Security Hub vs. Aqua vs. Orca: 4,88 Mio. $ Schaden [2026]

Eine falsch konfigurierte AWS-Speicherumgebung reichte im Dezember 2024, um Standortdaten von rund 800.000 Elektrofahrzeugen des Volkswagen-Konzerns offenzulegen. Betroffen waren VW, Audi, Seat und Škoda, wie Heise berichtete. Für 460.000 Fahrzeuge ließen sich sogar präzise Bewegungsprofile rekonstruieren. Der Fall CARIAD steht exemplarisch für ein Problem, das 2026 zum teuersten technischen Angriffsvektor überhaupt geworden ist: die Cloud-Fehlkonfiguration.

Genau hier setzen CNAPP- und CSPM-Plattformen an. Drei Namen tauchen in fast jeder Marktübersicht auf: AWS Security Hub, Aqua Security und Orca Security. Alle drei versprechen, Fehlkonfigurationen zu finden, bevor Angreifer sie finden. Doch die Ansätze unterscheiden sich stark, bei Architektur, Preis und Reichweite. Dieser Vergleich ordnet die Unterschiede ein, mit Zahlen aus aktuellen Marktdaten, echten Vorfällen und einer Migrationsanleitung für den Umstieg.

Wer sich bereits mit Cloud-Sicherheitsplattformen beschäftigt hat, kennt vermutlich auch den Namen Wiz, dessen geplante Übernahme durch Google im Vergleich Wiz vs. Prisma Cloud ausführlich eingeordnet wurde. AWS Security Hub, Aqua Security und Orca Security konkurrieren im selben Marktsegment, richten sich aber an unterschiedliche Ausgangslagen: nativer AWS-Kunde, Container-lastiges DevSecOps-Team oder Multi-Cloud-Konzern mit historisch gewachsener Infrastruktur. Mehr Hintergrund zu angrenzenden Themen wie Schwachstellenmanagement und Angriffserkennung finden sich in unserem Cybersicherheit-Ressort.

Cloud-Fehlkonfigurationen als teuerstes Sicherheitsrisiko 2026

Cloud-Fehlkonfigurationen verursachten laut einer Auswertung des Data Breach Investigations Report 2026 im ersten Quartal 2026 rund 14 Prozent aller weltweiten Datenpannen. 2024 lag dieser Anteil noch bei 9 Prozent. Der Trend zeigt klar nach oben, während klassische Software-Schwachstellen in vielen Berichten stagnieren oder sogar sinken. Die Ursache ist meist banal: ein offener S3-Bucket, eine zu weit gefasste IAM-Rolle oder eine ungesicherte Datenbank, die versehentlich aus dem Internet erreichbar bleibt.

Teuer wird es trotzdem. Ein Bericht von IT Convergence beziffert die durchschnittlichen Kosten einer Misconfiguration-Verletzung auf 4,88 Millionen US-Dollar. Multi-Cloud-Vorfälle, bei denen Daten über mehrere Umgebungen verteilt betroffen sind, kosten laut einer Analyse von Deepstrike im Schnitt 5,05 Millionen US-Dollar, gegenüber 4,01 Millionen US-Dollar bei reinen On-Premises-Vorfällen. 30 Prozent aller Datenpannen 2025 betrafen laut derselben Quelle Daten über mehrere Umgebungen hinweg.

Besonders aufschlussreich ist eine Auswertung des IBM X-Force Reports, die das deutsche Portal turingpoint.de zusammengefasst hat: “Laut aktuellen Branchendaten treten Misconfigurations in knapp 38 Prozent aller Identity-bezogenen Breaches auf, und 95 Prozent aller Cloud-Security-Vorfälle gehen auf menschliche Fehler zurück – nicht auf Plattformschwachstellen.” Diese Aussage aus dem turingpoint.de-Bericht zum X-Force-Report 2026 trifft den Kern des Problems: Cloud-Anbieter sichern die Infrastruktur ab, doch die Konfiguration bleibt Aufgabe der Kunden. Genau diese Lücke sollen CNAPP-Tools schließen.

Ein Grund, warum die Zahlen gerade jetzt steigen, liegt in der wachsenden Komplexität moderner Cloud-Umgebungen. Unternehmen betreiben heute selten nur ein Konto bei einem Anbieter. Fusionen, Übernahmen und dezentrale Entwicklungsteams führen dazu, dass Hunderte Cloud-Konten parallel existieren, oft ohne zentrale Übersicht. Jedes zusätzliche Konto, jede neue Region und jeder neue Microservice erhöht die Angriffsfläche für eine einzelne falsch gesetzte Berechtigung. Das Modell der geteilten Verantwortung, bei dem der Cloud-Anbieter die Infrastruktur und der Kunde die Konfiguration absichert, wird in der Praxis häufig missverstanden. Viele IT-Teams gehen fälschlich davon aus, dass ein Cloud-Anbieter automatisch auch für die korrekte Rechtevergabe innerhalb der eigenen Konten sorgt.

Was CNAPP und CSPM in der Praxis leisten

CSPM steht für Cloud Security Posture Management und beschreibt die Kernfunktion aller drei verglichenen Tools: automatisiertes Scannen von Cloud-Konten gegen Sicherheitsstandards wie CIS Benchmarks, NIST oder PCI DSS. Findet das Tool eine offene Firewall-Regel oder eine unverschlüsselte Datenbank, meldet es das als Finding mit Schweregrad und empfohlener Korrektur.

CNAPP (Cloud Native Application Protection Platform) geht einen Schritt weiter und bündelt CSPM mit Workload-Schutz (CWPP), Kubernetes-Sicherheit (KSPM), Identitätsrisiko-Analyse (CIEM) und teilweise Software-Supply-Chain-Sicherheit in einer Plattform. Der Vorteil: Statt fünf einzelne Tools zu betreiben, sehen Sicherheitsteams Risiken über den gesamten Lebenszyklus einer Anwendung hinweg, vom Code bis zur Laufzeit in Produktion.

