Die Kosten von Cloud-Sicherheitsdiensten folgen sehr verschiedenen Einheiten: AWS IAM kostet nichts, Microsoft Entra ID P1 und P2 sind Lizenzen pro Nutzer, Kundenidentitäten kosten pro monatlich aktivem Nutzer, Schlüssel pro Schlüssel und Anfrage, und Erkennungsdienste wie Amazon GuardDuty oder Microsoft Defender for Cloud nach analysierten Ereignissen oder geschützten Ressourcen. Für die Rechnung heißt das: Sicherheit wächst mit dem Bestand, den sie schützt, und ein einmal aktivierter Dienst rechnet für jede neue Ressource automatisch mit.
So funktioniert es
Die Dienste fallen in vier Gruppen mit je eigener Preislogik, und jedes Freikontingent gilt für die Einheit, die der Anbieter festlegt: Konto, Abonnement, Projekt oder Abrechnungskonto.
Identitäten
AWS IAM ist ohne Aufpreis. Microsoft Entra ID Free ist in Microsoft-Cloud-Abonnements wie Azure enthalten; P1 und P2 kosten pro Nutzer und Monat bei jährlicher Zahlung und sind Teil einiger Microsoft-365-Pakete. Für Kundenidentitäten rechnen alle drei Anbieter pro monatlich aktivem Nutzer (MAU). Amazon Cognito hat die Stufen Lite, Essentials und Plus, mit 10.000 freien MAU für Lite und Essentials (für Pools bis 2024-11-22 weiter 50.000), nur 50 für Anmeldungen über SAML oder OpenID Connect und keinem Freikontingent für Plus und für Token-Anfragen zwischen Maschinen. Microsoft Entra External ID enthält in der Stufe Basic die ersten 50.000 MAU, Google Identity Platform ebenfalls 50.000 für E-Mail und soziale Anmeldung, aber nur 50 für SAML und OpenID Connect.
Schlüssel und Secrets
AWS KMS berechnet jeden selbst angelegten Schlüssel pro Monat, und die ersten beiden Rotationen erhöhen diesen Preis; AWS-verwaltete Schlüssel kosten nichts, Anfragen darauf schon. Anfragen kosten pro 10.000, mit 20.000 freien im Monat, und zahlen muss das Konto, das die Anfrage stellt. AWS Secrets Manager kostet pro Secret und Monat, jede Replik als eigenes Secret, plus API-Aufrufe. Azure Key Vault berechnet Operationen pro 10.000 Transaktionen und HSM-geschützte Schlüssel zusätzlich pro Schlüssel und Monat, wobei jede Version einzeln zählt, sofern sie in den letzten 30 Tagen genutzt wurde. Google Cloud KMS berechnet jede aktive Schlüsselversion, auch deaktivierte und zur Löschung vorgemerkte, plus Operationen.
Erkennung und Sicherheitslage
Amazon GuardDuty rechnet nach analysierter Menge: CloudTrail-Ereignisse pro Million, VPC Flow Logs und DNS-Logs pro GB, Schutzpläne wie S3 Protection zusätzlich. AWS Security Hub kostet im Essentials-Plan pro Ressourceneinheit und Monat; eine EC2-Instanz ist eine Einheit, Lambda-Funktionen, Container-Images und IAM-Rollen zählen als Bruchteile. Security Hub CSPM behält seine bisherigen Preise in Konten, in denen Security Hub nicht aktiviert ist. Bei Microsoft Defender for Cloud ist Foundational CSPM frei, Defender CSPM kostet pro abrechenbarer Ressource, die Schutzpläne pro Server, Datenbankinstanz, Speicherkonto oder Abonnement. Google Security Command Center ist in der Stufe Standard frei; Premium gibt es als Abonnement oder nutzungsbasiert pro vCPU-Stunde der geschützten Dienste, Enterprise nur als Abonnement.
Web Application Firewalls
AWS WAF kostet pro Web ACL, Regel und Million Anfragen. Azure Web Application Firewall kostet auf Application Gateway eine Gebühr pro Gateway-Stunde plus Kapazitätseinheiten und ist in Azure Front Door Premium enthalten. Google Cloud Armor Standard kostet pro Sicherheitsrichtlinie, Regel und Million Anfragen, Cloud Armor Enterprise ein Abonnement plus eine Datenverarbeitungsgebühr pro GiB.
