Dein Blog zum Thema digitales Business

Cloud-Rechnungen sind 2026 in vielen Teams das Dauerthema. FinOps-Runden, Rightsizing, Reserved Instances, Spot-Kapazität. Das meiste davon ist sinnvoll. Ungenutzte Ressourcen abschalten spart Geld und verkleinert nebenbei die Angriffsfläche. Aber nicht jede Sparmaßnahme ist neutral. Manche senken die Rechnung heute und erhöhen den Schaden im nächsten Vorfall. Wer nur auf die Kostenachse schaut, übersieht das.

Logs und Audit-Trails: der teuerste Spareffekt

Log-Storage und Retention kosten Geld, und in der Rechnung fallen sie auf. Also wird die Aufbewahrung von 90 Tagen auf 14 gekürzt, oder ausführliche Zugriffs- und Deploy-Logs werden ganz abgeschaltet. Der Effekt ist im nächsten Monat sichtbar. Der Preis dafür wird erst im Vorfall fällig. Wenn ein Zugang missbraucht wurde, ist die erste Frage immer: wer hat wann was getan. Ohne Trail lässt sich das nicht beantworten. Man weiß dann nicht, ob ein Angreifer eine Woche oder drei Monate im System war, welche Daten er gesehen hat und ob er noch drin ist. Die Speicherersparnis von ein paar hundert Euro steht dann gegen eine Untersuchung, die im Blindflug läuft.

Logs sind außerdem etwas anderes als Nachweise. Monitoring zeigt, ob ein System gerade läuft. Ein Audit-Trail zeigt Monate später, was passiert ist. Wer beim Sparen beide in einen Topf wirft, behält am Ende oft das Dashboard und wirft genau die Aufzeichnung weg, die im Ernstfall zählt.

Weniger Umgebungen, größerer Blast-Radius

Eine zweite Umgebung kostet Rechenzeit, Storage und Pflege. Der naheliegende Sparschritt: Staging und Produktion zusammenlegen oder sich dieselben Zugangsdaten teilen lassen. Das spart wenig und öffnet viel. Sobald ein Credential in beiden Welten gilt, reicht ein kompromittierter Schlüssel aus dem harmlos wirkenden Staging, um in der Produktion zu stehen. Der Schaden ist dann nicht mehr auf eine Umgebung begrenzt. Warum getrennte Credentials hier der eigentliche Hebel sind, haben wir in Deploy-Umgebungen trennen beschrieben.

Managed Service abschalten heißt Patch-Last übernehmen

Managed Datenbanken, managed Secrets-Stores und managed Runner haben einen Aufschlag gegenüber selbst betriebenen Varianten. Der Aufschlag verschwindet, wenn man die Dienste selbst hostet. Was nicht verschwindet, ist die Arbeit, die vorher der Anbieter gemacht hat. Patches, Backups, Zugriffskontrolle, Härtung. Eine selbst betriebene Datenbank auf einer eigenen VM ist billiger in der Cloud-Rechnung und teurer in der Wartung. Wenn niemand die Patches zeitnah einspielt, wird aus der Ersparnis eine offene Tür. Das gilt besonders für Secrets: ein Secrets-Store durch Umgebungsvariablen im Klartext zu ersetzen spart die Store-Gebühr und legt Zugangsdaten dorthin, wo sie am leichtesten abfließen.

Wo Sparen und Sicherheit dasselbe wollen

Es gibt den umgekehrten Fall, und der ist der angenehmere. Vergessene Ressourcen kosten Geld und vergrößern die Angriffsfläche gleichzeitig. Eine alte Test-VM mit öffentlicher IP, ein ungenutzter Storage-Bucket mit zu weiten Rechten, ein Zugang, den niemand mehr braucht. Jedes dieser Dinge steht auf der Rechnung und im Bedrohungsmodell. Aufräumen zahlt hier doppelt: die Rechnung sinkt, und es gibt weniger Angriffspunkte, die niemand mehr im Blick hat. Wer FinOps und Security zusammen denkt, findet genau hier die einfachen Gewinne, bevor er an den kritischen Stellen kürzt.

Die Frage vor jeder Sparmaßnahme

Vor jeder Kürzung lohnt eine einzige Frage: Was kostet mich das im schlechtesten Fall. Ungenutzte Kapazität abschalten kostet im schlechtesten Fall nichts. Logs wegwerfen, Umgebungen zusammenlegen und Managed Services selbst betreiben kosten im schlechtesten Fall einen Vorfall, den man nicht rekonstruieren kann. Sparen ist richtig. Man muss nur wissen, an welcher Stelle die Ersparnis auf ein Risiko trifft, das sie nicht wert ist.

Sie wollen wissen, an welchen Stellen Ihre Pipeline und Cloud-Konfiguration am Sparen die Angriffsfläche vergrößern? Der GitSecOps QuickCheck prüft Ihre Delivery- und Deployment-Kette und liefert in 3 Werktagen einen konkreten Befund. 1.990 Euro netto. Kontakt: mm@crank.zone.