Der Marktbegriff CNAPP wurde ursprünglich von Analysten geprägt, um die Konsolidierung mehrerer vorher getrennter Tool-Kategorien zu beschreiben. Vor einigen Jahren betrieben viele Unternehmen noch separate Produkte für Schwachstellen-Scanning, Container-Sicherheit und Cloud-Konfigurationsprüfung, oft von drei unterschiedlichen Anbietern mit drei unterschiedlichen Dashboards und drei unterschiedlichen Alarmierungswegen. Die Konsolidierung zu einer Plattform reduziert nicht nur Lizenzkosten, sondern vor allem den Koordinationsaufwand zwischen Teams, die sonst gegenseitig auf die Zuständigkeit des jeweils anderen Tools verweisen könnten, wenn ein Risiko durch die Ritzen mehrerer Einzellösungen fällt.

Ein Bericht des Cyber Strategy Institute bringt es auf den Punkt: Die folgenreichsten Vorfälle stammen selten von neuartigen Zero-Day-Exploits. Sie entstehen aus Fehlkonfigurationen, offengelegten Secrets und vergessenen, nicht mehr überwachten Cloud-Assets. Das deckt sich mit dem Befund von Google Cloud, das in seinem Cloud Threat Horizons Report H1 2026 angibt, dass 7 Prozent der untersuchten Angriffsfälle auf fehlerhaft konfigurierte Applikations- oder Infrastruktur-Assets zurückgehen. Genau an diesem Punkt setzen AWS Security Hub, Aqua Security und Orca Security an, allerdings mit sehr unterschiedlichen Architekturen.

Agentenbasiert vs. agentenlos: Die technische Kernfrage

Bevor man die drei Plattformen im Detail betrachtet, lohnt sich ein Blick auf die grundsätzliche technische Entscheidung, die jedem CNAPP-Design zugrunde liegt: Soll ein Agent auf jeder überwachten Ressource laufen, oder reicht ein API-Zugriff von außen? Agentenbasierte Ansätze installieren einen kleinen Software-Client auf virtuellen Maschinen, Containern oder Serverless-Funktionen. Dieser Agent sieht Prozesse, Netzwerkverbindungen und Dateizugriffe nahezu in Echtzeit und kann verdächtiges Verhalten sofort blockieren. Der Nachteil: Jeder Agent muss ausgerollt, aktuell gehalten und mit Rechenressourcen versorgt werden, was bei Tausenden Workloads zu spürbarem Verwaltungsaufwand führt.

Agentenlose Ansätze wie Orca Security lesen stattdessen Snapshots und Konfigurationsdaten direkt über die Cloud-Provider-API aus, ganz ohne Installation auf der Zielressource. Das reduziert den operativen Aufwand drastisch und macht eine Einführung binnen Tagen statt Wochen möglich. Der Kompromiss liegt in der Aktualität: Wer auf Snapshot-basierte Scans setzt, sieht Änderungen nicht zwingend in Echtzeit, sondern mit einer gewissen Verzögerung, die je nach Scan-Intervall zwischen Minuten und Stunden liegen kann.

Aqua Security und AWS Security Hub positionieren sich als Hybride. AWS Security Hub nutzt für tiefere Bedrohungserkennung ergänzende Dienste wie GuardDuty, die auf Netzwerkverkehrs- und API-Protokollanalyse setzen, kombiniert das aber mit direkten Konfigurationsprüfungen ohne Agentenzwang für reines CSPM. Aqua wiederum bietet für Runtime-Schutz in Produktionsumgebungen optional Agenten an, während Build- und Pipeline-Scans agentenlos direkt im CI/CD-Prozess laufen. Für die Tool-Auswahl bedeutet das: Wer maximale Laufzeit-Transparenz will, akzeptiert höheren Betriebsaufwand. Wer schnelle, breite Sichtbarkeit priorisiert, akzeptiert eine geringe Verzögerung bei der Erkennung neuer Ereignisse.

AWS Security Hub im Detail: Der native Kontrollraum

AWS Security Hub ist der Ansatz von Amazon selbst und tief in die AWS-Konsole integriert. Das Tool sammelt Findings aus AWS-eigenen Diensten wie GuardDuty, Inspector und Macie sowie aus Partner-Integrationen und bündelt sie in einer zentralen Übersicht. Wer bereits vollständig auf AWS setzt, bekommt damit einen Einstieg ohne zusätzliche Agenten-Installation.

Zwei Neuerungen prägen den aktuellen Funktionsumfang. Seit Dezember 2025 ist laut der offiziellen AWS-Ankündigung die Near Real-Time Risk Analytics-Funktion allgemein verfügbar. Sie visualisiert automatisch mögliche Angriffspfade und zeigt, wie ein Angreifer Schwachstellen und Fehlkonfigurationen miteinander verketten könnte, um kritische Ressourcen zu kompromittieren. Aus einer reinen Finding-Liste wird damit ein risikobasierter Kontext, der Sicherheitsteams hilft, Prioritäten zu setzen.

Die zweite Änderung betrifft die Datenhaltung: Laut dem offiziellen Änderungsprotokoll von AWS Security Hub speichert der Dienst seit dem 3. September 2026 archivierte Findings nur noch 30 statt 90 Tage. Amazon begründet das mit der Reduktion von Datenrauschen und veralteten Falsch-Positiven, ein Vorteil für Teams, die unter Alert-Müdigkeit leiden. Die größte Einschränkung bleibt jedoch die Cloud-Abdeckung: AWS Security Hub deckt primär AWS-Umgebungen ab. Multi-Cloud-Unternehmen benötigen zusätzliche Werkzeuge oder Partner-Integrationen, um Azure- oder Google-Cloud-Ressourcen im selben Dashboard zu sehen.

Für Teams, die bereits vollständig im AWS-Ökosystem arbeiten, zahlt sich das aus. Es entfällt die Notwendigkeit, ein separates Vertragsverhältnis mit einem weiteren Anbieter aufzubauen, und Rechnungen laufen über die ohnehin vorhandene AWS-Abrechnung. Der Dienst eignet sich damit besonders für Teams, die organisch mit ihrer AWS-Nutzung gewachsen sind und noch keine dedizierte Cloud-Security-Abteilung aufgebaut haben. Sobald jedoch Kubernetes-Cluster außerhalb von AWS, Azure-Workloads aus einer Übernahme oder eine bewusste Multi-Cloud-Strategie ins Spiel kommen, stößt der native Ansatz an klare Grenzen.