| Diensttyp | AWS | Azure | Google Cloud |
|---|---|---|---|
| Kundenidentitäten | Cognito pro MAU, 10.000 frei | Entra External ID pro MAU, 50.000 frei | Identity Platform pro MAU, 50.000 frei |
| Schlüssel | KMS pro Schlüssel und Anfrage | Key Vault pro Transaktion, HSM-Schlüssel pro Monat | Cloud KMS pro Schlüsselversion und Operation |
| Bedrohungserkennung | GuardDuty pro Ereignis und GB | Defender-Pläne pro Ressource | Security Command Center Premium pro vCPU-Stunde |
| Sicherheitslage | Security Hub pro Ressourceneinheit | Foundational CSPM frei, Defender CSPM pro Ressource | Security Command Center Standard frei |
| Web Application Firewall | pro Web ACL, Regel, Anfrage | pro Gateway-Stunde und Kapazitätseinheit | pro Richtlinie, Regel, Anfrage |
Was es für Ihre Kosten bedeutet
Sicherheitsdienste skalieren mit dem Bestand der anderen; Defender for Cloud etwa nimmt nach dem Aktivieren alle Ressourcen automatisch in die Pläne auf. Wo die Kosten landen, hängt am Dienst. Security Hub rechnet in jedem Konto ab, in dem es aktiviert ist, KMS-Anfragen im anfragenden Konto, die nutzungsbasierte Premium-Stufe von Security Command Center auf Organisationsebene bei den Abrechnungskonten der Projekte und Cloud Armor Enterprise Annual beim Abrechnungskonto mit dem Abonnement (Abrechnungskonten und Hierarchien).
Weil ein Sicherheitsdienst alle Teams schützt, ist er meist geteilte Kosten. Für die Kostenzuordnung bieten sich die Einheiten an, nach denen der Anbieter selbst rechnet: geschützte Server, Ressourceneinheiten, analysierte GB (Geteilte Kosten und ihre Verteilung). Sicherheit erzeugt außerdem Logs: Microsoft Sentinel rechnet über den Log Analytics Workspace ab, WAF-Logs laufen bei AWS als Vended Logs, beides beschreibt Observability: Logs, Metriken und Traces.
Lizenzen pro Nutzer wie Entra ID P1 folgen der Zahl der lizenzierten Nutzer, nicht der Nutzung; wie Lizenzen sonst in Cloud-Preise eingehen, zeigt Lizenzen in der Cloud. Wer Schlüssel selbst verwahren will oder eine Europäische Sovereign-Cloud prüft, findet die Angebote unter Sovereign-Cloud-Angebote der Hyperscaler.
Wo es schiefgeht
- Defender-Pläne auf neuen Ressourcen. Symptom: Der Defender-Posten wächst mit jeder neuen VM und jedem Speicherkonto. Ursache: Ein aktivierter Plan nimmt neue Ressourcen automatisch auf, solange niemand sie ausnimmt.
- Schlüsselversionen statt Schlüssel. Symptom: Die Schlüsselkosten steigen bei gleicher Zahl von Schlüsseln. Ursache: Rotation erzeugt Versionen; Cloud KMS berechnet jede aktive Version, Key Vault zählt jede in den letzten 30 Tagen genutzte Version eines HSM-Schlüssels, AWS KMS erhöht den Preis bei den ersten beiden Rotationen.
- Wechsel auf Security Hub. Symptom: GuardDuty- und Inspector-Posten schrumpfen oder verschwinden, Security-Hub-Posten erscheinen, der Monatsvergleich bricht. Ursache: Nach dem Aktivieren laufen die enthaltenen Fähigkeiten über die gebündelte Abrechnung von Security Hub.
- GuardDuty folgt dem Verkehr. Symptom: Der GuardDuty-Posten steigt mit dem Netzwerkvolumen. Ursache: Flow Logs und DNS-Logs werden pro GB analysiert; nur für Instanzen mit aktivem Runtime-Monitoring-Agenten entfällt die Gebühr für die Flow Logs.
- Föderierte Kundenkonten. Symptom: Cognito kostet trotz kleiner Nutzerzahl. Ursache: Für SAML und OpenID Connect gelten nur 50 freie MAU, und Token-Anfragen zwischen Maschinen haben kein Freikontingent.
Beispiel
Listenpreise in USD, gelesen am 2026-10-16: AWS Secrets Manager in Europe (Frankfurt) 0,40 USD je Secret und Monat; AWS KMS laut Preisseite 1 USD je Schlüssel und Monat; Microsoft Defender for Cloud in Germany West Central 5,11 USD je abrechenbarer Ressource und Monat für Defender CSPM und 4,906 USD je Server und Monat für Defender for Servers Plan 1; Microsoft Entra ID P1 7,00 USD je Nutzer und Monat bei jährlicher Zahlung, laut US-Preisliste.
Quellen
Gelesen am 2026-10-16. AWS IAM FAQ, Amazon Cognito Preise, AWS KMS Preise, AWS Secrets Manager Preise, Amazon GuardDuty Preise, AWS Security Hub Preise, AWS WAF Preise, Microsoft Entra Preise, Microsoft Entra External ID Preise, Azure Key Vault Preise, Microsoft Defender for Cloud Preise, Azure Web Application Firewall Preise, Google Identity Platform Preise, Cloud KMS Preise, Security Command Center Preise, Google Cloud Armor Preise.