Reicht CKS für echte Kubernetes-Sicherheit?

CKS ist ein guter Nachweis von Grundwissen - aber kein Beleg dafür, dass du im Ernstfall wirklich verstehst, wie ein Angriff auf einen Cluster abläuft. Der offizielle Lehrplan verlangt, Isolationstechniken zu verstehen, nicht selbst einen Ausbruch aus einem Pod durchzuführen. BSI IT-Grundschutz (APP.4.4 Kubernetes) ist dazu auch kein Ersatz - das ist ein komplett anderes, auf Governance und Nachweispflicht ausgelegtes Framework, relevant für Behörden und KRITIS, nicht für praktische Angriffserfahrung. Beide zusammen sind gute Bausteine, aber kein Zielzustand. Die eigentliche Arbeit fängt an, wenn du das Zertifikat in der Tasche hast.

Was ist der Unterschied zwischen CKS und BSI IT-Grundschutz APP.4.4?

CKS ist ein internationaler, technischer Skill-Nachweis der Cloud Native Computing Foundation - zwei Stunden, Cluster vor dir, Aufgaben lösen. BSI APP.4.4 Kubernetes ist ein deutsches Governance-Framework mit 21 Anforderungen, das dokumentierte Prozesse verlangt (Schutzbedarf, Backup, CI/CD-Planung) - kein Test deines Koennens, sondern ein Nachweis fuer Behoerden und KRITIS-Betreiber. Die beiden ueberschneiden sich stellenweise (RBAC, Netzsegmentierung), sind aber grundverschieden im Zweck.

Brauchen wir BSI-Grundschutz zusätzlich zu CKS?

Kommt drauf an, wen ihr betreut. Fuer Behoerden, KRITIS-Betreiber oder Zulieferer mit entsprechenden Vertragspflichten: ja, das ist keine Kuer. Fuer alle anderen ist BSI APP.4.4 trotzdem eine gute Checkliste fuer Dinge, die CKS gar nicht abfragt - allen voran Cluster-Backup und CI/CD-Absicherung.

Welche CKS-Themen kommen in der Praxis oft zu kurz?

Supply-Chain-Security ist im offiziellen Lehrplan mit 20 Prozent Gewichtung einer der groessten Bloecke - SBOM, Artefakt-Signierung, Registry-Beschraenkungen. Genau das wird in vielen Trainings, auch in meinem eigenen, bisher am duennsten behandelt. Ehrlich gesagt ein Punkt, den ich selbst noch ausbauen muss.

Strategien

CKS bestanden? Die Arbeit fängt jetzt erst an

Das passende Training Kubernetes Security Training – Cluster hacken, verstehen, absichern (3 Tage)

CKS bestanden? Die Arbeit fängt jetzt erst an

Ganz ehrlich: Ich hab noch niemanden erlebt, der nach dem CKS-Zertifikat gesagt hat “So, jetzt ist mein Cluster sicher.” Und falls doch - der hat den Punkt verpasst.

CKS, der Certified Kubernetes Security Specialist, ist ein anerkannter Nachweis. Zwei Stunden, echter Cluster, echte Aufgaben lösen, kein Multiple Choice. Wer das schafft, kann was. Nur: “kann was” und “hat einen sicheren Cluster” sind zwei verschiedene Baustellen. Und genau da will ich ansetzen, ohne die Zertifizierung schlechtzureden - das wäre unfair und würde auch nicht stimmen.

Was CKS wirklich prüft

Sechs Bereiche hat der offizielle CKS-Lehrplan der CNCF. Cluster Setup, Cluster Hardening, System Hardening, Microservice-Absicherung, Supply-Chain-Security, Monitoring/Logging/Runtime-Security. Jeder mit eigener Gewichtung, 10 bis 20 Prozent.

Klingt vollständig. Ist es auch - wenn’s um Wissen geht. RBAC richtig einsetzen, Netzwerk-Policies bauen, Secrets verwalten, Images verifizieren. Alles drin, alles wichtig. Kein Grund, daran rumzumeckern.

Der blinde Fleck

Aber lies dir mal genau durch, was der Lehrplan zur Isolation von Workloads verlangt: “Understand and implement isolation techniques”. Verstehen und umsetzen. Nicht: selbst erleben, was passiert, wenn Isolation fehlt.

Genau das ist der Unterschied zu dem, was ich in meinem Security-Training mache. Wir bauen zusammen einen Pod mit hostPID: true und Privileged-Rechten - und brechen live aus dem Container auf den Host aus. Kein Video, kein Foliensatz. Ihr sitzt danach vor der Shell des Node-Systems und wisst genau, wie sich das anfühlt, wenn eine einzige falsche Pod-Konfiguration den ganzen Node offenlegt.

Der Unterschied klingt klein. Ist er nicht. Wer eine Config-Regel auswendig gelernt hat, vergisst sie irgendwann. Wer einmal selbst ausgebrochen ist, vergisst das nie wieder.

BSI IT-Grundschutz: ein komplett anderes Spiel

Jetzt kommt der Teil, den die wenigsten auf dem Schirm haben: BSI IT-Grundschutz hat einen eigenen Baustein für Kubernetes, APP.4.4, seit 2022 im Kompendium. Und das ist kein “CKS auf Deutsch”. Das ist etwas ganz anderes.

CKS testet, was du kannst. APP.4.4 verlangt, dass du nachweisen kannst, was du organisiert hast. Schutzbedarf klassifiziert? Namespace-Architektur geplant und dokumentiert? Backup-Konzept fürs Cluster, inklusive etcd, Persistent Volumes und Registries? Das ist Governance, kein Skill-Test. Wichtig für Behörden, KRITIS-Betreiber und alle, die vertraglich daran gebunden sind - für alle anderen trotzdem eine gute Checkliste.

Wo überschneidet sich das mit dem, was wir im Training machen? An mehr Stellen, als ich erwartet hätte.

RBAC nach Least Privilege, keine Default-Service-Accounts: Kapitel bei uns, Anforderung bei BSI. Netzwerk-Whitelisting statt Default-Allow zwischen Namespaces: deckt sich fast wörtlich mit unserer NetworkPolicy-Übung. Und bei erhöhtem Schutzbedarf will BSI ein automatisiertes Audit gegen Benchmarks - genau das, was wir mit kube-bench, Trivy und Kubescape machen. Inklusive NSA- und MITRE-Framework-Abgleich. Den CKS gar nicht erst erwähnt.

Aber - und das sage ich lieber selbst, bevor’s mir jemand vorhält - bei Cluster-Backup und CI/CD-Absicherung als eigenem Planungsschritt haben wir aktuell keine dedizierte Übung im Programm. Das ist eine echte Lücke, keine kleine Ungenauigkeit. Wird nachgezogen.

Fazit: Zertifikat ist Startpunkt, nicht Ziellinie

CKS und BSI-Grundschutz widersprechen sich nicht. Sie beantworten einfach unterschiedliche Fragen. CKS: Kannst du die Werkzeuge bedienen? BSI: Hast du deinen Betrieb organisiert und dokumentiert? Keine der beiden Fragen lautet: Weißt du, wie sich ein echter Angriff anfühlt?

Und genau da würde ich ansetzen, wenn du das Zertifikat schon hast oder gerade drauf hinarbeitest. Mein Kubernetes-Security-Training ist bewusst nicht als CKS-Vorbereitung gebaut - Cluster hacken, verstehen, absichern, in der Reihenfolge. Wer danach in die Zertifizierung geht, hat einen Vorteil, den kein Foliensatz gibt: Er weiß, wonach er bei den Prüfungsaufgaben eigentlich sucht.