Aqua Security im Detail: CNAPP vom Code bis zur Laufzeit

Aqua Security positioniert sich als vollwertige CNAPP mit klarem Fokus auf Container, Kubernetes und Software-Supply-Chains. Die Plattform deckt laut eigener AWS-Marketplace-Beschreibung Risk- und Vulnerability-Scanning, Cloud Workload Protection, CSPM und Kubernetes Security Posture Management über eine einzige Plattform ab, kombiniert mit End-to-End-Software-Supply-Chain-Sicherheit für CI/CD-Pipelines.

Preislich staffelt sich Aqua in drei Stufen: Shift Left (Standard) für Code-, Image- und Pipeline-Scanning, Protect (Advanced) mit zusätzlichem Runtime-Schutz für Container, Kubernetes, Serverless und virtuelle Maschinen, sowie Ultimate mit vollständigem Posture Management, Supply-Chain-Sicherheit und Cloud Detection & Response. Konkrete Zahlen dazu liefert die offizielle Preisseite von Aqua Security.

Interessant für kleinere Teams: Aqua bietet einen kostenlosen Developer-Plan für Non-Production-Umgebungen mit Container-Scanning, Kubernetes-Sicherheit und Community-Support. Anders als bei API-Sicherheitstools, wie sie im Vergleich 42Crunch vs. Akamai vs. APIsec beschrieben werden, liegt der Fokus bei Aqua klar auf Infrastruktur und Container statt auf einzelnen API-Endpunkten. Für DevSecOps-Teams, die IaC-Scanning bereits früh in der Pipeline verankern wollen, ist das ein direkter Vorteil gegenüber reaktiven CSPM-Ansätzen.

Die durchgängige Abdeckung vom ersten Code-Commit bis zur Produktionsumgebung macht Aqua vor allem für Organisationen attraktiv, die containerisierte Microservices in großem Maßstab betreiben. Da Aqua Kubernetes nicht als Zusatzfunktion, sondern als Kernkompetenz behandelt, profitieren Teams mit vielen kleinen, unabhängig deploybaren Services besonders stark. Die Kehrseite zeigt sich bei der Preisgestaltung: Wer nur wenige Cloud-Konten mit überschaubarer Workload-Zahl betreibt, zahlt bei Aqua oft für Funktionsumfang, der in der eigenen Umgebung kaum zur Anwendung kommt.

Orca Security im Detail: Agentenlose Sichtbarkeit über Multi-Cloud

Orca Security verfolgt einen fundamental anderen Ansatz: komplett agentenlos. Über die sogenannte SideScanning-Technologie liest die Plattform Metadaten und Konfigurationen direkt über die APIs von AWS, Azure, Google Cloud und Alibaba Cloud aus, statt Software-Agenten auf jeder virtuellen Maschine zu installieren. Das verkürzt die Einführungszeit erheblich, weil kein Rollout auf Tausenden Workloads nötig ist.

Funktional deckt Orca laut aktuellen Marktprofilen Schwachstellen, Fehlkonfigurationen, Malware, IAM-Risiken, offengelegte Secrets und sensible Daten in einer einzigen Plattform ab, sichtbar über AWS, Azure und GCP hinweg. Für Unternehmen mit gewachsenen Multi-Cloud-Umgebungen, oft Resultat von Übernahmen oder unabhängig gewachsenen Geschäftsbereichen, ist genau diese herstellerübergreifende Sicht der zentrale Pluspunkt.

Der Kompromiss: Weil Orca auf API-Zugriffe statt auf Echtzeit-Agenten setzt, liegt die Erkennung mancher Laufzeit-Ereignisse zeitlich etwas hinter agentenbasierten Ansätzen wie sie beispielsweise Endpoint-Tools nutzen, die im Vergleich CrowdStrike vs. SentinelOne beschrieben werden. Für reine Konfigurationsrisiken, IAM-Fehler und Schwachstellen-Scans spielt dieser Unterschied in der Praxis jedoch eine untergeordnete Rolle.

Besonders in Unternehmen, die durch Zukäufe gewachsen sind, zeigt sich der Wert der agentenlosen Architektur schnell. Statt erst ein Rollout-Projekt für neue Agenten in der übernommenen Infrastruktur zu planen, verbindet ein Sicherheitsteam die neuen Cloud-Konten einfach über API-Zugriff und erhält innerhalb kurzer Zeit eine erste Risikoübersicht. Das macht Orca zu einer naheliegenden Wahl für M&A-getriebene Konzerne, Private-Equity-Portfolios mit vielen Tochtergesellschaften oder Unternehmen mitten in einer Cloud-Migration, bei der Alt- und Neu-Umgebungen parallel existieren.

Integration in SIEM, SOAR und den bestehenden Security-Stack

Kein CNAPP-Tool arbeitet isoliert. Findings aus AWS Security Hub, Aqua Security oder Orca Security müssen in der Regel in ein zentrales Sicherheitsmonitoring einfließen, damit ein Security Operations Center überhaupt reagieren kann. Alle drei Anbieter unterstützen Standard-Exportformate und native Integrationen zu gängigen SIEM-Plattformen, etwa den Lösungen aus dem Vergleich Microsoft Sentinel vs. Wazuh vs. Graylog. Ohne eine solche Anbindung bleiben CNAPP-Funde oft in einem separaten Dashboard liegen, das kaum jemand im Tagesgeschäft öffnet.

Für die automatisierte Reaktion auf kritische Findings, etwa das sofortige Sperren eines offengelegten Zugriffsschlüssels, setzen viele Teams zusätzlich auf SOAR-Systeme. Wie solche Automatisierungsplattformen im Detail funktionieren, zeigt der Vergleich TheHive vs. Splunk SOAR vs. Cortex XSOAR. AWS Security Hub bietet dafür native EventBridge-Regeln, die Findings direkt an Lambda-Funktionen oder Drittanbieter-SOAR-Systeme weiterleiten. Aqua und Orca liefern vergleichbare Webhook- und API-Anbindungen, die sich in bestehende Automatisierungs-Workflows einbinden lassen.

