Beenden Sie eine EC2-Instanz, und ihre Root-Disk geht mit. Jedes Volume, das nach dem Start angehängt wurde, bleibt zurück, und AWS dokumentiert den Standard unmissverständlich: DeleteOnTermination ist beim Root-Volume true und bei angehängten Volumes false. Niemand hat das für Ihre Umgebung so gewählt; es ist das, was das Konto tut, wenn die Frage nie gestellt wird. Ihre Engineers waren nicht nachlässig. Ihre Infrastruktur ist größer als Ihre Dokumentation, weil die Standardwerte auf der Seite der Überbleibsel stehen.
Ein aus dem Gedächtnis zusammengestelltes Cloud-Inventar wird immer eine Teilmenge dessen sein, was läuft und abgerechnet wird. Flexeras State of the Cloud Report 2026, veröffentlicht am 18. März 2026 auf Basis von 753 Cloud-Entscheidern, beziffert die verschwendeten Cloud-Ausgaben auf 29 Prozent - der erste Anstieg seit fünf Jahren. Das wird als Finanzzahl abgelegt. Die Sicherheitsversion davon ist schlimmer: Eine Maschine, an deren Miete sich niemand erinnert, ist eine Maschine, die niemand patcht. Sie hält immer noch das Credential, das sie bekommen hat, antwortet immer noch auf einem Port und liegt außerhalb des Umfangs Ihres nächsten Penetrationstests - denn das Scoping-Gespräch hat mit derselben Liste gearbeitet wie Sie.
Woher verwaiste Cloud-Ressourcen tatsächlich kommen
Der Engineer, der gegangen ist, ist das sauberste Beispiel. Jemand hat einen Proof of Concept in einer Region aufgesetzt, die das Team sonst nicht nutzt, ihn vorgeführt und ist achtzehn Monate später gegangen. Die Instanz läuft immer noch und steht in niemandes Terraform. Daneben liegt das zweite Konto: ein Projekt, das schneller sein musste als die Beschaffung, auf eine private Karte eröffnet, nie zurückgeführt. Cisco beziffert den Anteil der Beschäftigten, die nicht genehmigte Technik nutzen, auf 80 Prozent. Gartner fand, dass 41 Prozent im Jahr 2022 Technik außerhalb der Sichtbarkeit der IT beschafft, verändert oder erstellt haben, und verortet 38 Prozent der Technikkäufe bei Fachbereichsleitungen statt bei der IT.
Der Rest ist mechanisch. Autoscaling hat für einen Launch hochskaliert, und die Scale-down-Regel wurde nie so aggressiv geschrieben wie die Scale-up-Regel, also steht eine Gruppe bei elf statt bei vier. Ein Load Balancer überlebt den Dienst, vor dem er stand. Snapshots laufen auf einem Zeitplan, den jemand 2022 gesetzt hat, ohne Ablaufdatum. Und irgendwo in den meisten Umgebungen ist eine Staging-Umgebung versehentlich zur Produktion geworden, weil eine Kundenintegration einmal darauf gezeigt wurde und niemand derjenige sein wollte, der sie abschaltet.
Eine unbekannte Maschine ist eine ungepatchte Maschine
Verizons DBIR 2026, veröffentlicht am 20. Mai 2026, fand, dass das Ausnutzen von Schwachstellen mit 31 Prozent der Vorfälle zum häufigsten einzelnen Erstzugriffsweg geworden ist, gegenüber 20 Prozent im Jahr davor. Die mittlere Zeit bis zur Behebung einer bekanntermaßen ausgenutzten Schwachstelle liegt dort bei 43 Tagen, nach 32 zuvor, und von den Schwachstellen auf der CISA-Liste bekannt ausgenutzter Lücken wurden nur 26 Prozent jemals vollständig behoben. Diese Zahlen beschreiben die Maschinen, von denen Sie wissen. Für die anderen lautet die Behebungszeit nie.
