AKS & Sovereign Kubernetes: DSGVO-konform 2026

Pexon Consulting | 11 Min. Lesezeit | 14.07.2026

TL;DR

Sovereign Kubernetes heißt: einen Kubernetes-Cluster so betreiben, dass Daten, Betrieb und Schlüssel unter EU-Recht und deutscher Kontrolle bleiben. Azure Kubernetes Service (AKS) erfüllt das in der Region Germany West Central mit EU Data Boundary, Confidential Computing und eigener Schlüsselhoheit. Pexon Consulting baut das DSGVO-konform für Banken und KRITIS-Betreiber, auditfest nach BSI C5:2026.

Was ist Azure Kubernetes Service und für wen lohnt sich das?

Die kurze Antwort: AKS ist der gemanagte Kubernetes von Microsoft, bei dem Azure die Steuerungsebene (Control Plane) betreibt und Sie nur Ihre Worker-Knoten und Anwendungen verantworten. Sie sparen sich den Betrieb des Master-Nodes, etcd-Backups und die Kubernetes-Upgrades der Control Plane. AKS unterstützt aktuell Kubernetes 1.33 (Stand 2026) und die Control Plane ist im Standard-Tier kostenlos, Sie zahlen die VMs der Knoten.

Für wen sich das lohnt: für Teams, die Container in Produktion fahren wollen, ohne ein eigenes Plattform-Team für den Cluster-Unterbau abzustellen. Wenn Sie heute drei Leute damit binden, einen selbstgebauten Kubernetes am Leben zu halten, ist AKS fast immer die günstigere Rechnung.

Wir raten allerdings davon ab, AKS als Selbstläufer zu sehen. Microsoft betreibt die Control Plane, aber die Härtung der Knoten, Netzwerk-Policies, RBAC und die Compliance-Nachweise bleiben Ihre Aufgabe. Wie tief das geht, zeigt unsere 32-Punkte-Checkliste zur Kubernetes-Härtung. Managed heißt nicht sorglos.

Souveränität beginnt bei der Anbieterwahl: Sitz des Anbieters, Rechtsraum, deutsche Regionen und Nachweise wie BSI C5 entscheiden, ob ein Setup die Anforderungen von Banken und KRITIS trägt. Wie die Anbieter hier im Einzelnen dastehen, zeigt unser Vergleich Managed Kubernetes in Deutschland: Anbieter nach DSGVO und CLOUD Act auf kubernetes-anbieter.de.

Was heißt Sovereign Kubernetes und warum ist das gerade Thema?

Sovereign Kubernetes bedeutet, dass nicht nur die Daten in Deutschland liegen, sondern auch Betrieb, Zugriff und Schlüsselhoheit unter EU-Recht kontrollierbar sind. Datenresidenz allein reicht nicht mehr. Microsoft selbst hat seine Sovereign-Cloud-Strategie 2026 auf vier Risikodomänen umgestellt: Daten-, Betriebs-, Technologie- und Infrastruktur-Souveränität.

Warum das gerade jetzt hochkocht, hat einen konkreten regulatorischen Grund. Das NIS2-Umsetzungsgesetz ist in Deutschland seit dem 6. Dezember 2025 in Kraft, das KRITIS-Dachgesetz hat der Bundestag am 29. Januar 2026 beschlossen. Damit fallen jetzt über 30.000 Unternehmen unter erweiterte Sicherheitspflichten, vorher waren es rund 4.500 KRITIS-Betreiber. Wer betroffen ist, muss für jeden produktiv genutzten Cloud-Dienst nachweisen, wo die Daten liegen und wer darauf zugreifen kann.

Unsere klare Position: Der Begriff wird von Anbietern verwässert. Ein Rechenzentrum in Frankfurt macht noch keine Souveränität, wenn der Support aus Redmond auf die Daten schauen kann. Souverän ist ein Cluster erst, wenn Sie die Schlüssel halten und den operativen Zugriff technisch begrenzen, nicht nur vertraglich.

Genau hier setzt die EU Data Boundary an: Sie hält Kundendaten, inzwischen auch KI-, Copilot- und Telemetriedaten, im EU-Raum. Kombiniert mit eigenen Schlüsseln im Hardware Security Module (HSM) und Confidential Computing wird aus einem normalen AKS ein souveräner Cluster. Was das für den gesamten Anwendungs-Stack bedeutet, bündeln wir unter Deutschland-gehostetem AI-App-Stack.

Wie wir AKS DSGVO-konform für Banken und KRITIS betreiben

Die kurze Antwort: mit einer festen Region, eigenen Schlüsseln, Confidential Computing und einem lückenlosen Auditnachweis. Kein Baustein davon ist exotisch, aber die Kombination entscheidet über die Prüfung. So sieht der Kern aus:

1. Region festnageln: Der Cluster läuft in Germany West Central (Frankfurt). Kein versehentliches Ausweichen in eine andere Region, per Azure Policy erzwungen.
2. Eigene Schlüssel (BYOK): Etcd-Verschlüsselung und Datenträger nutzen Schlüssel aus Ihrem Azure Key Vault Managed HSM, nicht die Microsoft-Default-Schlüssel.
3. Confidential Computing: Sensible Workloads laufen auf Confidential-Computing-Knoten in AKS, bei denen der Arbeitsspeicher hardwareseitig verschlüsselt ist. Kein Operator, kein Hypervisor sieht den Klartext.
4. Auditnachweis: BSI C5:2026 Type 2 als Provider-Attestierung plus Ihre eigene Tenant-Konfiguration als Nachweis, dazu die 24-Stunden-Meldekette nach NIS2.