Ein oft unterschätzter Aspekt ist die Netzwerkebene. Cloud-Fehlkonfigurationen betreffen nicht nur Speicher und Datenbanken, sondern auch Zugriffsregeln auf Anwendungsebene. Wer zusätzlich Web-Traffic filtert, etwa mit Diensten aus dem Vergleich Zscaler vs. Netskope vs. Cloudflare, sollte prüfen, ob CNAPP-Findings und Netzwerk-Policies denselben Ressourcen-Tags folgen. Uneinheitliche Benennungskonventionen zwischen CNAPP-Tool und Netzwerksicherheit sind in der Praxis eine häufige Ursache dafür, dass kritische Findings tagelang liegen bleiben, weil niemand eindeutig zuordnen kann, welches Team verantwortlich ist.

Technischer Vergleich: Die Spezifikationstabelle

Die folgende Tabelle fasst die wichtigsten technischen Unterschiede zwischen den drei Plattformen zusammen, basierend auf öffentlich dokumentierten Funktionen und Herstellerangaben von 2026. Wer die Tabelle als Checkliste für ein eigenes Anforderungsprofil nutzt, sollte zusätzlich festhalten, welche Zeilen für die eigene Organisation tatsächlich geschäftskritisch sind, statt alle Kriterien gleich zu gewichten.

Kriterium	AWS Security Hub	Aqua Security	Orca Security
Herkunft	Amazon Web Services (USA)	Aqua Security (Israel/USA)	Orca Security (Israel/USA)
Architektur	Nativer AWS-Dienst, teils agentenbasiert	Agent- und agentenlose Optionen kombiniert	Vollständig agentenlos (SideScanning)
Cloud-Abdeckung	Primär AWS	AWS, Azure, GCP, Kubernetes	AWS, Azure, GCP, Alibaba Cloud, Kubernetes
CSPM (Fehlkonfiguration)	Ja, über CIS- und AWS-FSBP-Standards	Ja, vollständig integriert	Ja, Kernfunktion der Plattform
Workload-Schutz (CWPP)	Eingeschränkt, über Partner-Add-ons	Ja, inklusive Runtime-Schutz	Ja, agentenlos über API-Scanning
Kubernetes-Sicherheit (KSPM)	Über Drittanbieter-Integrationen	Dediziert integriert	Dediziert integriert
Software-Supply-Chain-Sicherheit	Nicht nativ	Ja, End-to-End für CI/CD	Teilweise, über SBOM- und Secrets-Scanning
IaC-Scanning (Shift-Left)	Begrenzt	Ja, eigener Shift-Left-Plan	Ja
Risikobasierte Angriffspfad-Analyse	Ja, seit Dezember 2025	Ja	Ja
Compliance-Frameworks	CIS, PCI DSS, NIST, AWS FSBP	CIS, PCI DSS, NIST, SOC 2, HIPAA	CIS, PCI DSS, NIST, ISO 27001, rund 100 weitere
Kostenloser Einstieg	30 Tage Testphase für neue AWS-Konten	Dauerhafter Developer-Plan (Non-Production)	Nein, nur Demo auf Anfrage
Typische Zielgruppe	Bestehende AWS-Kunden, kleinere Teams	Mittelstand bis Enterprise mit DevSecOps-Fokus	Multi-Cloud-Konzerne mit hohem Sichtbarkeitsbedarf

Preise im Vergleich: Von kostenlos bis sechsstellig

Bei den Kosten klaffen die drei Anbieter weit auseinander. AWS Security Hub rechnet nutzungsbasiert ab, gestaffelt nach Anzahl der Sicherheitsprüfungen und aufgenommenen Findings, was für kleine Konten oft nur wenige hundert Dollar im Monat bedeutet. Aqua Security und Orca Security setzen dagegen auf Jahreslizenzen im vier- bis sechsstelligen Bereich, abhängig von Workload-Anzahl und gewähltem Funktionsumfang.

Kostenpunkt	AWS Security Hub	Aqua Security	Orca Security
Einstiegspreis	Nutzungsbasiert, ab Cent-Beträgen pro Prüfung	Kostenloser Developer-Plan (Non-Production)	Kein Self-Service, nur individuelles Angebot
Kleines Team	Meist niedriger dreistelliger Betrag pro Monat	Ab 10.188 $ pro Jahr laut Toolanalyse 2026	Ab rund 10.000 $ pro Jahr laut Marktvergleichen
Mittelstand	Skaliert mit Findings-Volumen	Ab 25.188 $ pro Jahr (Enterprise-Paket)	Sechsstellig, abhängig vom Cloud-Footprint
Enterprise (Marketplace-Pakete)	Volumenbasiert, kein Festpreis	Shift Left: 50.000 $/Jahr, Protect: 100.000 $/Jahr, Ultimate: 150.000 $/Jahr	Individuell verhandelt, keine öffentliche Staffelung
Abrechnungsmodell	Pay-as-you-go über die AWS-Rechnung	Jährliche Lizenz, unit-basiert	Jährliche Lizenz nach Workload-Anzahl
Kostenlose Testphase	30 Tage für neue AWS-Konten	Developer-Plan dauerhaft kostenlos, eingeschränkt	Nur Demo, keine Selbstbedienung

Die Preisspanne bei Aqua zeigt einen wichtigen Unterschied zwischen Marketplace-Bundles und direktem SaaS-Lizenzmodell: Wer über AWS Marketplace least, zahlt andere Staffeln als bei einer direkten Aqua-Lizenz. Wer parallel bereits in Schwachstellen-Management investiert hat, etwa mit Tools aus dem Vergleich Tenable vs. Qualys vs. Rapid7, sollte Überschneidungen bei Vulnerability-Scanning-Lizenzen einkalkulieren, bevor eine zusätzliche CNAPP-Lizenz dazukommt.

Bei der reinen Listenpreis-Betrachtung bleibt zudem ein Faktor oft unberücksichtigt: die Gesamtbetriebskosten. Ein günstiger Einstiegspreis bei AWS Security Hub kann bei einer großen Anzahl aktiver Konten und einem hohen Findings-Volumen schnell in einen vierstelligen Monatsbetrag hineinwachsen, da die Abrechnung nutzungsbasiert erfolgt. Umgekehrt wirkt eine sechsstellige Jahreslizenz bei Aqua oder Orca zunächst abschreckend, deckt aber oft mehrere vorher separat lizenzierte Funktionen ab, etwa Kubernetes-Sicherheit oder Supply-Chain-Scanning, die sonst zusätzlich eingekauft werden müssten. Ein realistischer Kostenvergleich sollte daher immer den vollen Funktionsumfang gegenrechnen, nicht nur die nackte Lizenzsumme auf der ersten Angebotsseite.

