Kubernetes on-premise DSGVO-konform betreiben: souveräner Cluster

Pexon Consulting | 10 Min. Lesezeit | 19.06.2026

TL;DR

Kubernetes on-premise lohnt sich für DACH-Mittelständler nur in drei klaren Konstellationen — KRITIS-Tier-1, Defence-Industrie oder bewusste Souveränitäts-Strategie. Pexon Consulting baut souveräne Cluster auf Bare-Metal-Hardware (eigene oder geleaste GPU-Server) als 8-12-Wochen-Festpreis-Sprint zwischen 75 und 130k EUR plus Hardware. Erfahrung aus 5+ produktiven Setups bei KRITIS- und Defence-Kunden.

Wann On-Prem wirklich nötig ist

Wir hören die Frage wöchentlich bei CISO-Erstgesprächen: „Können wir Kubernetes nicht in der Cloud lassen und trotzdem DSGVO-konform sein?“

Die ehrliche Antwort: Bei Standard-DSGVO-Lagen ja. AKS in West Europe oder GKE in europe-west3 hat die nötigen Verträge plus Datenresidenz in der EU. Mehr im AKS vs EKS vs GKE-Vergleich. Bei drei Konstellationen reicht das nicht.

Konstellation 1: KRITIS-Tier-1 nach BSIG §8a. Bei Wasser-, Energie-, Telekommunikations-Versorgern in der höchsten Klassifikation kann Cloud-Verarbeitung im sensitiven Workload-Pfad ausgeschlossen sein. BSI-Audit-Anforderungen sind strikt.

Konstellation 2: Defence-Industrie und ITAR/EAR. Lieferanten der Bundeswehr, NATO-Partner-Industrien. Cloud mit US-Anteil oft vertraglich verboten. Mehr zum Defence-Plattform-Pattern mit Bare-Metal-Kubernetes.

Konstellation 3: Bewusste Souveränitäts-Strategie. Manche Banking-Verträge oder Pharma-Setups verlangen aus politischen Gründen physische Datenresidenz in eigener Infrastruktur.

Außerhalb dieser drei Konstellationen lohnt sich Cloud-Managed-K8s wirtschaftlich klar. Mehr im Managed vs Self-Hosted-Vergleich.

Die Architektur-Komponenten

Souveräner On-Prem-K8s-Cluster hat sechs Kern-Komponenten.

Bare-Metal-Hardware. Typisch 4-8 Server mit 32-64 Cores plus 256-512 GB RAM. Bei GPU-Workloads zusätzlich GPU-Server (A100, H100, oder kommende Generationen). Hardware-Investment 80-200k EUR.

Kubernetes-Distribution. Vanilla k8s oder OpenShift. Bei strikten Support-Anforderungen oft OpenShift. Mehr im Kubernetes vs OpenShift-Vergleich.

Multi-Master-etcd-Setup. 3 etcd-Replicas für High Availability. Regelmäßige Snapshot-Backups mit Off-Site-Storage.

Networking-Stack. Calico, Cilium oder Multus für CNI. Bei strikten Sicherheits-Anforderungen mit Network-Policies plus Service Mesh.

Storage-Layer. Rook-Ceph für persistente Volumes, oder direkte NFS-Anbindung an externes Storage-System. Für repliziertes Block-Storage im Cluster siehe Longhorn Kubernetes statt local-path.

Compliance-Layer. Audit-Trail-Pipeline, Pod Security Standards, Image-Signing, vulnerability Scanning. Mehr zum Security-Hardening-Pattern für CIS und NIS2.

Hosting-Optionen für die Hardware

Drei Pfade je nach Strategie.

Pfad 1: Eigenes Rechenzentrum. Bei großen Unternehmen mit bestehender RZ-Infrastruktur logischer Schritt. Pexon liefert Operations-Begleitung, kein Hosting.

Pfad 2: Co-Location. Hardware bei TÜV-zertifiziertem Co-Location-Anbieter (Interxion, Equinix, Telehouse). Volle Kontrolle über Hardware, fremde Infrastruktur drumherum.

Pfad 3: Pexon Augsburg. Eigenes LZA-zertifiziertes Rechenzentrum in Augsburg mit deutscher Eigentums-Struktur. Bei Defence- und KRITIS-Tier-1-Setups mit besonders strengen Souveränitäts-Anforderungen. Hosting-Kosten ab 1.800 EUR/Monat pro Server-Slot.

Was im Compliance-Layer landen muss

Vier Schichten, die bei BSI-Audit oder BaFin-Prüfung greifen.

Schicht 1: Identity und Access. SSO über Keycloak (typisch bei On-Prem) oder Entra ID via VPN-Anbindung. MFA Pflicht. RBAC granular pro Namespace.

Schicht 2: Network-Policies. Default-Deny Network-Policies. Jeder Pod hat explizite Allow-Regeln. Service-Mesh für mTLS zwischen Services. Mehr im Istio vs Linkerd vs Cilium-Vergleich.

Schicht 3: Pod Security Standards. Restricted-Profile als Default. Image-Signing via cosign. Vulnerability-Scanning bei jedem Image-Build.

Schicht 4: Audit-Trail-Pipeline. Kubernetes-Audit-Logs in dediziertes SIEM. Aufbewahrung 12-24 Monate. Anomalie-Detection für ungewöhnliche API-Calls.

Pexon-Sprint und Investment

8-12-Wochen-Festpreis-Sprint: 75-130k EUR. Hardware-Inventur oder -Beschaffung, K8s-Setup, Compliance-Layer, BSI-Audit-Doku, Übergabe.

Hardware: zusätzlich 80-200k EUR Initial-Investment.

Operations-Optionen: Pexon-Managed-Service ab 8-14k EUR/Monat (24/7-Operations) oder Übergabe an euer Team.

Häufig gestellte Fragen

Was kostet Hardware initial?

Für einen mittelgroßen Cluster mit 6 Worker-Nodes plus 3 Master plus Storage typisch 120-180k EUR Hardware. GPU-Server kommen separat dazu.

Können wir später in die Cloud migrieren?

Workloads sind portierbar, Setup-Patterns weniger. Migration typisch 6-10 Wochen Engineering. Wir empfehlen die Entscheidung im Discovery-Sprint sauber zu treffen.

Wie verhält sich das mit AKS Hybrid auf Azure Stack HCI?

AKS Hybrid ist Microsofts On-Prem-Antwort. Pragmatischer als reines K8s-Bare-Metal bei Microsoft-Stack-Affinität, aber weniger souverän als komplettes Self-Hosting.

Was bei Multi-Standort-Setups?

Pro Standort eigener Cluster (typisch k3s-basiert bei kleinen Standorten), zentrales Management über Rancher oder Argo CD-Hub. Mehr im k3s vs k8s vs Rancher-Vergleich.

Können wir AI-Workloads on-prem laufen lassen?

Ja. Pexon hat Setups bei Defence-Kunden mit Llama 3.3 70B auf eigenen GPU-Servern. Mehr zum Compute-Stack zwischen Cloud und On-Prem.

Nächster Schritt

Wenn euer Setup KRITIS-Tier-1, Defence oder strategisch-souverän ist: 60-Minuten-Call mit CISO. Wir skizzieren Sprint.

Verwandte Themen