Kubernetes ist längst Standard für den Betrieb moderner Anwendungen. Die eigentliche Herausforderung beginnt aber bei der Frage: Wo und wie betreiben wir Kubernetes?
Hyperscaler wie AWS, Azure und Google Cloud versprechen Skalierbarkeit und günstige Einstiegspreise. Deutsche Anbieter hingegen punkten mit Compliance, Transparenz und klaren Verantwortlichkeiten.
Für einen unserer Kunden haben wir eine aktuelle Marktanalyse erstellt. Die Anforderung lautete, eine containerisierte Anwendung im Umfeld der deutschen Versicherungslandschaft in der Cloud zu hosten.
Dafür haben wir zunächst einmal eine grobe technische Lösungsarchitektur für die vorgesehene Applikationslandschaft geschaffen. Die Zusammenfassung zeigt, welche technischen Bausteine heute notwendig sind, um eine containerisierte Applikation im Versicherungsbereich sicher und hochverfügbar zu betreiben:
Einen ausführlichen Überblick über die einzelnen Komponenten gibt es am Ende des Blogbeitrags:
In unserer Analyse vergleichen wir die beiden Ansätze Hyperscaler vs. ausgesuchte deutsche Anbieter aus unserem Lösungsportfolio entlang der wichtigsten Kriterien: Compliance, Kosten und Betriebsaufwand.
Die Ergebnisse zeigen: Die technisch beste Lösung ist nicht automatisch die wirtschaftlich oder organisatorisch sinnvollste.
Ein zentrales Ergebnis der Analyse betrifft das Thema Compliance – insbesondere DSGVO und DORA.
Hyperscaler stellen umfangreiche Dokumentationen, Self-Service-Guides und Vertragsbausteine bereit. Die Verantwortung für die korrekte Umsetzung liegt jedoch vollständig beim Kunden. Vor-Ort-Audits sind für kleine und mittlere Unternehmen faktisch nicht möglich. Auch DORA-Anforderungen müssen eigenständig interpretiert, umgesetzt und dauerhaft nachgehalten werden.
Deutsche Anbieter verfolgen hier einen anderen Ansatz. Hosting erfolgt ausschließlich in Deutschland oder der EU, Vor-Ort-Audits sind vertraglich geregelt und Compliance-Unterstützung kann aktiv eingekauft werden. Besonders relevant für regulierte Unternehmen: Prüfungen nach Standards wie IDW PS 951 sind möglich und organisatorisch vorgesehen.
Kurz gesagt:
Hyperscaler bieten Werkzeuge. Deutsche Anbieter bieten Verantwortung.
Auf den ersten Blick wirken Hyperscaler deutlich günstiger. Reine Infrastrukturkosten für eine Kubernetes-Produktivumgebung liegen teilweise unter 1.000 Euro pro Monat. Doch dieser Vergleich greift zu kurz.
Die Analyse zeigt klar:
Bei Hyperscalern ist kein voll gemanagter Kubernetes-Betrieb enthalten. Updates, Security-Patches, Cluster-Betrieb und Störungsmanagement müssen selbst übernommen oder teuer eingekauft werden. Managed-Support-Modelle lohnen sich erst bei sehr großen Umgebungen und sind für viele Mittelständler wirtschaftlich nicht sinnvoll.
Deutsche Full-Service-Anbieter liegen preislich höher, bieten dafür aber:
Das Ergebnis:
Höhere laufende Kosten, aber deutlich geringerer interner Aufwand.
Ein besonders wichtiger Punkt wird in vielen Cloud-Entscheidungen unterschätzt: interne Fähigkeiten.
Der Betrieb einer Kubernetes-Plattform erfordert Know-how in:
Die entscheidende Frage lautet daher nicht: Was kann der Anbieter?
sondern:
Was können wir selbst leisten – dauerhaft und revisionssicher?
Fehlen diese Kapazitäten, werden Hyperscaler schnell zur organisatorischen Belastung.
Aus der Analyse lassen sich drei typische Betriebsmodelle ableiten:
Hyperscaler ohne externe Unterstützung
Geeignet für Unternehmen mit starkem internen Cloud- und Kubernetes-Know-how. Compliance und Betrieb liegen vollständig in eigener Verantwortung. Restrisiken, etwa fehlende Vor-Ort-Audits, müssen bewusst akzeptiert werden.
Hyperscaler mit externer Unterstützung
Technologisch attraktiv, aber komplex in der Steuerung. Neben dem Cloud-Anbieter kommt mindestens ein weiterer Dienstleister hinzu. Compliance, Betriebsauslagerung und Dienstleistersteuerung bleiben dennoch beim Unternehmen.
Deutscher Full-Service-Anbieter
Implementierung, Betrieb und Compliance-Unterstützung aus einer Hand. Klare Zuständigkeiten, planbare Kosten und geringste interne Aufwände. Besonders geeignet für regulierte Unternehmen oder Organisationen mit begrenzten Cloud-Ressourcen.
AWS, Azure und Google Cloud sind technologisch führend und für viele Szenarien die richtige Wahl. Gleichzeitig zeigt die Analyse deutlich: Kubernetes ist kein Selbstläufer. Wer Compliance, Betrieb und Sicherheit ernst nimmt, muss Zeit, Personal und Verantwortung einplanen.
Für viele Unternehmen – insbesondere im regulierten Umfeld – ist ein deutscher Full-Service-Anbieter daher keine Notlösung, sondern die wirtschaftlich und organisatorisch sauberste Entscheidung.
Am Ende gilt: Die richtige Kubernetes-Plattform passt nicht nur zur Anwendung, sondern auch zur Organisation dahinter.
Zentrales Element ist eine Kubernetes-Infrastruktur mit mindestens zwei klar separierten Clustern:
Beide Cluster werden als Managed Kubernetes betrieben, inklusive Cluster-Management und Support (24x7 in Produktion, 10x5 in Abnahme). Damit werden typische Enterprise-Anforderungen an Betrieb und Verfügbarkeit erfüllt.
Die Kubernetes-Cluster basieren auf dedizierten Worker-Nodes:
Diese Architektur erlaubt horizontale Skalierung und stabile Workload-Verteilung.
Für zustandsbehaftete Anwendungen sind mehrere Storage-Klassen vorgesehen:
Damit wird sowohl Performance als auch Datensicherheit gewährleistet.
Die Plattform setzt auf mehrere Sicherheitsebenen:
Zwei mögliche Schutzvarianten:
Damit wird der sichere Betrieb internetexponierter Versicherungsanwendungen unterstützt.
Für Authentifizierung und Autorisierung wird ein IAM-System auf Basis von Keycloak eingeplant:
Zur Persistenz kommen MySQL-Instanzen bzw. Active-Active-Cluster zum Einsatz.
Für den durchgängigen Software-Lifecycle sind Plattform-Services integriert:
Damit wird eine moderne Deployment-Pipeline nach GitOps-Prinzipien unterstützt.
Ein vollständiges Betriebsmonitoring ist Bestandteil der Architektur:
Damit wird eine Enterprise-Observability-Basis geschaffen, die auch Audit-Anforderungen unterstützt.
Die Umgebung beinhaltet ein mehrstufiges Backup-Konzept:
Diese Maßnahmen adressieren Business-Continuity-Anforderungen im Versicherungsumfeld.
Neben der technischen Infrastruktur werden auch organisatorische Anforderungen berücksichtigt:
Dies ist besonders relevant für kritische IT-Systeme in regulierten Branchen.