Erkennungsraten und Benchmarks: Was die Daten zeigen

Unabhängige Labortests, die alle drei Plattformen nebeneinander mit identischer Methodik prüfen, existieren aktuell nicht öffentlich. Verfügbar sind aber Nutzerbewertungen und Marktdaten aus mehreren Quellen, die zumindest eine Tendenz zeigen.

Auf der Bewertungsplattform G2 vergeben Nutzer für die Kategorien Erkennungsrate und Falsch-Positiv-Rate im direkten Vergleich zwischen Aqua Security und Orca Security unterschiedliche Werte: Aqua erreicht bei der Erkennungsrate 7,7 von 10 Punkten (17 Bewertungen) und bei Falsch-Positiven 6,2 von 10 Punkten (19 Bewertungen). Orca liegt bei der Erkennungsrate mit 8,8 von 10 Punkten (116 Bewertungen) und bei Falsch-Positiven mit 7,6 von 10 Punkten (117 Bewertungen) jeweils höher, allerdings auch mit deutlich mehr Bewertungen als Grundlage. Diese Zahlen stammen aus Nutzerumfragen, nicht aus einem kontrollierten Labortest, und sollten entsprechend eingeordnet werden.

Ergänzend liefert der bereits erwähnte Cyber Strategy Institute Report 2026 einen qualitativen Befund: Die folgenreichsten Vorfälle gehen auf Fehlkonfigurationen und vergessene Assets zurück, nicht auf neuartige Exploits, unabhängig davon, welches Tool im Einsatz ist. Und der IBM X-Force-Report, zusammengefasst von turingpoint.de, bestätigt, dass menschliches Fehlverhalten bei der Konfiguration in 95 Prozent der Fälle die Ursache bildet. Für die Tool-Auswahl bedeutet das: Die Erkennungsrate ist wichtig, aber die Frage, wie schnell ein Team auf ein Finding reagiert und ob Alert-Müdigkeit die Reaktion verzögert, entscheidet oft mehr über die tatsächliche Sicherheit als der reine Scan-Algorithmus.

Ein methodischer Hinweis gehört zur Einordnung dazu, bevor die Zahlen als Kaufargument dienen: G2-Bewertungen spiegeln die subjektive Erfahrung zahlender Kunden wider, nicht das Ergebnis eines standardisierten Penetrationstests. Ein Team mit unrealistischen Erwartungen an ein Tool vergibt tendenziell schlechtere Noten als ein Team, das die Grenzen der jeweiligen Architektur von Anfang an kennt. Trotzdem lohnt sich der Blick auf die Bewertungszahl an sich: Orca Security sammelt mit 116 bis 117 Bewertungen je Kategorie deutlich mehr Datenpunkte als Aqua mit 17 bis 19 Bewertungen, was die Aussagekraft des höheren Orca-Werts zusätzlich stützt, auch wenn beide Werte aus derselben G2-Vergleichsseite stammen und keine unabhängige Drittpartei den Test durchgeführt hat.

Reale Vorfälle: Fünf Cloud-Fehlkonfigurationen mit Folgen

Zahlen wirken abstrakt, konkrete Fälle zeigen das Ausmaß deutlicher. Fünf Beispiele aus den vergangenen zwei Jahren verdeutlichen, wie unterschiedlich Cloud-Fehlkonfigurationen ausfallen können.

• Volkswagen/CARIAD (Dezember 2024): Eine falsch konfigurierte AWS-Speicherumgebung der VW-Softwaretochter CARIAD legte Bewegungsdaten von rund 800.000 Elektrofahrzeugen offen, für 460.000 davon mit präzisen Standortkoordinaten. Aufgedeckt wurde der Fall durch einen Hinweisgeber und den Chaos Computer Club, öffentlich gemacht durch den Spiegel.
• Builder.ai (Dezember 2024): Eine öffentlich zugängliche Datenbank des KI-Startups exponierte laut Berichten über drei Millionen Dokumente und rund 1,29 Terabyte Daten, darunter Rechnungen, Geheimhaltungsvereinbarungen und Cloud-Zugangsschlüssel.
• FTX Japan (Mai 2025): Ein offen zugänglicher Amazon-S3-Bucket enthielt laut Sicherheitsforschern mehr als 26 Millionen Dateien mit Nutzernamen, Adressen und detaillierten Transaktionsprotokollen von rund 35.000 Nutzern.
• Vroom by YouX (März 2025): Ein ungesicherter S3-Bucket exponierte laut einer australischen Datenschutz-Datenbank rund 27.000 Datensätze mit Führerscheinen, Bankauszügen und Beschäftigungsnachweisen.
• Nextcloud-Umfeld (Juli 2026): Eine falsch konfigurierte Elasticsearch-Datenbank legte laut einer Auswertung von recentbreaches.com etwa 367.000 Datensätze offen, darunter Verträge, Rechnungen und Konfigurationsskripte mit eingebetteten Zugangsdaten.

Auffällig: In vier von fünf Fällen war keine raffinierte Angriffstechnik nötig. Die Daten lagen offen erreichbar im Netz, weil eine Zugriffsberechtigung falsch gesetzt oder ein Standard-Passwort nie geändert wurde. Genau solche Findings hätten CSPM-Scans wie die von AWS Security Hub, Aqua Security oder Orca Security typischerweise binnen Minuten bis Stunden nach der Fehlkonfiguration gemeldet, vorausgesetzt, das Tool war korrekt in der betroffenen Umgebung aktiviert.

