Kontext ist alles

Wer ist der Anbieter?

Das Unternehmen bietet Cloud Computing und Managed Services an und ist über die Jahre gewachsen. Inzwischen gehören auch Daten- und KI-Leistungen zum Portfolio. Die Kunden vertrauen dem Anbieter ihre Daten an, und von diesem Vertrauen lebt das Geschäft.

Compliance gehört hier zur Kultur. Die ISO-27001-Zertifizierung hat der Anbieter seit vielen Jahren, dazu kommen SOC 2 Type 2 und eine staatlich gestützte Cybersecurity-Zertifizierung. Weil er gerade eigene KI-Fähigkeiten aufbaut, arbeitet er jetzt auf einen Standard für KI-Governance hin.

Compliance bestimmt auch, wie der Anbieter Technologie einkauft. Jeder neue Lieferant und jedes neue Tool durchläuft ein gründliches Audit, damit die Daten, die dort hineinfließen, unter Kontrolle bleiben. Nur Tools, die diese Vorgaben erfüllen und zum Zweck passen, kommen durch.

Das DevOps- und Automatisierungsteam hat einen klaren Auftrag: manuelle Prozesse automatisieren, damit sich die Menschen auf wertvollere Arbeit konzentrieren können.

“Wenn uns jemand seine Daten anvertraut, dann ist doch klar, dass man da keine Unbefugten rankommen lässt.”

Engineering Leader, DevOps und Automatisierung

Wie sah der Alltag vor Mondoo aus?

Auf die Frage „Wie sicher ist dieses Asset?“ lautete die ehrliche Antwort vor Mondoo oft: „Wissen wir nicht genau.“

Gescannt wurde nur ein begrenzter Teil der Systeme. Die Entwicklungsteams haben statische Analysen und Dependency-Checks laufen lassen, die jeden Push und jedes Deployment mit einer kritischen oder hohen CVE blockiert haben. Das hat den Code geschützt. Darüber hinaus war aber vieles Handarbeit. Das Security-Team ist Asset-Listen von Hand durchgegangen und hat für jedes System die Version geprüft und nachgesehen, ob es bekannte Schwachstellen hat.

Audits haben die Last noch erhöht. Wer Nachweise sammeln wollte, musste sich auf Servern anmelden, um Konfigurationsdetails auszulesen, und Anwendungsdatenbanken von Hand abfragen. Die Vorbereitung auf ein einziges Audit konnte mehrere Monate dauern.

Der Preis dafür war Zeit: Zeit, um Probleme zu untersuchen, sie zu beheben und Arbeit doppelt zu machen. Das Team soll manuellen Aufwand wegautomatisieren. Für diesen Auftrag ging das in die falsche Richtung.

Warum ist Kontext so wichtig?

Die größte Lücke der bisherigen Tools war der Kontext. Sie konnten eine Schwachstelle melden, aber nicht sagen, ob sie in der Umgebung des Anbieters überhaupt eine Rolle spielt.

In einem aktuellen Fall hat sich nach der Untersuchung gezeigt, dass eine kritische CVE den Anbieter gar nicht betrifft. Der Angriff hätte einen Weg gebraucht, der längst geschlossen war. Ohne Kontext kostet jede Meldung dieser Art Untersuchungszeit, bevor überhaupt jemand weiß, ob sie echt ist.

Genau hier hat Mondoo den Unterschied gemacht.

Mondoo arbeitet über viele Asset-Typen hinweg und zeigt, welche Probleme die Umgebung des Anbieters tatsächlich betreffen. So verbringen die Teams ihre Zeit damit, echte Probleme zu beheben, statt Meldungen hinterherzulaufen, die gar nicht zutreffen.

“Viele Tools, die wir vorher hatten, hatten eigentlich gar keinen Kontext. Das ist ein großer Punkt.”

Engineering Leader, DevOps und Automatisierung

Wie fügt sich Mondoo in die Abläufe des Anbieters ein?

Security direkt in der Build-Pipeline für VMs.

Die Compliance-Vorgaben des Anbieters schreiben vor, dass virtuelle Maschinen aus einem sicheren Template entstehen. Mondoo ist heute Teil dieses Prozesses: Mondoo prüft jedes Template beim Build und liefert die Befunde als Nachweis für das jeweilige Control. Die Sicherheitsprüfung läuft damit automatisch beim Build und nicht mehr von Hand, wenn das Audit ansteht.

Ein Dashboard, das die Prioritäten zeigt.

Statt Asset-Listen und Versionsprüfungen zusammenzustückeln, sehen die Teams an einer Stelle, was Aufmerksamkeit braucht. „Das spart wahrscheinlich ein paar Stunden am Tag, dass man einfach aufs Dashboard schaut und sagt: Okay, darauf sollten wir uns konzentrieren.“

Fixes statt nur Befunde.

