Amazon CLF-C02: Sicherheit, Identität und Compliance — Lernleitfaden

By Laurynas Brazys · 29 July 2026 · #amazon #clf-c02 #certification #exam-prep #study-guide

Teil des AWS Cloud Practitioner CLF-C02 — Lernleitfaden. Üben Sie mit verifizierten Antworten im Amazon-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

Identität, Zugriffskontrolle und das Prinzip der geringsten Rechte

Identität und Zugriff in AWS basieren auf IAM-Konstrukten: Benutzer, Gruppen, Rollen, Richtlinien und Föderation. Die Best Practice besteht darin, dem Root-Konto keine Berechtigungen zuzuweisen und Berechtigungen über Rollen und Gruppen zu vergeben, damit diese zentral verwaltet und prüfbar sind. Verwenden Sie IAM-Rollen für Compute- und Serverless-Dienste (EC2-Instanzrollen, Lambda-Ausführungsrollen), anstatt langlebige Anmeldeinformationen einzubetten. Für den menschlichen Zugriff sollte eine Identity-Federation-Lösung (IAM Identity Center oder ein SAML/OIDC-Provider) bevorzugt werden, um die Authentifizierung zu zentralisieren, MFA zu verwenden und kurzlebige Anmeldeinformationen über STS zu erzwingen, um die Offenlegung von Anmeldeinformationen zu reduzieren. Beim Entwurf von Richtlinien müssen identitätsbasierte Richtlinien im Vergleich zu ressourcenbasierten Richtlinien und die Reihenfolge der Richtlinienauswertung berücksichtigt werden: Eine explizite Ablehnung (explicit deny) hat Vorrang, und weitreichende „*“-Berechtigungen sind eine häufige Falle, die das Prinzip der geringsten Rechte verletzt. Service Control Policies in AWS Organizations bieten eine übergeordnete Leitplanke (Guardrail), indem sie verhindern, dass Konten verbotene Aktivitäten ausführen, unabhängig von den IAM-Berechtigungen auf Kontoebene. Entscheidungskriterien hängen von Skalierung und Vertrauensgrenzen ab: Verwenden Sie kontoübergreifende Rollen mit den geringsten Rechten für die Automatisierung und zentrale Verwaltung; verwenden Sie IAM-Rollen für Dienste, um das Abfließen von Anmeldeinformationen zu vermeiden; verwenden Sie den IAM Access Analyzer zur Validierung des kontoübergreifenden Zugriffs. Praktiker vergessen oft, Schlüssel zu rotieren, ungenutzte Berechtigungen zu entfernen oder MFA und Föderation frühzeitig zu aktivieren – diese Lücken schaffen das größte operationelle Risiko.

Datenschutz, Verschlüsselung und Schlüsselverwaltung

Verschlüsseln Sie Daten standardmäßig während der Übertragung (in transit) und im Ruhezustand (at rest). Für Daten während der Übertragung ist TLS die Grundlage; für Daten im Ruhezustand bietet AWS mehrere Optionen: serverseitige S3-Verschlüsselung (SSE-S3, SSE-KMS, SSE-C), EBS- und RDS-Verschlüsselung sowie clientseitige Verschlüsselung, wenn Sie als Kunde die Kontrolle über die Schlüssel benötigen. AWS KMS ist der primäre verwaltete Schlüsseldienst für die Envelope-Verschlüsselung und ermöglicht vom Kunden verwaltete CMKs, automatische Rotation und feingranulare Nutzungskontrollen über Schlüsselrichtlinien und IAM. KMS lässt sich in viele AWS-Dienste integrieren, um die Schlüsselnutzung in CloudTrail zu protokollieren. Beachten Sie jedoch, dass für KMS-Operationen Gebühren pro Anfrage anfallen können und sie einen regionalen Geltungsbereich haben – konto- oder regionsübergreifende Architekturen erfordern eine explizite Konfiguration der Schlüsselrichtlinie oder die Verwendung von Multi-Region-Schlüsseln. Für FIPS-Anforderungen oder den Bedarf an dedizierten HSMs bietet AWS CloudHSM mandantendedizierte Hardware. Verwenden Sie S3 Object Lock und Glacier Vault Lock für Unveränderlichkeit (Immutability) und die Einhaltung von Aufbewahrungsrichtlinien, wenn regulatorische Anforderungen unveränderliche Archive vorschreiben. Eine häufige Falle ist die Annahme, dass „verschlüsselt“ gleich „zugriffsgesteuert“ bedeutet; Verschlüsselung schützt die Vertraulichkeit von Inhalten, aber Zugriffsrichtlinien und Überwachung müssen weiterhin eine unbefugte Nutzung verhindern. Wählen Sie SSE-KMS, wenn Sie Protokolle über den Schlüsselzugriff, eine granulare IAM-Kontrolle oder eine kontoübergreifende Entschlüsselung benötigen; verwenden Sie die clientseitige Verschlüsselung, wenn Sie verhindern müssen, dass AWS zu irgendeinem Zeitpunkt Zugriff auf Klartext hat.