Der zweite gemeinsame Nenner: Betroffen waren nicht nur kleine Startups ohne Sicherheitsbudget. CARIAD gehört zum Volkswagen-Konzern, einem der größten Automobilhersteller der Welt mit entsprechenden IT-Ressourcen. FTX Japan war Teil einer international operierenden Handelsplattform. Das zeigt, dass Unternehmensgröße allein keinen Schutz vor Fehlkonfigurationen bietet. Entscheidend ist, ob ein kontinuierlicher, automatisierter Scan-Prozess über alle Cloud-Konten hinweg existiert, nicht die Größe des IT-Budgets an sich. Gerade bei dezentral organisierten Konzernen mit vielen Tochtergesellschaften, wie im Fall der VW-Softwaretochter CARIAD, reicht eine zentrale Sicherheitsrichtlinie allein nicht aus, wenn einzelne Teams eigene Cloud-Konten ohne Anbindung an das zentrale CNAPP-Tool betreiben.

Für wen sich welches Tool eignet: Fünf Einsatzszenarien

Die Wahl des passenden Tools hängt stark vom Cloud-Footprint und der Teamgröße ab. Fünf typische Szenarien helfen bei der Einordnung. Wichtig dabei: Diese Zuordnungen sind keine starren Regeln, sondern Ausgangspunkte für eine eigene Bewertung, da sich Preislisten und Funktionsumfänge bei allen drei Anbietern regelmäßig ändern.

• Reines AWS-Setup mit kleinem Team: AWS Security Hub reicht oft aus, da keine Zusatzlizenz nötig ist und die Findings direkt in der bestehenden AWS-Konsole erscheinen, ohne separates Login.
• Multi-Cloud-Konzern mit DevSecOps-Pipeline: Aqua Security passt, weil Shift-Left-Scanning direkt in CI/CD-Pipelines eingebaut werden kann und Supply-Chain-Risiken früh sichtbar werden.
• Schnelle Einführung ohne Agenten-Rollout: Orca Security eignet sich, wenn Tausende Workloads in kurzer Zeit sichtbar gemacht werden müssen, ohne dass IT-Teams Agenten auf jeder Instanz installieren.
• Kubernetes-lastige Microservices-Architektur: Sowohl Aqua als auch Orca bieten dedizierte KSPM-Funktionen, AWS Security Hub benötigt hier zusätzliche Drittanbieter-Integrationen.
• Regulierte Branchen mit hohem Compliance-Nachweis (Finanzsektor, KRITIS-Betreiber): Orca Security deckt mit rund 100 Compliance-Frameworks die breiteste Basis ab, was Audits erleichtert.
• Startups mit knappem Budget: Der kostenlose Aqua-Developer-Plan oder der AWS-Free-Tier-Einstieg erlauben einen Start ohne laufende Lizenzkosten, solange nur Non-Production-Umgebungen betroffen sind.

Migrationsleitfaden: So wechseln Sie zwischen CNAPP-Plattformen

Ein Wechsel der CSPM- oder CNAPP-Plattform ist selten ein Ein-Klick-Vorgang. Die folgenden Schritte haben sich in der Praxis als Ablauf etabliert, unabhängig davon, in welche Richtung der Wechsel erfolgt.

1. Vollständiges Cloud-Asset-Inventar erstellen, inklusive Schatten-IT-Konten, die oft übersehen werden.
2. Bestehende Findings und offene Tickets aus dem Alt-Tool exportieren, um keine ungelösten Risiken zu verlieren.
3. Neues Tool zunächst im Read-Only-Modus parallel zum bestehenden Tool aktivieren (Parallelbetrieb für 30 bis 60 Tage empfohlen).
4. Compliance-Frameworks im neuen Tool neu zuordnen, da Bewertungslogik zwischen Anbietern variiert.
5. IAM-Rollen und Berechtigungen für das neue Tool nach dem Prinzip der geringsten Rechte einrichten.
6. Alert-Routing auf SIEM- oder SOAR-Systeme umstellen, etwa auf Plattformen aus dem Vergleich Microsoft Sentinel vs. Wazuh vs. Graylog, sofern vorhanden.
7. Baseline neu kalibrieren und Schwellenwerte anpassen, um Alert-Müdigkeit im Team zu vermeiden.
8. Altes Tool erst nach vollständigem Abgleich beider Finding-Listen abschalten, nicht vorher.

Wichtig: Der Parallelbetrieb kostet zusätzliches Geld, verhindert aber, dass in der Übergangsphase eine reale Fehlkonfiguration unentdeckt bleibt, weil beide Tools noch nicht vollständig kalibriert sind. Gerade bei sechsstelligen Jahreslizenzen wie bei Aqua Ultimate oder Orca Enterprise lohnt sich ein strukturierter Proof-of-Concept über mindestens vier Wochen, bevor der Altvertrag gekündigt wird.

Häufige Stolperfallen bei der Migration

In der Praxis scheitern Migrationsprojekte selten an der Technik, sondern an organisatorischen Lücken. Ein häufiger Fehler: Teams übernehmen nur die Cloud-Konten, die ihnen bekannt sind, und übersehen Schatten-IT-Konten, die einzelne Fachabteilungen ohne Rücksprache mit der IT-Sicherheit angelegt haben. Ein zweiter Fehler betrifft die Priorisierung: Wird die Baseline im neuen Tool zu streng eingestellt, entsteht sofort eine Flut an Findings, die das Team überfordert und dazu verleitet, Warnungen pauschal zu ignorieren. Ein dritter Punkt betrifft vertragliche Fristen. Wer den Altvertrag kündigt, bevor das neue Tool nachweislich dieselbe oder eine bessere Erkennungsrate liefert, riskiert eine Lücke in der Überwachung, genau in dem Zeitraum, in dem Angreifer aktiv nach neu entstandenen, noch nicht überwachten Fehlkonfigurationen suchen.

Vor- und Nachteile im Überblick

Nach der technischen Tiefenanalyse lohnt sich eine kompakte Gegenüberstellung der wichtigsten Argumente für und gegen jede Plattform. Die folgende Übersicht fasst zusammen, was in der Praxis am stärksten ins Gewicht fällt, unabhängig von Einzelfunktionen.

