Air-Gapped Cloud erklärt: Definition, Nutzen und Grenzen

Definition

Ein Air Gap ist die bewusste Trennung eines Systems von externen Netzwerken, typischerweise vom öffentlichen Internet. Eine Air-Gapped Cloud ist eine Cloud-Infrastruktur, die dauerhaft in einer isolierten Umgebung betrieben wird und Cloud-typische Verwaltung bereitstellt, ohne selbst eine Public Cloud zu sein.

Einleitung

Air-Gapped Cloud erklärt sich nicht über „noch mehr Sicherheit“, sondern über andere Rahmenbedingungen: Manche Organisationen dürfen bestimmte Anwendungen oder Daten schlicht nicht in eine Public Cloud oder in eine Umgebung mit Internet-Verbindung bringen.

Dann wird aus „Cloud oder On-Prem?“ eine dritte Option: Cloud-Funktionen, aber betrieben auf dedizierter Hardware und in isolierten Netzwerken. Genau dafür sind Konzepte wie Google Distributed Cloud (GDC) in einer air-gapped Ausprägung gedacht.

Air Gap vs. Air-Gapped Cloud vs. souveräne Cloud

Ein Air Gap ist zunächst nur das Konzept der Trennung: Systeme sind physisch oder logisch „internet getrennt“. Eine Air-Gapped Cloud ist die Umsetzung dieses Konzepts als Cloud-Umgebung, inklusive standardisierter Plattform-Services, Betrieb und Governance in der isolierten Umgebung.

Eine souveräne Cloud adressiert dagegen vor allem Kontrolle, Datenresidenz, Zugriff, Anbieter- und Betriebsmodelle sowie Compliance. Sie kann „hosted“ oder „managed“ sein und in Deutschland betrieben werden, ist aber nicht automatisch air gapped. Umgekehrt ist Air-Gapping keine Abkürzung zu Souveränität: Ohne klare Regeln für Verwaltung, Zugriff und Prozesse bleibt es nur abgeschottete Infrastruktur.

Typische Use Cases und eingeschränkte Workloads

Air-Gapped Clouds passen zu Umgebungen mit Anforderungen, bei denen Vernetzung der Feind ist: Government-nahe Bereiche, kritische Infrastruktur, Forschung, besonders schützenswerte Produktions- oder Sicherheitsnetze. Der Nutzen ist pragmatisch: weniger Angriffsfläche über das Internet, klarere Kontrolle über Zugriff und Änderungen, und ein Betrieb, der auf Audits vorbereitet werden kann.

Gleichzeitig sind Workloads eingeschränkt: Alles, was permanent externe Dienste, APIs oder automatisches Nachladen aus der Public Cloud benötigt, muss angepasst oder ausgeschlossen werden. Gerade bei KI gilt: Nicht jedes Modell und nicht jeder Managed Service lässt sich air-gapped sinnvoll betreiben; oft funktionieren ausgewählte, klar kontrollierte Anwendungsfälle besser als „KI für alles“.

Architekturprinzipien: Trennung, Netzwerke, Hardware

Eine Air-Gapped Cloud basiert auf drei Prinzipien: physische Trennung, isolierte Netzwerke und dedizierte Hardware. Typisch sind getrennte Netzwerkzonen, streng definierte Zugriffswege und ein Plattform-Layer, der Administration und Workload-Betrieb standardisiert.

Für containerisierte Anwendungen ist Kubernetes der übliche Kern, häufig in einer Enterprise-Ausprägung wie GKE Enterprise. In Google-nahen Konzepten spricht man hier oft von Google Distributed Cloud (GDC) und Varianten wie Google Distributed Cloud air-gapped (GDC air-gapped) im Kontext von distributed cloud.

Der Praxisnutzen für Teams: Deployments laufen reproduzierbarer, Rollen und Rechte werden konsistenter, und die Verwaltung einer isolierten Umgebung wird weniger „Handarbeit“ als bei klassischer, selbst gestrickter Infrastruktur.

