AKS für regulierte Branchen: KRITIS- und BaFin-konforme Plattform

Pexon Consulting | 10 Min. Lesezeit | 09.06.2026

TL;DR

AKS regulierte Branchen ist 2026 das härteste Stück Plattform-Engineering im deutschen Mittelstand: Azure Kubernetes Service ist als Plattform exzellent, aber die Standard-Konfiguration ist nicht KRITIS- oder BaFin-konform out-of-the-box. Pexon Consulting baut für Versicherer, Banken und Energieversorger AKS-Plattformen, die DORA, BSI-KRITIS-Konkretisierung und BaFin-Bankaufsichtsanforderungen erfüllen – mit klaren Compliance-Patterns für Netz-Segmentierung, Identity, Encryption und Audit-Trail.

Warum AKS Standard nicht reicht für regulierte Branchen

Wir sehen das aktuell wöchentlich: Ein CIO einer Versicherung oder Regionalbank hat das interne Engineering-Team auf AKS migrieren lassen, der erste Audit kommt sechs Monate später, und die Liste der Beanstandungen ist lang. Public Cluster mit Internet-exposed Control Plane. Default-Azure-AD ohne Conditional Access. Container-Images aus öffentlichem Docker Hub ohne Image Signing. Audit-Logs in einem Standard-Log-Analytics-Workspace ohne Retention-Konfiguration. All das macht funktionierende Cloud-Workloads zu Compliance-Schmerz.

Die Standard-AKS-Konfiguration ist auf „schnell produktiv bekommen“ optimiert, nicht auf „regulierter Branche-konform“. Für Banking unter BaFin-Bankaufsichtsanforderungen, Versicherer unter DORA und Energieversorger unter KRITIS-Konkretisierung müssen mehrere Architektur-Entscheidungen anders getroffen werden – und die müssen vor dem ersten Production-Workload sitzen, nicht hinterher reingepatcht werden.

Was wir bei Pexon liefern, ist ein KRITIS/BaFin-konformes AKS-Baseline-Setup: Eine Architektur-Vorlage mit klar definierten Compliance-Patterns, durchgespielt mit Datenschutz, Compliance und IT-Sicherheit, abgenommen vom externen Auditor. Auf dieser Baseline laufen produktive Workloads, ohne dass die Engineering-Teams sich um Compliance-Detail-Konfiguration kümmern müssen. Für Versicherer und Banken unter DORA beschreiben wir den Aufbau dieser Baseline im Detail als DORA-konforme AKS-Landing-Zone.

Die acht Compliance-Pattern für regulierten AKS

Pattern 1: Private Cluster. Control Plane ist nicht über das Internet erreichbar. Zugriff für Admins läuft über Azure Bastion oder eine dedizierte Jump-Host-VM mit MFA. Damit fällt das Internet-exposed-API-Risiko weg, das in Standard-AKS Default ist.

Pattern 2: Customer-Managed Keys (CMK) für Encryption at Rest. AKS-Disks, Secrets im Key Vault, Persistent Volumes – alles mit Schlüsseln verschlüsselt, die ihr selbst in Azure Key Vault verwaltet. Bei einem BaFin-Audit ist die Aussage „Microsoft managed unsere Encryption“ nicht ausreichend, „wir managen die Encryption selbst“ ist es.

Pattern 3: Identity über Entra ID mit Conditional Access und Privileged Identity Management. Kein Azure AD User darf direkt admin auf den Cluster. Admin-Zugriffe laufen über PIM mit Just-In-Time-Aktivierung, MFA-Pflicht, Audit-Trail. Standard-User haben gar keinen direkten Cluster-Access – sie sprechen mit Anwendungen, die mit Service-Accounts im Cluster laufen.

Pattern 4: Private Container Registry mit Image Signing. Eigene Azure Container Registry mit Geo-Replication. Images werden vor dem Push gescannt (Defender for Containers), signiert (Notary v2), und nur signierte Images können auf den Cluster deployed werden. Damit fällt das Lieferkette-Risiko aus öffentlichen Image-Repos weg.

Pattern 5: Netz-Segmentierung mit Azure CNI und Network Policies. Pro Microservice eigene Namespace mit dedizierten Network Policies. East-West-Traffic nur explizit erlaubt zwischen Services. Egress-Traffic über Azure Firewall mit Whitelisting der erlaubten externen Endpoints.

Pattern 6: Defender for Cloud mit ContainerScans. Defender for Containers scannt Images im Registry und Runtime-Anomalien im Cluster. Findings landen in Microsoft Sentinel oder eurem SIEM. Im KRITIS-Audit ist das die Standard-Antwort auf „wie merkt ihr Compromise“.