AWS Security Hub

• Vorteil: Kein Zusatzagent, native Integration in bestehende AWS-Workflows
• Vorteil: Nutzungsbasierte Abrechnung, kein hoher Einstiegspreis
• Nachteil: Schwache Multi-Cloud-Abdeckung außerhalb von AWS
• Nachteil: Eingeschränkte native Supply-Chain-Sicherheit

Aqua Security

• Vorteil: Durchgängige CNAPP-Abdeckung vom Code bis zur Laufzeit
• Vorteil: Kostenloser Developer-Plan für Non-Production-Tests
• Nachteil: Enterprise-Pakete erreichen sechsstellige Jahreskosten
• Nachteil: Kombination aus Agent- und agentenloser Architektur erhöht Komplexität beim Rollout

Orca Security

• Vorteil: Vollständig agentenlos, schnelle Einführung über API-Zugriff
• Vorteil: Breite Compliance-Abdeckung mit rund 100 Frameworks
• Nachteil: Kein Self-Service-Preismodell, nur individuelle Angebote
• Nachteil: Laufzeit-Erkennung reagiert langsamer als bei agentenbasierten Ansätzen

Herausforderungen beim Betrieb: Alert-Müdigkeit und Ressourcenbedarf

Ein CNAPP-Tool zu lizenzieren ist der einfache Teil. Der Betrieb entscheidet, ob die Investition sich auszahlt. Die größte praktische Hürde bleibt Alert-Müdigkeit: Werden zu viele Findings mit niedrigem Schweregrad angezeigt, verlieren Teams schnell die Übersicht und übersehen im schlimmsten Fall die eine kritische Fehlkonfiguration zwischen Hunderten Routine-Meldungen. Genau deshalb hat AWS mit der verkürzten Aufbewahrungsfrist archivierter Findings und der neuen Risikoanalyse-Funktion gegengesteuert. Aqua und Orca setzen auf ähnliche Priorisierungslogiken, die Findings nach tatsächlicher Ausnutzbarkeit statt nach reiner Regelverletzung sortieren.

Ressourcenseitig unterscheidet sich der Aufwand deutlich. AWS Security Hub benötigt kaum dediziertes Personal für den reinen Betrieb, da viele Standardregeln vorkonfiguriert sind. Aqua Security verlangt dagegen ein Team, das Shift-Left-Regeln in der CI/CD-Pipeline pflegt und Ausnahmen für Legacy-Anwendungen definiert, die sich nicht ohne Weiteres an moderne Sicherheitsstandards anpassen lassen. Orca Security reduziert den Konfigurationsaufwand durch den agentenlosen Ansatz, verlangt aber trotzdem eine bewusste Entscheidung darüber, welche der teils Hunderten verfügbaren Compliance-Frameworks tatsächlich relevant sind, da eine unreflektierte Aktivierung aller Frameworks die Finding-Zahl unnötig aufbläht.

Ein oft übersehener Kostenfaktor ist Schulungsaufwand. Sicherheitsteams, die jahrelang mit einem agentenbasierten Modell gearbeitet haben, müssen bei einem Wechsel zu einem agentenlosen Ansatz ihre Erwartungen an Erkennungsgeschwindigkeit anpassen. Umgekehrt bedeutet die Einführung eines Runtime-Agenten für Teams, die bisher nur CSPM-Scans kannten, dass zusätzliche Freigabeprozesse für Produktionsumgebungen nötig werden, da ein Agent tiefer in laufende Systeme eingreift als ein reiner Konfigurationsscan. Diese kulturelle Umstellung braucht in der Regel mehr Zeit als die technische Implementierung selbst.

Wichtig ist auch die Abgrenzung zu Erkennungs- und Reaktionsdiensten, die auf Endpunkt- statt auf Cloud-Konfigurationsebene arbeiten. Wie sich Managed-Detection-and-Response-Modelle von reiner Endpoint- oder erweiterter Erkennung unterscheiden, erklärt der Vergleich EDR vs. XDR vs. MDR. CNAPP-Tools ersetzen solche Lösungen nicht, sie ergänzen sie um die Cloud-Konfigurationsebene, die klassische Endpoint-Tools naturgemäß nicht abdecken.

DACH-Perspektive: NIS2, Bußgelder und Cloud-Souveränität

Für Unternehmen in Deutschland, Österreich und der Schweiz kommt eine zusätzliche Dimension hinzu: regulatorischer Druck. Mit der Umsetzung der NIS2-Richtlinie in deutsches Recht fallen deutlich mehr Unternehmen unter Meldepflichten für Sicherheitsvorfälle, inklusive solcher, die aus Cloud-Fehlkonfigurationen entstehen. Ein dokumentierter, automatisierter Nachweis über kontinuierliches Cloud-Monitoring erleichtert im Ernstfall die Kommunikation mit Aufsichtsbehörden erheblich.

Hinzu kommt die Frage der Datenresidenz. AWS Security Hub verarbeitet Daten dort, wo die überwachten AWS-Ressourcen liegen, inklusive der AWS-Regionen in Frankfurt und Zürich. Aqua Security und Orca Security bieten ebenfalls europäische Hosting-Optionen an, Unternehmen sollten das aber vor Vertragsabschluss explizit im Angebot prüfen lassen, insbesondere wenn personenbezogene Daten aus Findings in die Plattform-Telemetrie einfließen. Der Fall CARIAD zeigt zudem, wie stark deutsche Aufsichtsbehörden und die Öffentlichkeit auf Cloud-Vorfälle reagieren, wenn Standortdaten von Endkunden betroffen sind. Wer in DACH-Märkten tätig ist, sollte Cloud-Sicherheitstools daher nicht nur technisch, sondern auch aus Reputationssicht bewerten.

Was CNAPP-Nachweise für Aufsichtsbehörden wert sind

Betreiber kritischer Infrastruktur in Deutschland stehen zusätzlich unter dem Druck weiterer Regelwerke, die Cloud-Sicherheit explizit adressieren. Ein automatisch generierter Prüfbericht aus AWS Security Hub, Aqua Security oder Orca Security ersetzt zwar keine vollständige Dokumentation, liefert aber einen belastbaren Zeitstempel dafür, wann eine Fehlkonfiguration entdeckt und wann sie behoben wurde. Genau diese Nachvollziehbarkeit verlangen Prüfer zunehmend, wenn es um den Nachweis angemessener technischer und organisatorischer Maßnahmen geht. Unternehmen, die ihre CNAPP-Berichte direkt in ihr Compliance-Management-System einspeisen, sparen sich im Audit-Fall manuelle Nacherhebungen, die sonst Wochen dauern können.