Sicherheitsvorteile, Risiken und Schwachstellen

Der Sicherheitsvorteil ist klar: Kein direkter Angriff über das öffentliche Internet, weniger externe Abhängigkeiten, bessere Kontrolle über Datenflüsse. Aber Air-Gapping löst nicht automatisch alle Probleme. Häufige Schwachstellen sitzen an den Übergängen: Patch- und Update-Prozesse, Offline-Medien, Schlüsselverwaltung, Lieferkettenrisiken bei Images und Third-Party-Komponenten.

Ein weiteres Risiko ist organisatorisch: Wenn Betrieb und Verwaltung nicht sauber geregelt sind, entstehen Schattenprozesse. Dann ist die Umgebung zwar isoliert, aber nicht verlässlich oder auditierbar.

Implementierungs-Checkliste: Vorbereitung bis Betrieb

• Vorbereitung: Schützenswerte Daten, Anwendungen und Anforderungen (Compliance, BSI-nahe Vorgaben, interne Policies) klar abgrenzen und priorisieren.

• Design: Netzwerkzonen, Zugriffsmodell, Identitäten, Protokollierung, Backup (inkl. Air-Gapped Backup als getrennte Sicherung) und Wiederanlauf definieren.

• Betrieb: Update-Kette (OS, Kubernetes, Plattform), Freigabeprozesse, Incident-Handling, Audit-Reporting und Third-Party-Prüfung als Standard etablieren.

Rechtliche Hinweise: Compliance und Datenschutz

In Deutschland sind DSGVO, Nachvollziehbarkeit und Rollenmodelle meist entscheidender als die reine Technik. Wichtig ist: Air-Gapped bedeutet nicht automatisch „datenschutzkonform“. Entscheidend sind Zweckbindung, Zugriffsprotokolle, Auftragsverarbeitung, Berechtigungskonzepte und eine saubere Dokumentation der Verarbeitung.

Für regulierte Organisationen lohnt sich die Frage: Reicht souveräne Cloud mit klaren Kontrollmechanismen, oder ist Air Gapping zwingend? Die falsche Entscheidung kostet Budget, Zeit und Flexibilität, ohne messbaren Sicherheitsgewinn.

Technische Funktionen & Betrieb: Netzwerk, Support, Quellcode, Third-Party

Eine Air-Gapped Cloud braucht Antworten auf Betriebsfragen, bevor die Hardware steht: Wie laufen Support-Prozesse ohne Internet? Wie kommen Updates in die isolierte Umgebung? Wie werden Container-Images, Artefakte und Abhängigkeiten geprüft und bereitgestellt? Und wie wird ein „disconnected“ Betrieb so organisiert, dass Teams trotzdem zuverlässig deployen?

Best Practice ist ein kuratierter Software-Supply-Chain-Ansatz: definierte Repositories, geprüfte Images, klare Freigaben für Third-Party-Komponenten und ein Prozess, der nicht an Einzelpersonen hängt.

Ressourcen zur Vertiefung

Für die nächste Stufe helfen drei Dinge mehr als Tool-Listen: ein Architektur-Whitepaper, eine Betriebshandbuch-Vorlage (Runbooks) und ein Audit-Checklist-Template. Ergänzend sind kurze Videos sinnvoll, die Update- und Supportprozesse in isolierten Umgebungen erklären, bevor ein Projekt startet.

Wann externe Unterstützung sinnvoll wird

Externe Unterstützung lohnt sich, wenn du zwischen Air-Gapping und souveräner Cloud nicht sicher abgrenzen kannst, wenn Integration in bestehende Infrastruktur (Identitäten, Netzwerke, Rechenzentrum) komplex wird oder wenn du Betrieb und Compliance von Anfang an audit-fähig aufsetzen musst.

Typisch ist auch der ROI-Punkt: Der Nutzen entsteht nicht durch „mehr Hardware“, sondern durch weniger Risiko, klarere Kontrolle und weniger operatives Chaos. Dafür braucht es eine saubere Zielarchitektur und realistische Workload-Auswahl.