AWS, Azure und GCP haben inzwischen die Anforderung abgeschafft, sie über Pentests von Ressourcen in ihrer Infrastruktur zu informieren. Jeder Anbieter hat eine Reihe von Regeln dafür aufgestellt, welche Dienste und welche Aktionen erlaubt sind, ohne dass sie darüber informiert werden müssen. Generell kann man sagen, dass es dem "Modell der geteilten Verantwortung" ähnlich ist. Das bedeutet, dass Pentests auf Ressourcen, die Sie selbst verwalten, erlaubt sind. Auf der anderen Seite erlaubt kein Provider das Testen von Distributed Denial of Service (DDoS) Angriffen oder das Angreifen anderer Kunden. SEC Consult kann Sie dabei unterstützen, die spezifischen Bedingungen zu verstehen, um festzustellen, ob es in Ihrem speziellen Fall notwendig ist, den Cloud-Anbieter zu informieren.