Kubernetes · Netzwerk und Sicherheit
Cilium und eBPF im Kubernetes-Cluster ohne Betriebsunterbrechung einführen
Kurz gesagt
Cilium kann in Ihrem Kubernetes-Cluster kube-proxy und die iptables-Regelketten durch eBPF-Programme im Linux-Kernel ersetzen. Auf AKS ist dieser Datenpfad voreingestellt, im selbstverwalteten Cluster wird die Ersetzung ausdrücklich aktiviert. Für Plattform-Teams heißt das: Regeln bis auf die Anwendungsebene und nachvollziehbare Verbindungsdaten. Cilium ist laut CNCF seit dem 11. Oktober 2023 als Graduated-Projekt eingestuft.
Microsoft Partner
ISO 27001 zertifiziert
AKS, GKE und On-Premise
Warum kube-proxy und iptables als Datenpfad teuer wird
Im iptables-Modus legt kube-proxy laut Kubernetes-Dokumentation für jeden Service und jede Endpoint-IP eigene Regeln an. Bei zehntausenden Pods und Services entstehen so zehntausende Regeln, und das Aktualisieren im Kernel dauert entsprechend lange. Microsoft nennt als Vorteil des Cilium-Datenpfads ausdrücklich die Unterstützung größerer Cluster mit mehr Knoten, Pods und Services.
Netzwerk-Regeln ohne jede Wirkung
Kubernetes selbst setzt NetworkPolicy-Objekte nicht durch. Die Kubernetes-Dokumentation formuliert das eindeutig: Wer eine NetworkPolicy anlegt, ohne dass ein Controller sie umsetzt, erzeugt ein Objekt ohne Wirkung. Teams halten ihre Segmentierung dann für aktiv, während der Verkehr ungefiltert fließt.
Regeln enden bei IP-Adresse und Port
Standard-NetworkPolicies arbeiten laut Kubernetes-Dokumentation auf den Schichten 3 und 4, also auf IP-Adresse und Port. Eine Regel wie „nur lesende Zugriffe auf diesen HTTP-Pfad“ lässt sich damit nicht formulieren. Für ein Audit reicht die Aussage „Port 443 ist offen“ selten aus.
Im Fehlerfall fehlen die Verbindungsdaten
Bricht eine Verbindung zwischen zwei Pods ab, zeigt der Standard-Datenpfad nicht, welche Regel sie verworfen hat. Die Suche läuft über Paketmitschnitte auf einzelnen Knoten. Das kostet bei verteilten Diensten Stunden, in denen der Fehler weiterläuft.
Ihre Vorteile in Zahlen
Vier Punkte, die Microsoft und Google für ihre eigenen Cilium-Datenpfade dokumentieren.
kein kube-proxy mehr im Cluster
AKS-Cluster mit Cilium als Datenpfad betreiben kein kube-proxy. Microsoft beschreibt, dass beim Umstieg auch Arbeitslasten auf bestehenden Knoten ohne kube-proxy weiterlaufen. (Microsoft Learn, Azure CNI Powered by Cilium, Stand August 2026)
L3 bis L7 statt nur L3 und L4
Cilium-Regeln greifen zusätzlich auf HTTP, gRPC und Kafka. Auf AKS setzt das die Advanced Container Networking Services voraus, im selbstverwalteten Cluster gehört es zum Projektumfang. (Microsoft Learn, Feature-Übersicht ACNS, Stand August 2026)
260.000 Einträge als harte Grenze
Google gibt für Dataplane V2 an, dass die Summe aller Pod-Backends über alle Services in eine Service-Map mit bis zu 260.000 Einträgen passen muss. Diese Grenze gehört in die Kapazitätsplanung. (Google Cloud, GKE Dataplane V2, Stand August 2026)
2 von 3 Hyperscalern mit Cilium im Auto-Tier
Auf AKS Automatic ist Azure CNI Overlay powered by Cilium das voreingestellte virtuelle Netzwerk, auf GKE ist Dataplane V2 für neue Autopilot-Cluster voreingestellt. In den Standard-Varianten beider Dienste müssen Sie es aktiv wählen. (Microsoft Learn und Google Cloud, Stand August 2026)
Ab wann sich Cilium lohnt
Cilium lohnt sich, sobald ein Cluster mehr als 20 Knoten trägt, mehr als 200 Services ausrollt oder eine Segmentierung auf Anwendungsebene nachweisen muss. Darunter bleibt der Standard-Datenpfad die einfachere Wahl.