Pattern 7: Audit-Trail-Aggregation in dediziertem Log-Analytics. AKS Audit Logs, Activity Logs, Defender Findings, Container-Runtime-Logs werden in einen dedizierten Workspace aggregiert. Retention nach branchenspezifischen Vorgaben (BaFin typisch 10 Jahre, KRITIS typisch 90 Tage bis mehrere Jahre je nach Vorgang). Export nach Splunk oder Sentinel.

Pattern 8: Disaster Recovery mit Azure Site Recovery oder Velero. Für DORA-konforme Resilience: regelmäßige Backup der Cluster-Workloads, regelmäßige DR-Tests mit dokumentierter Recovery Time Objective. Bei einem unserer Banking-Kunden testen wir DR-Failover quartalsweise, mit Audit-fähigem Protokoll.

Pexon-Setup als 8-12-Wochen-Sprint

Wir liefern den vollständigen AKS-Baseline-Setup als Sprint mit festem Preis und festem Outcome.

Wochen 1-2: Architektur-Workshop mit IT-Sicherheit, Datenschutz, Compliance. Anforderungs-Mapping gegen DORA/KRITIS/BaFin. Bestätigung der Architektur durch internen oder externen Auditor.

Wochen 3-5: Aufbau der AKS-Baseline mit allen acht Compliance-Patterns als Terraform/Bicep-Code. Aufbau des ACR mit Image-Signing-Pipeline. Anbindung an Entra ID, PIM, Conditional Access.

Wochen 6-8: Anbindung an euer SIEM (Sentinel, Splunk oder vergleichbar). Defender for Containers produktiv. DR-Setup mit Velero plus erste DR-Test-Übung.

Wochen 9-12: Migration der ersten produktiven Workloads. Schulung von 4-8 Power-Usern in eurer Plattform-Engineering-Truppe. Übergabe inkl. Runbook, Audit-fähiger Architektur-Doku und Compliance-Mapping.

Investment 130-220k EUR je nach Branchen-Spezifik und bestehender Azure-Maturity. Im Vergleich zu den 9-18 Monaten internem Aufbau, den Mittelständler typisch brauchen, ist das ein Faktor 3-5 schneller.

Häufig gestellte Fragen

Funktioniert das auch mit Azure Red Hat OpenShift (ARO) statt AKS?

Ja. Die Compliance-Pattern sind ähnlich, ARO bringt zusätzlich Red Hat Enterprise Linux Foundation und Operator-Framework mit. Wir bauen beide produktiv – die Wahl hängt von eurer bestehenden OpenShift-Erfahrung und Lizenzlage ab.

Wie integriert sich das in unsere SAP-Landschaft?

AKS plus SAP integrieren wir über Standard-Patterns: AKS für Microservices und KI-Workloads, SAP separat in Azure Compute oder als RISE with SAP. Kommunikation über Azure Private Link und Service Endpoints. Bei einem Banking-Kunden läuft das produktiv mit SAP Banking Services auf RISE plus AKS für die Customer-Facing-Apps.

Was kostet der laufende Betrieb?

Bei einem typischen Setup mit drei AKS-Clustern (Production, Staging, Dev), Premium-Tier Defender, dediziertem Log-Analytics liegt der Azure-Bill bei 18.000-35.000 EUR pro Monat für regulierte Mittelstand-Setups. Plus Wartung und Updates: 6.000-15.000 EUR pro Monat. Gegenüber dem Aufwand eines vollständig selbst gemanagten K8s-Clusters auf eigener Hardware ist das in regulierten Branchen typisch günstiger.

Reicht das wirklich für den BaFin-Audit?

Wir haben drei Bankings-Kunden mit unserem AKS-Baseline-Setup produktiv und durch BaFin-Audit gebracht. Die ehrliche Antwort ist: Das technische Setup ist die Voraussetzung, aber nicht ausreichend. Der Audit prüft zusätzlich Prozesse, Verantwortlichkeiten, Schulungen, Incident-Response. Wir liefern die technische Baseline mit, die Prozess-Lage musst du selbst aufbauen – oder wir helfen mit unseren Compliance-Partnern.

Können wir später auf einen anderen Hyperscaler wechseln?

Mit Terraform/Bicep als Infrastructure-as-Code ist die Re-Implementierung auf AWS oder GCP machbar – typisch 4-8 Wochen für den Wechsel der Plattform-Komponenten. Die Compliance-Pattern bleiben strukturell gleich, die konkreten Service-Namen ändern sich. Bei AWS heißt der Bedrock-Pfad EKS plus AWS Verified Permissions, bei GCP GKE plus VPC Service Controls.

Nächster Schritt

Wenn dein Banking-, Versicherungs- oder Energie-Unternehmen produktive Workloads auf AKS bringen will und der erste Audit naht: Wir machen einen 60-Minuten-Call mit dir und idealerweise dem CISO oder Compliance-Officer. Du beschreibst Workload-Mix und Regulator-Lage, wir skizzieren die Baseline mit Festpreis-Sprint.

Verwandte Themen