CloudTrail, Config und Sicherheitsdienste: Preise

CloudTrail Kosten entstehen erst jenseits der kostenlosen Ereignishistorie und der ersten Kopie der Verwaltungsereignisse: je 100.000 Ereignisse für weitere Kopien, für Datenereignisse und für Insights, und je GB für Aufnahme, Aufbewahrung und Abfragen in CloudTrail Lake; AWS Config berechnet je aufgezeichnetem Konfigurationselement und je Regelauswertung, GuardDuty je Million analysierter Ereignisse und je GB analysierter Logs oder je überwachter vCPU, Security Hub je Sicherheitsprüfung und je aufgenommenem Finding, KMS je Schlüssel und Monat plus je 10.000 Anfragen, und Secrets Manager je Secret und Monat plus je 10.000 API-Aufrufe. Auf der Rechnung dominieren in den meisten Konten AWS Config über die Regelauswertungen und GuardDuty über die analysierten Logs, während CloudTrail erst mit Datenereignissen auf stark genutzten Buckets eine Zeile wird.

Preisdimensionen

Die sechs Dienste zählen Ereignisse: aufgezeichnete, ausgewertete, analysierte, geprüfte, verschlüsselte und abgerufene, je Konto und Region, und ihre Preise sind je Einheit klein und je Monat groß, weil die Einheiten in die Millionen gehen. Jede Position trägt ihren eigenen Usage Type, und keiner der Dienste hat eine Kaufoption.

CloudTrail ist in der Grundform kostenlos: Die Ereignishistorie der letzten 90 Tage und eine Kopie der Verwaltungsereignisse in einen Bucket kosten nichts, und was kostet, ist alles darüber hinaus, eine zweite Kopie je Konto neben dem Organisations-Trail, Datenereignisse auf Buckets und Funktionen mit vielen Zugriffen, und Insights. CloudTrail Lake ist der Ereignisdatenspeicher mit eigenen Preisen je GB für Aufnahme, Aufbewahrung und Abfrage, der mit dem Volumen der Datenereignisse teuer wird. AWS Config zählt zwei Dinge: Konfigurationselemente, eines je Änderung jeder Ressource oder eines je Tag bei täglicher Aufzeichnung, und Regelauswertungen, eine je Ressource und Regel bei jeder Änderung; ein Konto mit vielen Regeln auf vielen Ressourcen, die sich oft ändern, etwa durch Auto Scaling, erzeugt Millionen Auswertungen im Monat.

GuardDuty berechnet je Schutzplan das Volumen, das es analysiert: CloudTrail-Ereignisse je Million, VPC-Flow-Logs und DNS-Logs je GB mit sinkenden Stufen, S3-Datenereignisse je Million, EKS-Audit-Logs je Million, Runtime Monitoring je vCPU und Monat, Malware-Schutz je gescanntem GB und RDS-Schutz je vCPU oder ACU; die Flow-Logs sind in den meisten Konten die größte Zeile, und GuardDuty liest sie, ohne dass sie in CloudWatch oder S3 liegen müssen. Security Hub berechnet Sicherheitsprüfungen je Ressource und Standard in Stufen und die Aufnahme fremder Findings über eine Freimenge, dazu den Essentials-Plan je überwachter Ressource und Stunde. KMS berechnet jeden eigenen Schlüssel je Monat und je Region, bei Rotation jede Version bis zur zweiten, und Anfragen je 10.000 nach Art; die AWS-verwalteten Schlüssel der Dienste kosten nichts. Secrets Manager berechnet jedes Secret je Monat und jeden Abruf je 10.000, und eine Anwendung, die das Secret bei jedem Aufruf liest statt es zu cachen, macht die Abrufe zur größeren Zeile. Die Mechanik aller drei Anbieter erklärt Identitäts- und Sicherheitsdienste.

So erscheint es in den Abrechnungsdaten

Im Cost and Usage Report tragen die Zeilen den Produktcode des Dienstes, AWSCloudTrail, AWSConfig, AmazonGuardDuty, AWSSecurityHub, awskms und AWSSecretsManager, und das Präfix des Usage Type ist der Regionscode, EUC1 für Frankfurt, bei KMS in der langen Form eu-central-1. CloudTrail steht als EUC1-FreeEventsRecorded zu 0 und EUC1-PaidEventsRecorded für weitere Kopien, EUC1-DataEventsRecorded für Datenereignisse, EUC1-InsightsEvents, EUC1-NetworkEventsRecorded, und für Lake EUC1-Ingestion-Bytes mit Stufen, EUC1-Ingestion-Bytes-1yearstore-Live-CloudTrail-Logs für die einjährige Aufbewahrung, EUC1-PaidStorage-ByteHrs und EUC1-QueryScanned-Bytes; lineItem/ResourceId nennt den Trail oder den Ereignisdatenspeicher. Config steht als EUC1-ConfigurationItemRecorded und EUC1-ConfigurationItemRecordedDaily, EUC1-ConfigRuleEvaluations mit Stufen, EUC1-ConformancePackEvaluations und EUC1-ProactiveConfigRuleEvaluations, ohne Ressource, weil die Zählung je Konto und Region läuft.