20+
Knoten im Cluster
200+
Services im Cluster
L7
nachweispflichtige Segmentierung
Anwendungsbeispiele
Use Case 01
Segmentierung für ein Audit belegen
Das Plattform-Team weist gegenüber der Revision nach, welcher Dienst mit welchem Dienst sprechen darf, und protokolliert jede verworfene Verbindung.
Verworfene Verbindungen erscheinen mit Quelle, Ziel und greifender Regel im Flow-Log.
Use Case 02
kube-proxy aus dem Datenpfad nehmen
Ein Betreiber mit wachsender Service-Zahl stellt den Datenpfad auf eBPF um, statt weiter iptables-Regelsätze zu pflegen, die mit jedem Service und jeder Endpoint-IP wachsen.
Der Service-Lookup läuft über eBPF-Maps statt über wachsende iptables-Regelsätze.
Use Case 03
Ausgehenden Verkehr auf Domains begrenzen
Statt IP-Bereiche zu pflegen, die sich bei Cloud-Diensten laufend ändern, begrenzt das Team ausgehenden Verkehr auf freigegebene Domainnamen.
Auf AKS über die Advanced Container Networking Services, selbstverwaltet als Teil der Cilium-Konfiguration.
Use Case 04
Reale Kommunikation sichtbar machen
Hubble zeichnet auf, welche Dienste tatsächlich miteinander sprechen. Das Team sieht die echte Kommunikationsmatrix, bevor es Regeln verschärft.
Policies entstehen aus beobachtetem Verkehr statt aus Annahmen über die Architektur.
Integration in Ihre Umgebung
Cilium ersetzt die Netzwerk-Schicht Ihres Clusters. Deshalb entscheidet Ihre Plattform darüber, ob die Umstellung im laufenden Betrieb möglich ist oder einen neuen Cluster braucht.
Managed Kubernetes
AKS · Azure CNI Powered by Cilium ist auf AKS Standard wählbar und auf AKS Automatic voreingestellt. Bestehende Overlay-Cluster lassen sich laut Microsoft umstellen, Arbeitslasten auf vorhandenen Knoten wandern dabei mit. Microsoft nennt dafür zwei Bedingungen: reine Linux-Cluster und Node Auto-Provisioning muss während der Umstellung abgeschaltet sein.
GKE · Dataplane V2 basiert laut Google auf Cilium und eBPF und ist für neue Autopilot-Cluster voreingestellt. Wichtig: Google gibt an, dass sich Dataplane V2 nur bei der Cluster-Erstellung aktivieren lässt. Bestehende Cluster lassen sich nicht umstellen.
EKS und selbstverwaltet · Cilium lässt sich als CNI selbst betreiben. Dann liegen Betrieb und Aktualisierung bei Ihrem Team, dafür stehen alle Funktionen ohne Zusatzprodukt offen.
Betrieb und Grenzen
Nur Linux · Azure CNI Powered by Cilium ist laut Microsoft nur für Linux verfügbar, nicht für Windows. Windows-Knoten im Cluster brauchen einen eigenen Weg.
Host-Netzwerk · Pods mit aktivem Host-Netzwerk erhalten laut Microsoft keine Policies, weil sie die Identität des Knotens nutzen statt einer eigenen. Diese Pods sichern wir gesondert ab.
Identitäten · Cilium vergibt Identitäten je Label-Kombination, das Limit liegt laut Microsoft bei 65535. Stark wechselnde Arbeitslasten wie Spark-Jobs brauchen Ausschlussregeln für Labels.