# AKS in Germany West Central, Region per Policy erzwungen (Terraform)
resource "azurerm_kubernetes_cluster" "sovereign" {
  name                = "aks-sovereign-prod"
  location            = "germanywestcentral"   # KRITIS: feste Region, kein Ausweichen
  resource_group_name = azurerm_resource_group.kritis.name
  dns_prefix          = "aks-sov"
  kubernetes_version  = "1.33"

  default_node_pool {
    name       = "system"
    node_count = 3
    vm_size    = "Standard_DC4as_v5"   # Confidential Computing (AMD SEV-SNP)
  }

  # Etcd mit eigenem Schlüssel aus Managed HSM verschlüsseln (BYOK)
  key_management_service {
    key_vault_key_id = azurerm_key_vault_key.etcd.id
  }

  azure_active_directory_role_based_access_control {
    azure_rbac_enabled = true   # zentrale Entra-ID-Kontrolle statt lokaler K8s-Accounts
  }
}

Die Region-Sperre gehört in Code, nicht in eine Betriebsanweisung. Eine Azure Policy, die alles außer Germany West Central ablehnt, verhindert den teuersten Fehler zuverlässiger als jede Schulung:

{
  "if": { "not": { "field": "location", "in": ["germanywestcentral"] } },
  "then": { "effect": "deny" }
}

Für den laufenden Betrieb kommt GitOps dazu, damit jede Änderung nachvollziehbar und wiederholbar ist. Wie wir das mit ArgoCD auf AKS umsetzen, steht im Beitrag zu GitOps auf Azure Kubernetes. Für regulierte Betreiber ist die lückenlose Änderungshistorie oft der Punkt, der die Prüfung schneller macht als jede Dokumentation im Nachhinein.

Was das kostet und wie lange es dauert

Ehrlich: Der Cluster ist der günstige Teil, die Compliance-Kette ist der Aufwand. Ein produktionsreifes AKS-Grundgerüst mit drei Knoten und Standard-Tier-Control-Plane bewegt sich bei den reinen Azure-Kosten im niedrigen vierstelligen Bereich pro Monat, abhängig von den VM-Größen. Confidential-Computing-Knoten kosten einen Aufschlag, weil die Hardware spezieller ist.

Der eigentliche Posten ist die Nachweiskette: Region-Policies, HSM-Schlüsselverwaltung, RBAC über Entra ID, Netzwerk-Isolierung und die Dokumentation für den C5-Auditor. Wir setzen das als 6-Wochen-Pilot auf einer abgegrenzten Anwendung auf. In den ersten zwei Wochen steht der gehärtete Cluster mit Region-Sperre und BYOK, danach GitOps und Policies, am Ende die Auditdokumentation. Wir raten davon ab, direkt den gesamten Anwendungsbestand zu migrieren. Ein Referenz-Cluster, der die Prüfung besteht, ist mehr wert als zehn halbfertige.

Häufig gestellte Fragen

Was kostet der DSGVO-konforme Betrieb von AKS?

Die reinen Azure-Kosten für ein Produktions-Grundgerüst liegen im niedrigen vierstelligen Bereich pro Monat, Confidential-Computing-Knoten kosten einen Aufschlag. Der größere Posten ist die einmalige Compliance-Kette (Policies, HSM, Auditnachweis), die wir als 6-Wochen-Pilot aufsetzen.

Reicht ein Rechenzentrum in Deutschland für Datensouveränität?

Nein. Datenresidenz ist nur eine von vier Risikodomänen. Souverän wird ein Cluster erst, wenn Sie die Schlüssel selbst halten, den operativen Zugriff technisch begrenzen und das per EU Data Boundary und Confidential Computing absichern. Der Standort allein genügt weder DSGVO noch KRITIS-Prüfern.

Ist AKS KRITIS-tauglich nach dem neuen Dachgesetz?

Ja, mit dem richtigen Setup. Sie brauchen die Provider-Attestierung (BSI C5:2026 Type 2), Ihre eigene Tenant-Konfiguration als Nachweis, eine feste Region und die 24-Stunden-Meldekette nach NIS2. AKS liefert die technischen Bausteine, die Nachweiskette bauen Sie darauf.

Sovereign Kubernetes auf Azure oder lieber On-Premise?

Kommt auf die Anforderung an. Für die meisten Banken und Energieversorger reicht Sovereign Public Cloud in Germany West Central mit eigenen Schlüsseln. Nur bei absoluter Air-Gap-Pflicht lohnt On-Premise oder eine Private-Cloud, mit deutlich höherem Betriebsaufwand.

Was ist der Unterschied zwischen AKS und selbst betriebenem Kubernetes?

Bei AKS betreibt Microsoft die Control Plane, Sie verantworten Knoten, Anwendungen und Compliance. Selbst betriebener Kubernetes gibt Ihnen mehr Kontrolle, kostet aber ein eigenes Plattform-Team für Upgrades, etcd-Backups und Ausfallsicherheit. Für regulierte Workloads ist der gemanagte Weg meist der schnellere zur Auditfähigkeit.

Nächster Schritt

Wenn Sie einen Cluster KRITIS- oder BaFin-fest aufsetzen müssen, schauen wir uns Ihre Anforderungen an und skizzieren das souveräne AKS-Setup mit Nachweiskette an einer konkreten Anwendung.

Verwandte Themen