„Cloud-native“ auf on-prem und in Air-Gap ist kein Widerspruch. Es erfordert Disziplin in Lieferkette, Identität, Observability und Deployment – und ein paar bewährte Muster: Ereignisgetriebene Kopplung zwischen Zonen, Pull-basierte Deployments mit signierten Bundles, interne PKI und strikte Egress-Kontrolle. Der Gewinn ist real: reproduzierbare Releases, saubere Audits, robuste Offline-Fähigkeit – ohne Datenhoheit zu opfern. Was nicht funktioniert, ist das blinde Kopieren öffentlicher Cloud-Referenzen. Schneiden Sie Ihr System entlang Ihrer Domänen und Randbedingungen zu. Dann liefert On-Prem die Souveränität, die regulierte Branchen brauchen, und die Geschwindigkeit, die moderne Softwareentwicklung erwartet.
FAQ
Frage: Ist ein Kubernetes-Cluster Pflicht für cloud-native on-prem?
Antwort: Nein. Container-Orchestrierung hilft bei Planbarkeit, Isolation und Upgrades, aber „systemd-nspawn + wenige Dienste“ kann für kleine, statische Setups ausreichen. Entscheidend sind unveränderliche Artefakte, deklarative Zustände, Signaturen und Telemetrie. Ab einer gewissen Team- und Servicegröße kippt die Bilanz zugunsten eines Orchestrators.
Frage: Wie gehe ich mit GPU-Treibern und ML-Runtimes im Air-Gap um?
Antwort: Behandeln Sie Treiber, CUDA/ROCm, Laufzeitbibliotheken und Modelle als erstklassige Artefakte in Ihrer Lieferkette: versioniert, mit SBOM und Signaturen. Bauen Sie reproduzierbare Base-Images mit gepinnten Treiberständen. Testen Sie Upgrades im Schattenbetrieb gegen Produktionslast-Aufzeichnungen. Keine On-the-fly-Treiberupdates in Produktion.
Frage: Wie verhindere ich PII-Leaks in LLM-Prompts und Logs?
Antwort: Redaktionsschicht vor Indizierung und Prompting, nicht danach. In der Observability-Ebene werden Eingaben/Ausgaben klassifiziert und bei Bedarf gehasht oder geschwärzt gespeichert. Policies definieren, welche Datendomänen in Prompts erlaubt sind. Agenten bekommen nur genehmigte Werkzeuge. Für Audits speichern Sie Hashes/Referenzen statt Rohdaten, sofern die Regulierung das zulässt.
Frage: Wie reagiere ich ohne Internetzugang auf Zero-Day-Schwachstellen?
Antwort: Halten Sie offline-spiegelbare Advisory-Feeds und monatliche „Security-Bundles“ bereit. Ein definierter Out-of-Band-Prozess importiert geprüfte Signaturen, CVE-Datenbanken und Patches. Kritische Fixes fahren im selben signierten Bundle-Mechanismus wie normale Releases. Proben Sie den Ablauf regelmäßig, inklusive Regressionstests und Rollback.
Frage: Wann lohnt sich eine Public-Cloud trotzdem?
Antwort: Für nicht sensitive Vorverarbeitung, synthetische Datengenerierung, skalige Trainingsjobs mit anonymisierten/kunstvollen Daten – wenn die Datenflüsse sauber entkoppelt und Compliance-anforderungskonform sind. Für Produktions-Workloads mit hohem Schutzbedarf, strengen Audits und Offline-Anforderungen bleibt on-prem in der Regel die robustere Architektur. Entscheidend sind Datenklassifizierung und eine saubere Trennung der Pfade.