Erkennung, Überwachung und automatisierte Reaktion

Transparenz und Erkennung sind das Lebenselixier der Cloud-Sicherheit. CloudTrail bietet einen Audit-Trail für API-Aufrufe (Management-Events) und kann auch Datenereignisse (Data Events) für S3 und Lambda erfassen; viele Teams übersehen jedoch die Aktivierung von Datenereignissen, was zu blinden Flecken führt. AWS Config zeichnet Änderungen an der Ressourcenkonfiguration auf und ermöglicht kontinuierliche Compliance-Prüfungen, während Security Hub Ergebnisse von GuardDuty (Bedrohungserkennung), Inspector (Schwachstellenscan) und Macie (Erkennung sensibler Daten) aggregiert. GuardDuty nutzt mehrere Telemetriequellen (VPC Flow Logs, DNS, CloudTrail), um verdächtige Aktivitäten zu identifizieren; die Ergebnisse (Findings) sollten in ein zentrales Sicherheitskonto einfließen und über EventBridge und automatisierte Playbooks (Lambda oder SSM Automation) zur Eindämmung (Containment) umsetzbar sein. Entscheidungen zur Protokollierung und Aufbewahrung beeinflussen die Kosten: Zentralisierte S3-Buckets mit Lebenszyklusregeln (Lifecycle Rules) und Verschlüsselung reduzieren die Speicherkosten und vereinfachen den Zugriff für Audits. Integrieren Sie mit SIEMs oder nutzen Sie Partner-Integrationen für erweiterte Analysen. Eine wiederkehrende Falle für Praktiker ist die Speicherung von Protokollen im selben Konto oder der fehlende Schutz des Trail-S3-Buckets, was das Risiko von Manipulationen birgt; zentralisieren Sie Protokolle immer und erzwingen Sie Unveränderlichkeit und eingeschränkten Zugriff. Entwerfen Sie Incident-Response-Runbooks, die GuardDuty- und CloudTrail-Ergebnisse konkreten Eindämmungsschritten zuordnen, und testen Sie diese regelmäßig.

Perimeterschutz, DDoS-Abwehr und Compliance-Kontrollen

Mehrschichtige Perimeter-Kontrollen kombinieren VPC-Kontrollen, ALB/WAF-Regeln und DDoS-Abwehrmaßnahmen, um die Angriffsfläche zu reduzieren. AWS WAF bietet Filterung auf der Anwendungsschicht (L7) für Webanwendungen und schützt vor gängigen Exploits und Injection-Angriffen. AWS Shield Standard wird automatisch und ohne zusätzliche Kosten für grundlegenden DDoS-Schutz angewendet. Shield Advanced bietet erweiterte Mitigation, DDoS-Kostenschutz und ein Incident-Response-Team als kostenpflichtige Stufe, die für risikoreiche, dem Internet zugewandte Dienste in Betracht gezogen werden sollte. AWS Firewall Manager hilft bei der Verwaltung von WAF-, Shield Advanced- und AWS Network Firewall-Richtlinien über mehrere Konten hinweg. Für die Erkennung und Überwachung sensibler Daten in S3 automatisiert Macie die Erkennung und Klassifizierung von personenbezogenen Daten (PII). Compliance-Artefakte und Bewertungen von Drittanbietern sind über AWS Artifact verfügbar, damit Kunden SOC-, ISO- und andere Berichte erhalten können. Häufige Fallstricke sind zu freizügige WAF-Regeln, offengelegte S3-Buckets aufgrund falsch konfigurierter Richtlinien und die Annahme, dass Shield Advanced die Notwendigkeit einer WAF überflüssig macht. Nutzen Sie Defense-in-Depth: Web-ACLs am ALB, sichere Security Groups und NACLs auf Subnetz-Ebene, VPC-Endpunkte zur Vermeidung von ausgehendem Datenverkehr über das öffentliche Internet für Service-Traffic und die Orchestrierung mit Firewall Manager zur Durchsetzung organisationsweiter Standards.