Unser Fazit: Welches Tool schützt am besten vor Millionenschäden

Eine pauschale Kaufempfehlung gibt es nicht, die Datenlage spricht aber eine klare Sprache für unterschiedliche Ausgangslagen. Wer ausschließlich auf AWS setzt und das Budget knapp halten muss, kommt mit AWS Security Hub am günstigsten zu einem soliden CSPM-Fundament, muss aber bei Multi-Cloud-Plänen frühzeitig nachrüsten. Wer eine durchgängige DevSecOps-Pipeline vom ersten Code-Commit bis zur Produktion absichern will, findet in Aqua Security die technisch vollständigste Lösung, bezahlt dafür aber auch die höchste Einstiegshürde bei den Enterprise-Paketen.

Orca Security überzeugt dort, wo Geschwindigkeit und Multi-Cloud-Reichweite wichtiger sind als der niedrigste Preis: Die höheren G2-Bewertungen bei Erkennungsrate (8,8 von 10) und die breite Compliance-Abdeckung sprechen für Konzerne mit komplexer, historisch gewachsener Cloud-Landschaft. Angesichts der 4,88 Millionen US-Dollar durchschnittlicher Schadenssumme pro Misconfiguration-Vorfall ist die eigentliche Kernaussage aber eine andere: Jedes der drei Tools reduziert das Risiko erheblich gegenüber gar keinem CSPM-Scan. Die Entscheidung zwischen AWS Security Hub, Aqua Security und Orca Security ist am Ende eine Frage von Cloud-Footprint, Budget und Team-Reife, nicht von einem einzelnen „besten” Produkt.

Wer unsicher ist, sollte klein anfangen: Ein kostenloser Einstieg über AWS Security Hub oder den Aqua-Developer-Plan liefert innerhalb weniger Tage erste belastbare Daten darüber, wie viele Fehlkonfigurationen in der eigenen Umgebung tatsächlich existieren. Erst danach lohnt sich die Entscheidung für eine kostenpflichtige Enterprise-Lizenz, wenn klar ist, welcher Funktionsumfang wirklich gebraucht wird. Angesichts der Fälle CARIAD, Builder.ai und FTX Japan zeigt sich vor allem eines: Die Frage ist nicht, ob ein Unternehmen sich ein CNAPP-Tool leisten kann, sondern ob es sich leisten kann, ohne kontinuierliches Cloud-Monitoring zu arbeiten.

Häufig gestellte Fragen

Was ist der Unterschied zwischen CSPM und CNAPP?
CSPM scannt Cloud-Konten gezielt auf Fehlkonfigurationen gegen definierte Sicherheitsstandards. CNAPP bündelt CSPM zusätzlich mit Workload-Schutz, Kubernetes-Sicherheit und teilweise Supply-Chain-Sicherheit in einer einzigen Plattform.

Kann ich AWS Security Hub für Multi-Cloud-Umgebungen nutzen?
Nur eingeschränkt. AWS Security Hub ist primär auf AWS-Ressourcen ausgelegt. Für Azure- oder Google-Cloud-Konten benötigen Unternehmen zusätzliche Tools oder Partner-Integrationen.

Ist Orca Security wirklich komplett agentenlos?
Ja, laut Herstellerangaben nutzt Orca ausschließlich API-basiertes SideScanning ohne Software-Agenten auf den überwachten Workloads. Das verkürzt die Einführungszeit, kann aber die Erkennung mancher Echtzeit-Laufzeitereignisse verzögern.

Wie viel kostet ein Umstieg von AWS Security Hub auf Aqua oder Orca?
Neben der neuen Lizenz, die je nach Anbieter zwischen niedrigen vierstelligen und sechsstelligen Jahresbeträgen liegt, sollten Unternehmen zusätzlichen Aufwand für Parallelbetrieb, Neukalibrierung der Baseline und Integration in bestehende SIEM-Systeme einplanen.

Deckt eines dieser Tools NIS2-Anforderungen vollständig ab?
Keines der drei Tools ersetzt eine vollständige NIS2-Compliance-Strategie. Sie liefern aber automatisierte Nachweise über kontinuierliches Cloud-Monitoring, die bei Audits und Meldepflichten als Beleg dienen können.

Was passiert, wenn eine Fehlkonfiguration unentdeckt bleibt?
Wie die Fälle CARIAD, Builder.ai und FTX Japan zeigen, bleiben offene Cloud-Ressourcen oft monatelang unbemerkt zugänglich, bis externe Sicherheitsforscher oder Hinweisgeber sie entdecken. Ohne kontinuierliches CSPM-Scanning bleibt dieses Risiko bestehen, und je länger eine Fehlkonfiguration offen bleibt, desto höher ist laut den zitierten Kostenanalysen im Schnitt auch der finanzielle Schaden im Ernstfall.

Eignet sich Aqua Security für kleine Unternehmen?
Der kostenlose Developer-Plan richtet sich an kleine Teams, allerdings nur für Non-Production-Umgebungen. Für den produktiven Einsatz wird mindestens das kostenpflichtige Einstiegspaket ab rund 10.188 US-Dollar pro Jahr benötigt.

Brauche ich zusätzlich einen klassischen Schwachstellenscanner?
Ja, in vielen Fällen ergänzen sich beide Kategorien. CNAPP-Tools fokussieren auf Cloud-Konfiguration und Workload-Kontext, während dedizierte Vulnerability-Management-Plattformen oft tiefere Scans auf Betriebssystem- und Anwendungsebene liefern, etwa die im Vergleich Tenable vs. Qualys vs. Rapid7 beschriebenen Lösungen.

Wie schnell lässt sich Orca Security einführen?
Da keine Agenten auf einzelnen Workloads installiert werden müssen, berichten Anwender von einer Einführungszeit im Bereich weniger Tage für die initiale Sichtbarkeit über verbundene Cloud-Konten, deutlich schneller als bei agentenbasierten Rollouts in großen Umgebungen.

Lassen sich alle drei Tools gleichzeitig einsetzen?
Technisch ist ein Parallelbetrieb möglich, wirtschaftlich sinnvoll ist er aber nur während einer Migrationsphase. Auf Dauer verursacht doppelte Lizenzierung unnötige Kosten und erschwert die Zuordnung, welches Tool welchen Alert zuerst gemeldet hat.