Wie Cilium funktioniert
1
Bestandsaufnahme des Datenpfads
Wir erfassen CNI, Policy-Engine, Knoten- und Service-Zahl sowie Windows-Knoten und Pods im Host-Netzwerk. Daraus ergibt sich, ob eine Umstellung im Bestand möglich ist.
2
Messen, bevor Regeln entstehen
Cilium läuft zunächst ohne durchsetzende Policies. Hubble zeichnet auf, welche Dienste real miteinander sprechen.
3
Regeln aus den Messdaten ableiten
Aus der beobachteten Matrix entstehen Policies, zuerst rein protokollierend, dann durchsetzend. So bricht kein Dienst, der bisher unbemerkt kommuniziert hat.
4
Datenpfad knotenweise umstellen
Der Datenpfad wird Knoten für Knoten auf eBPF umgestellt. Auf AKS entfällt dabei kube-proxy, bestehende Arbeitslasten wandern laut Microsoft mit.
5
Regeln auf Anwendungsebene schärfen
Wo es nötig ist, kommen Regeln auf HTTP- oder Domain-Ebene dazu. Auf AKS setzt das die Advanced Container Networking Services voraus.
6
Übergabe an Ihren Betrieb
Ihr Team erhält die Policy-Struktur, die Auswertung der Flow-Daten und einen dokumentierten Rückweg, falls eine Regel den Betrieb stört.
Warum Pexon statt Inhouse-Entwicklung
Inhouse aufbauen
–eBPF-Kenntnisse sind im Markt knapp und lassen sich nicht kurzfristig einkaufen.
–Die erste Policy-Runde bricht regelmäßig Dienste, die unbemerkt kommuniziert haben.
–Die Grenzen der jeweiligen Plattform stehen verstreut in der Anbieter-Dokumentation.
Hyperscaler-Beratung
–Der Fokus liegt auf der eigenen Plattform, nicht auf Ihrer gesamten Cluster-Landschaft.
–Grenzen wie die fehlende Windows-Unterstützung kommen selten früh zur Sprache.
–Was nach dem Projekt im Betrieb passiert, bleibt meist offen.
Mit Pexon
✓Wir messen den realen Verkehr, bevor eine einzige Regel durchsetzt.
✓Die Grenzen Ihrer Plattform stehen vor dem Angebot fest, nicht nach dem ersten Ausfall.
✓Ihr Team übernimmt die Policy-Struktur mit dokumentiertem Rückweg.
In vier Phasen zur produktiven Lösung
1
Woche 1
Bestandsaufnahme
Cluster, CNI, Policy-Engine und Plattform-Grenzen werden erfasst. Ergebnis ist die Entscheidung: Umstellung im Bestand oder neuer Cluster.
2
Woche 2 bis 3
Messen ohne Durchsetzung
Cilium und Hubble laufen mit, ohne Verkehr zu verwerfen. In dieser Phase entsteht die reale Kommunikationsmatrix Ihrer Dienste.
3
Woche 4 bis 5
Umstellung und Policies
Der Datenpfad wird knotenweise umgestellt. Die Policies gehen erst protokollierend, dann durchsetzend in Betrieb.
4
Woche 6
Übergabe
Ihr Team erhält Dokumentation, Auswertungen und den Rückweg. Danach entscheiden Sie, ob wir den Betrieb weiter begleiten.
Pilot zum Festpreis
Ein Cluster, ein umgestellter Datenpfad, eine belegte Policy-Struktur. Von der Bestandsaufnahme bis zur Übergabe an Ihr Team in sechs Wochen.
Ihre Investition
ab 14.500 EUR
Festpreis · 6 Wochen · ein Cluster
Enthält:
Enthalten · Bestandsaufnahme, Messphase mit Hubble, Umstellung des Datenpfads auf einem Cluster und die daraus abgeleitete Policy-Struktur.
Nicht enthalten · Lizenz- und Verbrauchskosten Ihrer Plattform, etwa die Advanced Container Networking Services auf AKS, die für Regeln auf Anwendungsebene nötig sind.
Abnahme · Der Datenpfad läuft ohne kube-proxy, die Policies sind durchsetzend aktiv und jede verworfene Verbindung ist im Flow-Log nachvollziehbar. Weitere Cluster rechnen wir nach Aufwand ab.
100 % unverbindlich, ohne Verpflichtung
Häufige Fragen
Was unterscheidet Cilium von einem Service Mesh?
Cilium arbeitet als CNI auf der Netzwerk-Schicht des Clusters und kann dort kube-proxy und die iptables-Ketten ersetzen. Diese Ersetzung ist bei Cilium nicht automatisch aktiv: Auf AKS ist sie voreingestellt, im selbstverwalteten Cluster wird sie gesetzt. Ein Service Mesh setzt darüber an und regelt die Verkehrssteuerung zwischen Diensten. Beides lässt sich kombinieren. Welche Kombination bei Ihnen sinnvoll ist, klären wir in der Bestandsaufnahme.
Lässt sich Cilium in einem laufenden Cluster einführen?
Auf AKS ja, unter zwei Bedingungen: Microsoft nennt reine Linux-Cluster und ein während der Umstellung abgeschaltetes Node Auto-Provisioning. Auf GKE nicht: Google gibt an, dass Dataplane V2 nur bei der Cluster-Erstellung aktiviert werden kann und bestehende Cluster sich nicht umstellen lassen. Selbstverwaltete Cluster prüfen wir einzeln.
Was kostet die Einführung?
Der Pilot für einen Cluster liegt bei 14.500 EUR als Festpreis über sechs Wochen, von der Bestandsaufnahme bis zur Übergabe. Weitere Cluster rechnen wir nach Aufwand ab. Nicht enthalten sind Kosten Ihrer Plattform, etwa die Advanced Container Networking Services auf AKS für Regeln auf Anwendungsebene.
Brauchen wir Cilium bei einem kleinen Cluster?
In der Regel nicht. Bei wenigen Knoten und überschaubarer Service-Zahl bleibt der Standard-Datenpfad die einfachere Wahl, der zusätzliche Betriebsaufwand lohnt sich dort selten. Der Nutzen wächst mit der Zahl der Services und mit Anforderungen an nachweisbare Segmentierung.
Wo liegen die Grenzen?
Azure CNI Powered by Cilium ist laut Microsoft nur für Linux verfügbar, nicht für Windows. Pods im Host-Netzwerk erhalten auf AKS keine Policies, und laut Kubernetes-Dokumentation ist dieses Verhalten generell nicht definiert, sondern hängt vom Netzwerk-Plugin ab. Regeln auf Anwendungsebene und Flow-Logs setzen auf AKS ein kostenpflichtiges Zusatzpaket voraus. Und Cilium ersetzt keine Anwendungssicherheit, es begrenzt nur Verbindungen.
Was passiert, wenn eine Regel den Betrieb stört?
Policies gehen zuerst rein protokollierend in Betrieb. Verworfene Verbindungen wären dann im Flow-Log sichtbar, ohne dass ein Dienst ausfällt. Erst wenn die Auswertung sauber ist, wird durchgesetzt. Der Rückweg auf den vorherigen Stand ist dokumentiert und Teil der Übergabe.
Nachricht senden
Kein passender Termin? Schreiben Sie uns, wir melden uns innerhalb von 24 Stunden.
Antwort innerhalb von 24 Stunden
Unverbindliches Erstgespräch
Persönlicher Ansprechpartner
Phillip Pham
CEO @ Pexon Consulting
Aktualisiert am 16. August 2026
Sie suchen einen Partner für Ihr Projekt?
Wir analysieren Ihren individuellen Bedarf, geben erste Empfehlungen zu Umsetzungsstrategien und bieten Ihnen transparente Einblicke in unsere Methoden, Technologien und Referenzen.
Vertrieb kontaktieren
400+Projekte seit 2020
100+Kunden im DACH-Raum
ISO27001 zertifiziert
3Hyperscaler Partner