GuardDuty steht je Quelle als EUC1-PaidEventsAnalyzed für CloudTrail-Ereignisse, EUC1-PaidEventsAnalyzed-Bytes für Flow- und DNS-Logs mit Stufen, EUC1-PaidS3DataEventsAnalyzed, EUC1-PaidKubernetesAuditLogsAnalyzed, EUC1-PaidEC2vCPUMonitored, EUC1-PaidEKSvCPUMonitored und EUC1-PaidFargatevCPUMonitored für Runtime Monitoring, EUC1-PaidMalwareProtectionEBSDataScanned und EUC1-PaidRDSvCPUMonitored, mit Free-Varianten zu 0 in der Probezeit. Security Hub steht als EUC1-PaidComplianceCheck mit Stufen und EUC1-OtherProduct:PaidFindingsIngestion über der Freimenge, der Essentials-Plan als EUC1-MonitoredEC2, EUC1-MonitoredFunction und EUC1-MonitoredContainerImage je Stunde. KMS steht als eu-central-1-KMS-Keys je Schlüsselversion und eu-central-1-KMS-Requests mit Varianten für asymmetrische Anfragen und Schlüsselpaare, die Freimenge als Global-KMS-Requests; Secrets Manager als EUC1-AWSSecretsManager-Secrets und EUC1-AWSSecretsManagerAPIRequest.

Was die Reports nicht liefern, ist die Zuordnung je Ressource oder Team: Config und GuardDuty zählen je Konto und Region, KMS je Schlüssel, und die Verursacher stehen nur in den Diensten selbst, bei Config im Advanced Query nach Ressourcentyp, bei GuardDuty in den Nutzungsstatistiken je Datenquelle und Konto, bei CloudTrail Lake in den Metriken je Datenspeicher. Den Aufbau des Reports beschreibt der AWS Cost and Usage Report. Im FOCUS-Export trägt ServiceName den Dienstnamen und x_ServiceCode den Produktcode; alle Positionen sind ChargeCategory Usage (FOCUS-Spalten).

Stellhebel

Konfiguration: Bei Config ist der Aufzeichnungsumfang der erste Hebel, weil jedes Konfigurationselement und jede Auswertung zählt: Ressourcentypen, die sich oft ändern und keine Regel brauchen, werden ausgeschlossen, die tägliche Aufzeichnung ersetzt die kontinuierliche, wo Änderungen nicht einzeln gebraucht werden, und Regeln werden periodisch statt bei jeder Änderung ausgewertet, wo das reicht. Bei CloudTrail sind die Datenereignisse der Hebel: nur die Buckets und Funktionen, die ein Prüfzweck verlangt, mit Selektoren statt aller; und ein Organisations-Trail statt eines Trails je Konto, weil die erste Kopie je Konto frei ist und jede weitere kostet. Bei GuardDuty sind die Schutzpläne je Konto der Hebel, weil jeder Plan sein Volumen zahlt und Runtime Monitoring je vCPU läuft; bei KMS die Zahl der eigenen Schlüssel und das Caching von Datenschlüsseln, das Anfragen vermeidet; bei Secrets Manager das Caching der Secrets in der Anwendung.

Kaufoption: Für keinen der sechs Dienste gibt es eine; die Stufen bei Config, GuardDuty und Security Hub greifen mit dem Volumen von selbst.

Architektur: Die Logs der Sicherheitsdienste gehören nach S3, nicht nach CloudWatch Logs, weil CloudTrail und Config dort kostenlos liefern und CloudWatch je GB berechnet (CloudWatch-Preise, S3-Preise); Abfragen laufen über Athena auf dem Bucket statt über CloudTrail Lake, wo die Aufnahme je GB ein Vielfaches des S3-Speichers kostet. Ein Schlüssel je Anwendung statt je Ressource hält die KMS-Zeile klein, und Datenschlüssel-Caching im SDK hält die Anfragen klein. Was die Sicherheit kostet, ist meist nicht der Dienst, sondern das Volumen, das er liest; die Volumina stehen unter den Diensten, die sie erzeugen.