Eine Instanz, die älter ist als Ihr Patch-Tooling, hält außerdem immer noch das Credential, das sie an ihrem ersten Tag bekommen hat. Datadogs State of Cloud Security 2025 fand, dass 59 Prozent der AWS-IAM-Nutzer einen aktiven Access Key haben, der älter als ein Jahr ist, ein Viertel aller Schlüssel älter als drei Jahre und einer von zehn älter als fünf. Im Cloud Security Report 2026 von Cybersecurity Insiders und Fortinet, auf Basis von 1.163 IT- und Sicherheitsfachleuten, nennen 69 Prozent Tool-Wildwuchs und Sichtbarkeitslücken als wichtigsten Faktor, der ihre Cloud-Sicherheit begrenzt. Die vergessene Maschine ist der Ort, an dem diese beiden Befunde zusammentreffen.
Wie ungenutzte Cloud-Ausgaben Zeile für Zeile aussehen
Seit dem 1. Februar 2024 berechnet AWS 0,005 USD pro Stunde für jede öffentliche IPv4-Adresse, angehängt oder nicht, rund 43 USD im Jahr für eine Adresse, die nichts tut. Ein Application Load Balancer in US East (N. Virginia) kostet 0,0225 USD pro Stunde, also etwa 16,43 USD im Monat, abgerechnet unabhängig davon, ob er auch nur einen einzigen Request weiterleitet. Einzeln sind das Rundungsfehler, und genau deshalb überleben sie: Keine Zeile ist groß genug, dass jemand ein Ticket öffnet, und eine mittelgroße Umgebung trägt Hunderte davon. Das schwerere Geld steckt in Ressourcen, die korrekt laufen und nichts tun. Datadogs State of Cloud Costs 2024 fand, dass 83 Prozent der Container-Kosten auf ungenutzte Ressourcen entfallen: 54 Prozent der Container-Ausgaben sind Cluster-Leerlauf, also Infrastruktur, die provisioniert und nie belegt wurde, und 29 Prozent sind Workload-Leerlauf, also Ressourcenanforderungen, die größer sind als das, was die Workloads brauchen.
Discovery über Konten laufen lassen, die Sie nicht eröffnet haben
Beginnen Sie beim Geld und bei der Identität, nicht bei den Konsolen. Jedes Konto hängt an einem Zahlungsmittel, also sind zwölf Monate Karten- und Kontoauszüge eine bessere Discovery-Quelle als jede Provider-API; danach kommen Ihr Identity Provider und Ihre DNS-Zonen, denn ein Konto, an das sich niemand erinnert, löst immer noch einen Namen auf, den jemand registriert hat.
Innerhalb eines Kontos hilft das Provider-Tooling und lügt zugleich durch Auslassung. AWS Resource Explorer baut einen Index pro Region, erlaubt genau einen und braucht einen, der zum Aggregator befördert wurde, bevor die regionsübergreifende Suche überhaupt funktioniert - eine Region, die Sie nie indexiert haben, trägt also nichts zu einem Ergebnis bei, das vollständig aussieht. Getaggte Ressourcen erscheinen in Minuten, ungetaggte brauchen bis zu zwei Stunden oder länger, sodass die am schlechtesten dokumentierten Ressourcen am langsamsten auftauchen. Lassen Sie ihn zweimal laufen, im Abstand eines Tages, bevor Sie ihm glauben.
Über Provider hinweg ist das Zusammenführen die eigentliche Arbeit, und von Hand wird sie nie fertig, weil jeder Export eine eigene Vorstellung davon hat, was als Ressource zählt, und keine zwei Regionen gleich benennen. Sencai macht dieses Zusammenführen zum Produkt: Verbinden Sie ein Konto mit begrenzten Credentials, und seine bestehenden Instanzen, Netzwerke, Storage und DNS erscheinen in einer Liste - daneben die Maschinen in Ihren eigenen Racks, die ein Host-Agent erreicht, nichts davon migriert oder neu aufgebaut. Die Übernahme in die Verwaltung passiert Ressource für Ressource; etwas zu sehen ist also nicht dasselbe wie zuzustimmen, es zu betreiben.
