

Nächster Schritt

Starten Sie den SDLC & Kubernetes Security Selbst-Check direkt — offline, ohne Anmeldung, mit Ihrem Team in einem Workshop von wenigen Stunden. Wenn Sie das Ergebnis anschließend in eine priorisierte Maßnahmenplanung überführen möchten, vereinbaren Sie ein Erstgespräch oder schreiben Sie an kontakt@zerodotfive.com.