Am meisten überrascht haben das Team die Hinweise zur Remediation. Statt nur auf ein Problem hinzuweisen und die Recherche den Engineers zu überlassen, liefert Mondoo einen fertigen Fix, den sie direkt anwenden können. „So was hatte ich noch bei keinem Tool gesehen. Mondoo war eins der ersten, das mir einen fertigen Fix gegeben hat, und das hat echt geholfen.“

Plattform- und Security-Teams arbeiten zusammen.

Die Plattform-Teams verwalten ihre Assets in Mondoo, und das Security-Team nutzt die Befunde, um auf CVEs hinzuweisen, die Aufmerksamkeit brauchen. Das passt dazu, wie das Security-Team beim Anbieter ohnehin arbeitet: Es berät und arbeitet mit, statt Anweisungen zu erteilen.

Wie einfach war der Einstieg?

Richtig praktisch hat das DevOps-Team zum ersten Mal mit Mondoo gearbeitet, als es eine interne Anwendung darauf aufgebaut hat, zusammen mit weiteren Kontextquellen. Der Einstieg war einfach: installieren, ausführen, und nach etwa 10 bis 20 Minuten ist das Asset aufgetaucht.

Die Einarbeitung ging leicht von der Hand. „So steil war das nicht. Man hat eigentlich alles ziemlich leicht gefunden.“

Der Support läuft genauso rund. Das Team nennt ihn „fantastisch“, und Kollegen, die ein Ticket aufmachen, bekommen ziemlich schnell eine Antwort.

Welche Ergebnisse hat der Anbieter erreicht?

Der Anbieter hat Mondoo gezielt in einzelnen Bereichen eingeführt, nicht mit einem großen Rollout auf einen Schlag. Die Ergebnisse sind deshalb dort am stärksten, wo Mondoo schon im Einsatz ist. Dort ist der Gewinn aber deutlich.

Audit-Vorbereitung in Wochen statt Monaten.

Nachweise lassen sich mit deutlich weniger Handarbeit sammeln, und der Prozess ist schlanker geworden. „Manchmal hat die Vorbereitung auf ein Audit mehrere Monate gedauert, und jetzt sind wir wahrscheinlich bei anderthalb Monaten.“

Jeden Tag Stunden zurück.

Weil die Prioritäten klar sind, geht weniger Zeit für die Frage drauf, was zuerst behoben werden muss.

Ein Maßstab für die Remediation.

Die mittlere Zeit bis zur Remediation (MTTR) liegt derzeit bei 7 bis 10 Tagen. Damit hat das Team eine klare Ausgangsbasis, die es mit wachsender Nutzung verbessern will.

Tempo, wo es zählt.

Das wertvollste Ergebnis ist Tempo: von einer Idee oder einem entdeckten Problem so schnell wie möglich zu einem Ergebnis kommen. „Alles, was genau an diesen Stellen Tempo reinbringt, ist ein riesiger Pluspunkt.“

Der Grund liegt in der Arbeitsweise des Teams: „Bei Agile geht es ja ganz wesentlich darum, sehr schnell zu iterieren. Ich verstehe schon, warum man bestimmte Gates einbauen muss, aber die bremsen eben.“

Wie geht es weiter?

Der Anbieter sieht viel Luft nach oben. Als Nächstes soll Mondoo in weitere Abläufe im Unternehmen einziehen, vor allem in die Softwareentwicklung, in Infrastructure as Code und ins Platform Engineering.

“Ich kann mir gut vorstellen, dass das eins der Haupttools wird, über die wir alarmiert werden.”

Engineering Leader, DevOps und Automatisierung

Was würde der Anbieter Kollegen raten?

Klein anfangen, dann wachsen.

„Klein anfangen und dann nach außen wachsen. Als wir mit Mondoo angefangen haben, hatten wir ganz konkrete Use Cases, und von da aus haben wir erweitert.“ Derselbe Ansatz hilft auch, intern Rückhalt zu gewinnen: in bestimmten Bereichen mit konkreten Use Cases beginnen.

Mit beiden Beinen reinspringen.

„Wirklich in jedes kleine Detail reingehen, wie das Ding funktioniert, weil da echt viele coole Sachen drinstecken.“

Die eigene Umgebung kennen.

„Man muss seine Umgebung verstehen, das ist ein großer Punkt. Man muss trotzdem wissen, was man tut, technisch fit bleiben und sein Wissen aktuell halten.“

Würde das Team Mondoo einem Kollegen empfehlen? „Ja.“

“Ihr wart wirklich fantastisch. Es hat einfach Spaß gemacht, mit euch zusammenzuarbeiten.”

Engineering Leader, DevOps und Automatisierung