Manueller Audit-Prozess:
  Aufwand:    2-4 Wochen (5 Personen)
  Frequenz:   1-2x pro Jahr
  Ergebnis:   Momentaufnahme (veraltet nach Tag 1)
  Kosten:     30.000-60.000 EUR pro Audit (Personalkosten)

Automatisierter Audit-Prozess:
  Aufwand:    2-3 Tage (1-2 Personen, Review und Freigabe)
  Frequenz:   Kontinuierlich (Dashboard, Reports on Demand)
  Ergebnis:   Echtzeit-Compliance-Status
  Kosten:     5.000-10.000 EUR Setup + 500-1.000 EUR/Monat Betrieb

# kyverno-compliance-policies.yaml
apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: bsi-require-non-root
  annotations:
    policies.kyverno.io/title: Container muessen als Non-Root laufen
    policies.kyverno.io/category: BSI IT-Grundschutz
    policies.kyverno.io/severity: high
    policies.kyverno.io/description: >-
      BSI APP.4.4.A7: Container duerfen nicht mit Root-Rechten laufen.
      Diese Policy stellt sicher, dass runAsNonRoot gesetzt ist.
    compliance.framework: BSI-IT-Grundschutz
    compliance.control: APP.4.4.A7
spec:
  validationFailureAction: Enforce
  background: true
  rules:
    - name: run-as-non-root
      match:
        any:
          - resources:
              kinds:
                - Pod
      validate:
        message: >-
          Container muessen als Non-Root laufen (BSI APP.4.4.A7).
          Setzen Sie securityContext.runAsNonRoot: true.
        pattern:
          spec:
            containers:
              - securityContext:
                  runAsNonRoot: true

---
apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: dsgvo-require-encryption-labels
  annotations:
    policies.kyverno.io/title: Datenklassifizierung per Label erforderlich
    policies.kyverno.io/category: DSGVO
    policies.kyverno.io/severity: medium
    policies.kyverno.io/description: >-
      DSGVO Art. 30: Verarbeitungstaetigkeiten muessen dokumentiert werden.
      Jeder Pod, der personenbezogene Daten verarbeitet, muss entsprechend
      gelabelt sein.
    compliance.framework: DSGVO
    compliance.control: Art.30
spec:
  validationFailureAction: Audit
  background: true
  rules:
    - name: require-data-classification
      match:
        any:
          - resources:
              kinds:
                - Pod
              namespaces:
                - production
                - staging
      validate:
        message: >-
          Pods in Production/Staging muessen ein data-classification Label haben
          (public, internal, confidential, restricted). DSGVO Art. 30.
        pattern:
          metadata:
            labels:
              data-classification: "?*"

# Alle PolicyReports auflisten
kubectl get policyreport -A

# Detaillierten Report fuer einen Namespace exportieren
kubectl get policyreport -n production -o yaml

# Zusammenfassung: Wie viele Pass/Fail/Warn pro Namespace
kubectl get policyreport -A -o custom-columns=\
  NAMESPACE:.metadata.namespace,\
  PASS:.summary.pass,\
  FAIL:.summary.fail,\
  WARN:.summary.warn,\
  ERROR:.summary.error

# Kubescape installieren
curl -s https://raw.githubusercontent.com/kubescape/kubescape/master/install.sh | bash

# Scan gegen BSI IT-Grundschutz
kubescape scan framework nsa \
  --format json \
  --output bsi-compliance-report.json

# Scan gegen alle Frameworks mit HTML-Report
kubescape scan \
  --format html \
  --output compliance-full-report.html

# Nur einen bestimmten Namespace scannen
kubescape scan \
  --include-namespaces production \
  --format json \
  --output production-compliance.json

# Ergebnis als CI/CD-Gate verwenden (Exit-Code 1 bei kritischen Findings)
kubescape scan \
  --severity-threshold critical \
  --compliance-threshold 80

# gitlab-ci-compliance.yaml (auch adaptierbar fuer GitHub Actions)
compliance-scan:
  stage: security
  image: quay.io/kubescape/kubescape:latest
  script:
    # Cluster-Scan mit Compliance-Threshold
    - kubescape scan
        --format json
        --output compliance-report.json
        --compliance-threshold 75
        --severity-threshold high

    # Report als Artefakt speichern
    - kubescape scan
        --format html
        --output compliance-report.html

    # kube-bench CIS Benchmark
    - kubectl apply -f https://raw.githubusercontent.com/aquasecurity/kube-bench/main/job.yaml
    - sleep 30
    - kubectl logs job/kube-bench > cis-benchmark-report.txt

  artifacts:
    paths:
      - compliance-report.json
      - compliance-report.html
      - cis-benchmark-report.txt
    expire_in: 90 days
  rules:
    - if: '$CI_PIPELINE_SOURCE == "schedule"'
    - if: '$CI_COMMIT_BRANCH == "main"'

Policy Reports (Kyverno)  ----+
                               |
kube-bench Results  ----------+--*/} Prometheus/Victoria Metrics
                               |         |
Kubescape Scans  -------------+         |
                               |    Grafana Dashboard
Falco Alerts  ----------------+         |
                               |    "Compliance Score: 94%"
Trivy Scan Results  ----------+    "3 Critical Findings"
                                   "BSI: 97% | DSGVO: 92%"

# prometheus-compliance-rules.yaml
apiVersion: monitoring.coreos.com/v1
kind: PrometheusRule
metadata:
  name: compliance-scoring
  namespace: monitoring
spec:
  groups:
    - name: compliance-metrics
      interval: 5m
      rules:
        # Gesamt-Compliance-Score (Prozent der bestandenen Policies)
        - record: compliance:policy_pass_rate:ratio
          expr: |
            sum(kyverno_policy_results_total{rule_result="pass"})
            /
            sum(kyverno_policy_results_total)

        # Compliance-Score pro Framework
        - record: compliance:framework_score:ratio
          expr: |
            sum by (policy_category) (
              kyverno_policy_results_total{rule_result="pass"}
            )
            /
            sum by (policy_category) (
              kyverno_policy_results_total
            )

        # Alert bei Compliance-Score unter 80%
        - alert: ComplianceScoreLow
          expr: compliance:policy_pass_rate:ratio < 0.80
          for: 15m
          labels:
            severity: warning
            compliance: "true"
          annotations:
            summary: "Compliance-Score unter 80%"
            description: >-
              Der Gesamt-Compliance-Score liegt bei
              {{ $value | humanizePercentage }}. Pruefen Sie die
              PolicyReports fuer Details.

        # Alert bei kritischen Violations
        - alert: CriticalComplianceViolation
          expr: |
            increase(kyverno_policy_results_total{
              rule_result="fail",
              policy_validation_mode="enforce"
            }[1h]) > 10
          for: 5m
          labels:
            severity: critical
            compliance: "true"
          annotations:
            summary: "Mehr als 10 kritische Policy-Violations in der letzten Stunde"