Triage nach Blast-Radius, nicht nach Monatskosten
Der erste Durchlauf liefert mehr, als irgendein Team abarbeiten kann. Eine Tabelle mit gut tausend Befunden, sortiert nach Monatskosten, stellt eine Disk für 9 USD über eine aus dem Internet erreichbare Instanz mit einem drei Jahre alten Access Key darauf. Wiz' State of Cloud Risk 2026 fand, dass nur 9 Prozent der Befunde Remote Code Execution sind; was zum Vorfall wird, sind überwiegend Exposition und Zugriff. Sortieren Sie stattdessen danach, was ein Angreifer bekommt: zuerst alles, was aus dem Internet erreichbar ist und ein Credential hält, dann alles, was Daten hält, dann die Schlüssel und Rollen, die zu Ressourcen ohne Eigentümer gehören. Nicht angehängte Adressen und ungenutzte Load Balancer kommen zuletzt, so einfach sie auch zu beheben sind. Bei einer davon falsch zu liegen kostet 43 USD.
Löschen ist bei allem ohne Eigentümer die falsche erste Aktion. Halten Sie es stattdessen an und beobachten Sie. Eine Instanz, die dreißig Tage gestoppt dasteht, ohne dass es einem einzigen Menschen auffällt, kann gefahrlos weg; eine, die innerhalb von vier Stunden ein Support-Ticket erzeugt, hat gerade ihren Eigentümer benannt. Machen Sie von allem mit einer Disk einen Snapshot, bevor Sie es anfassen. Der einzige unumkehrbare Fehler, der hier zur Verfügung steht, ist das Löschen des Speichers von etwas, das sich als tragend herausstellt - und jedes Team, dem das einmal passiert ist, hält die dreißig Tage danach für immer ein.
Ein Inventar mit Ziellinie ist in sechs Wochen wertlos
Eine Tabelle ist an dem Nachmittag korrekt, an dem sie erstellt wird, und zerfällt ab dem Abend. Alles, was die Lücke erzeugt hat, läuft weiter: Die Standardwerte haben sich nicht geändert, und die Deadline, die das zweite Konto gerechtfertigt hat, kommt im März wieder. Artikel 21 Absatz 2 Buchstabe i der NIS2-Richtlinie führt Asset-Management unter den zehn Mindestmaßnahmen zum Risikomanagement auf, die betroffene Einrichtungen umsetzen müssen, neben der Risikoanalyse nach 21 Absatz 2 Buchstabe a und der Cyberhygiene nach 21 Absatz 2 Buchstabe g - und kein Dokument erfüllt eine davon. Die Umsetzungsfrist war der 17. Oktober 2024; am 8. Juli 2026 hat die Kommission Irland, Spanien, Frankreich und die Niederlande wegen unvollständiger Umsetzung vor den Gerichtshof gebracht und tägliche Zwangsgelder beantragt.
Fortlaufende Discovery ist etwas anderes als ein Projekt, und die einzige Variante, die eine reale Umgebung übersteht. Die kostenlose Konfiguration von Sencai - ein Nutzer und eine Organisation mit fünf verwalteten Ressourcen - führt einen Discovery-Lauf gegen ein echtes Konto aus und zeigt Ihnen die Liste, bevor Sie irgendetwas in die Verwaltung übernehmen. Machen Sie sich die Grenze klar: Die Live-Verwaltung beim Provider ist tief statt breit, DNS bei fünf Providern, Firewalls bei zwei und Netzwerke bei einem - vieles von dem, was Sie finden, werden Sie also weiterhin in der Konsole des Providers ändern. Was auch immer Sie einsetzen: Nehmen Sie Ihr ältestes Konto, zählen Sie jede Region auf, auch die zwei, von denen Sie sicher sind, dass sie leer sind, und sortieren Sie das Ergebnis danach, ob es aus dem Internet erreichbar ist, nicht danach, was es kostet. Die erste Ressource, der niemand einen Namen geben kann, ist der Punkt, an dem die Arbeit beginnt.