Wo es schiefgeht

• Config zahlt Auto Scaling. Jede Änderung einer Instanz oder eines Volumes ist ein Konfigurationselement und löst jede Regel darauf aus. ConfigurationItemRecorded und ConfigRuleEvaluations steigen mit der Skalierung; der Ausschluss flüchtiger Typen oder die tägliche Aufzeichnung beendet es.
• Der zweite Trail kostet. Ein Organisations-Trail und ein Trail je Konto liefern die Verwaltungsereignisse zweimal. PaidEventsRecorded ist der Hinweis; der Organisations-Trail allein reicht.
• Datenereignisse auf dem Log-Bucket. Datenereignisse auf einem Bucket, in den jede Sekunde geschrieben wird, zahlen je 100.000 Objektzugriffe. DataEventsRecorded je Trail zeigt es; Selektoren auf die Buckets, die ein Prüfzweck verlangt, beenden es.
• GuardDuty liest jeden Flow. VPC-Flow-Logs eines Kontos mit viel Ost-West-Verkehr zahlen je GB. PaidEventsAnalyzed-Bytes je Konto zeigt es; die Stufen senken den Satz, und ein Konto ohne Workload braucht den Plan nicht.
• Runtime Monitoring auf jeder vCPU. Der Agent zahlt je vCPU und Monat auf jedem Node, auch in Entwicklungsclustern. Die Pläne gelten je Konto; Entwicklungs- und Produktionskonten brauchen nicht dieselben.
• Die Anwendung liest das Secret bei jedem Aufruf. Abrufe je 10.000 übersteigen die Secrets je Monat. AWSSecretsManagerAPIRequest gegen die Zahl der Secrets zeigt es; ein Cache im SDK beendet es.
• Rotation vervielfacht den Schlüssel. Ein rotierter KMS-Schlüssel kostet je Version bis zur zweiten, also bis zum Dreifachen. KMS-Keys zählt Versionen, nicht Schlüssel.

Beispiel

Listenpreise in USD für Frankfurt (eu-central-1), gelesen am 2026-10-21 aus der AWS-Preisliste: CloudTrail kostet 2,00 USD je 100.000 Verwaltungsereignisse jeder weiteren Kopie, 0,10 USD je 100.000 Datenereignisse und 0,35 USD je 100.000 für Insights; CloudTrail Lake 2,50 USD je GB Aufnahme für die ersten 5 TB, 1,00 USD bis 25 TB und 0,50 USD darüber, 0,75 USD je GB mit einjähriger Aufbewahrung, 0,023 USD je GB-Monat verlängerte Aufbewahrung und 0,005 USD je gescanntem GB. Config kostet 0,003 USD je Konfigurationselement, 0,012 USD je täglich aufgezeichnetem Element, 0,001 USD je Regelauswertung für die ersten 100.000, 0,0008 USD für die nächsten 400.000 und 0,0005 USD darüber. GuardDuty kostet 4,60 USD je Million CloudTrail-Ereignisse, 1,15 USD je GB Flow- und DNS-Logs für die ersten 500 GB, 0,58 USD bis 2,5 TB, 0,29 USD bis 10 TB und 0,17 USD darüber, 1,04 USD je Million S3-Datenereignisse, 1,92 USD je vCPU-Monat Runtime Monitoring für die ersten 500 vCPU, 0,04 USD je GB Malware-Scan. Security Hub kostet 0,001 USD je Sicherheitsprüfung für die ersten 100.000 und 0,00003 USD je aufgenommenem Finding über 10.000. KMS kostet 1,00 USD je Schlüsselversion und Monat und 0,03 USD je 10.000 symmetrische Anfragen nach 20.000 frei; Secrets Manager 0,40 USD je Secret und Monat und 0,05 USD je 10.000 API-Aufrufe.

Ein Konto mit 2.000 aufgezeichneten Ressourcen, die sich im Mittel fünfmal im Monat ändern, und 20 Regeln je Ressource erzeugt 10.000 Konfigurationselemente für 30,00 USD und 200.000 Regelauswertungen für 100,00 plus 80,00 = 180,00 USD, zusammen 210,00 USD; mit täglicher Aufzeichnung 2.000 × 30 × 0,012 = 720,00 USD für die Elemente und ebenso viele Auswertungen, weshalb die tägliche Form nur Ressourcen mit vielen Änderungen je Tag spart. Derselbe Account mit einem Organisations-Trail und Datenereignissen auf einem Bucket mit 50 Millionen Zugriffen im Monat zahlt 50,00 USD für die Datenereignisse und nichts für die Verwaltungsereignisse; ein zweiter Trail je Konto mit 5 Millionen Verwaltungsereignissen zahlt 100,00 USD. GuardDuty auf 10 Millionen CloudTrail-Ereignissen, 500 GB Flow-Logs und 100 vCPU Runtime Monitoring kostet 46,00 plus 575,00 plus 192,00 = 813,00 USD. Zwanzig KMS-Schlüssel mit 10 Millionen Anfragen kosten 20,00 plus 29,94 = 49,94 USD, 100 Secrets mit einer Million Abrufen 40,00 plus 5,00 = 45,00 USD. Die Zahlen zeigen, dass Config und GuardDuty die Zeilen sind, die mit dem Konto wachsen, dass die Flow-Logs bei GuardDuty das Dreifache der Ereignisse kosten, und dass CloudTrail ohne Datenereignisse und zweite Kopien nichts kostet.

Quellen

Gelesen am 2026-10-21. Preise: AWS CloudTrail Pricing, AWS Config Pricing, Amazon GuardDuty Pricing, AWS Security Hub Pricing, AWS KMS Pricing, AWS Secrets Manager Pricing, AWS Price List für eu-central-1: AWSCloudTrail, AWSConfig, AmazonGuardDuty, AWSSecurityHub, awskms, AWSSecretsManager. Abrechnungsdaten: Spalten des Cost and Usage Report: lineItem, FOCUS 1.0 mit AWS-Spalten.