Dienstvergleiche (High-Level)

AWS WAF: Regel-Engine auf Anwendungsschicht für ALB/CloudFront/API Gateway; regelbasierter Schutz und Ratenbegrenzung.
AWS Shield Standard: Kostenloser DDoS-Schutz für gängige Angriffe; wird automatisch angewendet.
AWS Shield Advanced: Kostenpflichtige erweiterte DDoS-Mitigation, Response-Team, Kostenschutz und Telemetrie.
AWS Firewall Manager: Zentralisierte Bereitstellung von Richtlinien für WAF, Shield Advanced und Network Firewall über AWS Organizations hinweg.
Amazon Macie: Erkennung und Klassifizierung sensibler Daten für S3 mit automatisierten Warnmeldungen.

Praktisches Problem: Anwendungsfallszenario

Szenario: AcmeRetail betreibt eine AWS Organization mit mehreren Konten. Ihr öffentlicher Storefront läuft in einem Fleet-Konto hinter einem ALB, Anwendungsprotokolle und Backups landen in S3, und sie haben ein zentrales Security-Konto für Tooling und Auditing.

Herausforderung: AcmeRetail benötigt eine zentralisierte Erkennung und Reaktion, eine starke Verschlüsselung für Kundendaten über alle Konten hinweg und konsistenten Schutz für Webanwendungen, ohne dabei einen hohen Betriebsaufwand zu verursachen.

Empfohlener Ansatz:

Aktivieren Sie AWS Organizations und erstellen Sie ein dediziertes Security-Konto. Konfigurieren Sie einen organisationsweiten CloudTrail, der Management- und S3-Datenereignisse in einem verschlüsselten S3-Bucket im Security-Konto protokolliert, wobei ein KMS CMK verwendet wird, der dem Security-Konto gehört.
Aktivieren Sie GuardDuty, Security Hub, Macie und AWS Config im Security-Konto und aktivieren Sie die organisationsweite Aggregation, sodass Ergebnisse aus allen Mitgliedskonten zur Triage in das Security-Konto fließen.
Stellen Sie AWS WAF auf dem ALB mit von OWASP verwalteten Regeln bereit und aktivieren Sie AWS Firewall Manager, um dieselbe Web-ACL in allen Mitgliedskonten durchzusetzen. Evaluieren Sie Shield Advanced für den Storefront, wenn das Risiko für die Geschäftskontinuität hoch ist.
Nutzen Sie IAM Identity Center (föderiertes SSO) für den zentralisierten menschlichen Zugriff, erzwingen Sie MFA und Rollen mit den geringsten Rechten (Least Privilege) und implementieren Sie automatisierte Behebungs-Playbooks (EventBridge -> Lambda) für GuardDuty-Ergebnisse mit hohem Schweregrad.

Begründung: Die Zentralisierung von Protokollen und Erkennung in einem Security-Konto mit CMK-verschlüsselten Trails gewährleistet manipulationssichere Transparenz und vereinfachte Audits. Gleichzeitig reduzieren die Durchsetzung auf Organisationsebene (Firewall Manager, SCPs) und die föderierte Identität Konfigurationsabweichungen und menschliche Risiken – im Einklang mit den Best Practices für Least Privilege und Defense-in-Depth.

← Netzwerk und Content Delivery · Alle Domänen · Abrechnung →

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →