Kubernetes-Betrieb abgeben oder absichern? WZ-IT betreibt Kubernetes-Cluster auf Ihrer Infrastruktur oder gehostet in Deutschland. Monitoring erfolgt 24/7, die Reaktion auf P1-Incidents erfolgt entsprechend Service Level. Managed Kubernetes Betrieb ansehen
„Managed oder Self-Hosted?“ mischt drei Entscheidungen: ob es Kubernetes sein muss, wo die Control Plane läuft und wer die Arbeit darunter und darüber erledigt. Dieser Ratgeber trennt sie. Er stellt vier Betriebsmodelle gegenüber, ordnet Zuständigkeiten in einer Verantwortungsmatrix mit Herstellerquellen ein und gibt eine Entscheidungsregel mit prüfbaren Kriterien, einschließlich der Fälle, in denen Eigenbetrieb oder gar kein Kubernetes die richtige Antwort ist. Stand Oktober 2026. Die Preise stehen im Ratgeber Managed Kubernetes Kosten; hier geht es um Zuständigkeit.
Inhaltsverzeichnis
- Die Entscheidungsregel
- Vier Betriebsmodelle am Markt
- Verantwortungsmatrix: wer macht was
- Wann die Control Plane vom Anbieter reicht
- Wann ein Dienstleister den Betrieb übernimmt
- Wann Eigenbetrieb reicht
- Wann gar kein Kubernetes nötig ist
- Personal, Bus-Faktor und Bereitschaft
- Fragen vor der Auslagerung
- Stand und Quellen
- Unser Vorgehen bei WZ-IT
- Weiterführende Guides
Die Entscheidungsregel
Prüfen Sie von oben nach unten; Mischformen sind möglich, etwa eine Anbieter-Control-Plane mit einem Dienstleister für den Betrieb darüber.
| Ausgangslage | Modell |
|---|---|
| Wenige stabile Anwendungen, seltene Deployments oder keine benannte Betriebsverantwortung | Kein Kubernetes: Docker Compose, Coolify oder VM |
| Workloads laufen bei einem Hyperscaler oder Hoster, mindestens zwei Personen kennen den Cluster, Reaktion in der Bürozeit genügt | Control Plane vom Anbieter (EKS, AKS, GKE oder Hoster); Nodes, Add-ons, Monitoring und Incidents bleiben bei Ihnen |
| Weniger als zwei Personen mit Cluster-Kompetenz, Reaktion außerhalb der Bürozeit gefordert oder Infrastruktur steht fest (Proxmox, Bare Metal, EU-Cloud) | Dienstleister betreibt auf Ihrer Infrastruktur, auf EKS oder AKS oder gehostet |
| Kubernetes ist Teil des Produkts, oder ein Plattformteam mit Vertretung, dokumentiertem Upgrade-Prozess und getestetem etcd-Restore ist vorhanden; für 24/7 mindestens vier Personen | Eigenbetrieb |
Zwei Personen für Vertretung sind eine Annahme (Urlaub, Krankheit, Kündigung), vier Personen für 24/7 folgen aus der 25-Prozent-Regel der Google-SRE-Praxis, siehe Personal und Bereitschaft. Ob Kubernetes überhaupt nötig ist, klärt Brauchen wir Kubernetes?.
Vier Betriebsmodelle am Markt
Die Kubernetes-Dokumentation nennt als Optionen, den Aufbau abzugeben: Serverless, verwaltete Control Plane, verwaltete Worker-Nodes und Integrationen (Production environment). Am Markt (Stand 28.10.2026) lassen sich vier Modelle unterscheiden:
| Modell | Wer betreibt die Control Plane | Was „managed“ heißt | Beispiele | Preislogik |
|---|---|---|---|---|
| A: Control Plane vom Anbieter | Hoster oder Hyperscaler | Control Plane, teils Node-Images; Worker, Add-ons, Workloads bei Ihnen | AKS, EKS, GKE, IONOS, STACKIT, plusserver | 0 bis rund 73 Euro oder US-Dollar je Cluster plus Ressourcen |
| B: Eigenbetrieb | Sie | Nichts abgegeben; Server werden gemietet oder stehen im Haus (Hetzner Cloud, Bare Metal, Proxmox) | k3s, RKE2, Talos auf eigenen Servern | Serverpreise plus Arbeitszeit |
| C: Dienstleister betreibt | Dienstleister | Day-2: Nodes, Patches, Upgrades, Backups, Monitoring, je nach Vertrag mehr | Auf Kundeninfrastruktur: pexon (Betrieb), Kubewerk (Support-Retainer mit Upgrades). Auf eigener Infrastruktur: ayedo, Adacor, centron; Adacor auch auf AKS, EKS und GKE, ayedo auch Bring Your Own Cloud auf Anfrage | Retainer ab 2.500 Euro auf Kundeninfrastruktur; Pauschale oder Zuschlag auf Anbieterinfrastruktur |
| D: Management-Plattform | Plattformanbieter als Software oder SaaS | Lifecycle-Automatisierung, bei Cloudfleet Control Plane als Dienst, Support gestuft | Cloudfleet, Syself | Grundgebühr plus vCPU oder Prozent der Cloud-Ausgaben |
Modell A gibt eine Schicht ab, Modell C die Arbeit. Hosting-Anbieter in Modell C mit „Betrieb inklusive“ liegen zwischen beiden. Preise und Rechenbeispiele dazu im Kostenratgeber.
Verantwortungsmatrix: wer macht was
Die Spalte „Control Plane vom Anbieter“ folgt den Herstellerdokumenten (AKS, GKE, EKS). Die Spalte „Dienstleister“ zeigt den Umfang, den Day-2-Anbieter auf ihren Leistungsseiten nennen; verbindlich ist der Vertrag.
| Aufgabe | Control Plane vom Anbieter | Dienstleister betreibt | Eigenbetrieb |
|---|---|---|---|
| Control Plane und etcd betreiben | Anbieter | Anbieter, oder Dienstleister bei selbst gebauter Control Plane | Sie |
| etcd-Backup | AKS: Microsoft, automatisch alle 30 Minuten; plusserver: plusserver | Dienstleister, Restore-Test nur wenn vereinbart | Sie (etcd-Dokumentation) |
| Upgrades | Geteilt: Anbieter stellt Versionen bereit, Sie lösen aus und planen (AKS) | Dienstleister im Wartungsfenster, Freigabe bei Ihnen | Sie; Minor-Versionen nicht überspringen (kubeadm) |
| Netzwerk: CNI, Ingress, Network Policies | Überwiegend Sie; bei AKS CNI und Ingress teils geteilt | Dienstleister laut Leistungsumfang | Sie |
| Add-ons: Ingress, cert-manager, GitOps | Sie; AKS-Add-ons geteilt | Dienstleister laut Leistungsumfang | Sie |
| Monitoring und Alarme | Sie (AKS, GKE) | Dienstleister, Zeiten laut Vertrag | Sie |
| Incident-Reaktion | SLA für die API der Control Plane (AKS Standard); Cluster und Anwendung: Sie | Dienstleister nach Servicezeit, Mo-Fr oder 24/7 | Sie; 24/7 braucht mindestens vier Personen |
| Compliance und Nachweise | Sie (AKS: regulatorische Compliance beim Kunden) | Nachweise nur, wenn vereinbart | Sie |
Das BSI verlangt für Kubernetes eine Datensicherung des Clusters inklusive etcd und Persistent Volumes; Snapshots dürfen sie nicht ersetzen (APP.4.4.A5). Wer sichert, ist in der Matrix deshalb eine eigene Zeile: Eine Anbieter-Control-Plane sichert etcd, nicht Ihre Volumes und Datenbanken (Backup-Ebenen).
Wann die Control Plane vom Anbieter reicht
- Die Workloads laufen ohnehin beim Anbieter, samt Daten, Identität und Netzwerk, und der Standort der Control Plane ist unkritisch.
- Das Team trägt Nodes, Add-ons und Monitoring und will nur Control Plane und etcd abgeben. Rechnen Sie die Arbeit ein, die bleibt: Bei AKS sind das Network Policies, Workload-Monitoring, Cluster-Backup und Compliance.
- Eine SLA für die API genügt: AKS Standard sichert 99,95 Prozent mit Verfügbarkeitszonen zu, AKS Free hat keine finanziell hinterlegte SLA (Microsoft Learn).
Die Grenze: Die Anbieter-SLA schützt die API, nicht Ihre Anwendung. Ohne Bereitschaft im Team bleibt die Reaktion nachts unbesetzt.
Wann ein Dienstleister den Betrieb übernimmt
- Weniger als zwei Personen kennen den Cluster oder die Plattformarbeit soll nicht im Team liegen.
- Die Infrastruktur steht fest: Proxmox, Bare Metal oder ein EU-Anbieter ohne Managed-Kubernetes-Produkt. Hetzner bietet auf der Cloud-Produktseite keines an.
- Reaktion außerhalb der Bürozeit nötig ist, ohne vier Personen zu besetzen. Die Angebote unterscheiden sich hier: ayedo Priority und Adacor nennen 24/7, pexon und Kubewerk Mo-Fr (Preise und Zeiten im Kostenratgeber).
- Nachweise gefordert sind: Ein Dienstleister liefert sie nur, wenn der Leistungsumfang es vorsieht.
Die Grenze: Der Dienstleister betreibt den Cluster, nicht Ihre Anwendung. kloudease schließt im Paket SREaaS Feature-Entwicklung und Fixes im Anwendungscode ausdrücklich aus (Leistungen); Ob Deployments und Datenbankinhalte dazugehören, klärt der Leistungsumfang.
Wann Eigenbetrieb reicht
Eigenbetrieb ist keine Notlösung. Er passt, wenn:
- Kubernetes Teil des Produkts ist und die Plattformarbeit zur Kernkompetenz gehört.
- Vertretung und Prozess vorhanden sind: mindestens zwei Personen, die den Cluster kennen, ein Upgrade-Prozess mit Staging und Rollback, ein getesteter etcd-Restore und Alarme, die jemand empfängt. Kubernetes unterstützt die drei jüngsten Minor-Versionen mit rund einem Jahr Patch-Support; 1.34 lief am 27.10.2026 aus (Releases). Ein Cluster muss also mindestens einmal im Jahr eine Minor-Version weiter.
- Externer Zugriff ausgeschlossen ist (Air-Gap ohne Zugriffsmöglichkeit für Dritte, Sonderhardware, regulatorische Vorgabe), sodass weder Anbieter-Control-Plane noch Dienstleister infrage kommen.
- Der Cluster nicht produktiv ist: Lernen und Testen sind der naheliegende Grund für Eigenbetrieb.
- Bürozeit genügt: Dann trägt ein kleines Team Eigenbetrieb auch ohne Bereitschaftsrotation.
Wer Eigenbetrieb wählt, entscheidet zusätzlich über die Distribution; k3s, RKE2 und Talos verteilen die Arbeit unterschiedlich.
Wann gar kein Kubernetes nötig ist
Die kleinste Plattform, die Anforderungen an Deployment, Skalierung und Ausfallsicherheit zuverlässig erfüllt, ist die richtige. Gegen Kubernetes sprechen:
- ein bis zwei Server mit wenigen Containern und gleichmäßiger Last,
- seltene Deployments ohne Bedarf an Rolling Updates oder Autoscaling,
- niemand, der Upgrades, Security und Störungen verantwortet,
- unklare Backups und Restore-Ziele schon heute,
- ein einzelner physischer Server als gesamte Infrastruktur: Ein Cluster darauf erzeugt keine physische Hochverfügbarkeit.
Die Kubernetes-Dokumentation trennt Lernumgebungen von Produktionsclustern: Eine einzelne Maschine ist ein Single Point of Failure, hochverfügbar wird ein Cluster erst mit replizierter Control Plane, Load Balancing zum API-Server und genügend Worker-Nodes (Production environment). Die Alternativen vergleicht Kubernetes vs. Docker Compose vs. Coolify.
Personal, Bus-Faktor und Bereitschaft
- Vertretung (Annahme): Zwei Personen mit Cluster-Kompetenz sind die Untergrenze, damit Urlaub, Krankheit oder Kündigung den Betrieb nicht stoppen. Eine belastbare Statistik gibt es dafür nicht; die Zahl ist eine Setzung, die Sie für Ihr Team prüfen.
- Bereitschaft (belegt): Nach der Google-SRE-Praxis verbringt ein Engineer höchstens 25 Prozent seiner Zeit in Bereitschaft. Mit einer Person in Bereitschaft zur gleichen Zeit braucht 24/7 daher mindestens vier Personen; Google nennt für Primary und Secondary an einem Standort mindestens acht, bei zwei Standorten je sechs (SRE-Buch, Being On-Call).
- Arbeitsmarkt (belegt): 79.000 IT-Fachkräfte fehlen, 97 Prozent der Unternehmen mit IT-Stellen haben Besetzungsprobleme; am häufigsten gesucht werden IT-Administration und Systembetrieb (26 Prozent), danach Softwareentwicklung und -architektur (17 Prozent) sowie Cloud und Infrastruktur (14 Prozent) (Bitkom, 03.09.2026).
- Stundenkosten (belegt): 58,50 Euro Arbeitskosten je geleisteter Stunde 2025 in Information und Kommunikation (Destatis). Was das für Ihren Cluster heißt, rechnet der Kostenratgeber mit Break-even-Stunden durch.
Auslagern beseitigt das Personalrisiko nicht, es verlagert es in einen Vertrag. Die Fragen unten machen aus dem Vertrag eine Rückfalloption.
Fragen vor der Auslagerung
- Wem gehört das Repository? Der Soll-Zustand (GitOps) gehört in Ihre Organisation.
- Behalten Sie Admin-Zugänge, auch nach Vertragsende?
- Gibt es Runbooks, die ein Dritter lesen kann?
- Wie läuft die Rückübergabe, mit welcher Frist?
- Welche Servicezeit und welche Reaktionszeit gelten schriftlich, auch nachts und am Wochenende?
- Ist ein Restore-Test Teil der Abnahme?
- Welche Laufzeit gilt? Zum Vergleich: Kubewerk nennt mindestens 6 Monate, WZ-IT ist monatlich kündbar.
Ein „Nein“ bei 1 bis 4 verlagert das Problem, statt es zu lösen.
Stand und Quellen
- Stand: 28.10.2026. Die Matrix folgt den Dokumenten von Microsoft, Google und AWS; deren Verantwortungsaufteilung kann sich ändern.
- Annahmen: zwei Personen für Vertretung; Stunden- und Preisannahmen im Kostenratgeber.
- Nicht untersucht: Serverless-Container, OpenShift und kommerzielle Distributionen.
Unser Vorgehen bei WZ-IT
Wir betreiben Cluster nach Modell C: auf Ihrer Infrastruktur (Proxmox, Bare Metal, EU-Cloud, EKS, AKS) oder gehostet in Deutschland. Zum Einstieg bieten wir das Cluster-Audit an, ab 1.490 Euro einmalig und anrechenbar auf den ersten Betriebsmonat; es ist ein Konfigurations-Review, kein Penetrationstest (Cluster-Audit). Der Betrieb kostet ab 590 Euro je Cluster und Monat inklusive 3 Worker-Nodes, netto; das Service Level legt die Reaktion auf P1-Incidents fest (Service Levels). Wer Eigenbetrieb behält und punktuell Unterstützung braucht, nutzt Kubernetes-Support ohne Vertrag zu 120 Euro je Stunde netto.
Weiterführende Guides
- Managed Kubernetes Kosten - Plattformmiete und Betrieb mit Quellen
- Brauchen wir Kubernetes? - Signale für und gegen Kubernetes
- Kubernetes vs. Docker Compose vs. Coolify - die kleinere Plattform
- Kubernetes-Cluster übernehmen: Audit-Checkliste - Bestand vor dem Betriebswechsel prüfen
- Kubernetes-Backup: die vier Ebenen - Backup-Konzept und Restore-Test
- k3s vs. RKE2 vs. Talos - Distribution für den Eigenbetrieb
Betriebsmodell entscheiden? WZ-IT übernimmt den Betrieb auf Ihrer Infrastruktur oder gehostet in Deutschland, mit Preis und Service Level je Cluster. Managed Kubernetes Betrieb · Kubernetes Hosting · Cluster-Audit
Weiterführend: Kubernetes-Betriebskonzept nach APP.4.4
