Grundlagen der Container-Sicherheit

Docker-Sicherheit umfasst Image-Sicherheit, Laufzeitschutz und Orchestrierungs-Sicherheit. Da Container den Host-Kernel teilen, kann ein kompromittierter Container das gesamte System beeinflussen.

Image-Sicherheit

Verwenden Sie offizielle Base-Images aus vertrauenswürdigen Registries. Scannen Sie Images mit Trivy, Snyk oder Azure Defender. Verwenden Sie Multi-Stage-Builds, um die Angriffsfläche zu minimieren. Betten Sie niemals Geheimnisse in Images ein.

Minimale Base-Images

Verwenden Sie Alpine Linux oder Distroless-Images. Ein Alpine-basiertes Node.js-Image ist 50MB gegenüber 350MB. Entfernen Sie Paketmanager und Shells aus Produktions-Images.

Laufzeitsicherheit

Führen Sie Container als Nicht-Root-Benutzer aus. Entfernen Sie alle Linux-Capabilities und fügen Sie nur benötigte hinzu. Setzen Sie Container auf Read-only.

Ressourcenlimits

Setzen Sie immer CPU- und Speicherlimits, um Resource-Exhaustion-Angriffe zu verhindern.

Netzwerksicherheit

Verwenden Sie Docker-Netzwerke zur Isolation. Implementieren Sie Network Policies mit Calico oder Cilium für granulare Kontrolle.

Secrets-Management

Verwenden Sie Docker Secrets oder externe Vault-Lösungen statt Umgebungsvariablen für sensible Daten.

CI/CD-Sicherheit

• Images in CI-Pipelines scannen
• Admission-Controller für verwundbare Images
• OPA/Gatekeeper für Richtliniendurchsetzung
• Base-Image-Updates automatisieren

Wichtige Funktionen und Fähigkeiten

Die folgenden Kernfähigkeiten machen diese Technologie für moderne Cloud-Infrastrukturen unverzichtbar:

Image Scanning

Trivy, Snyk, and Azure Defender for Containers scan images for CVEs in OS packages, application dependencies, and misconfigurations at build and runtime

Rootless Containers

Docker rootless mode and Kubernetes SecurityContext runAsNonRoot eliminate root privilege escalation risks without application code changes

Network Policies

Calico and Cilium network policies enforce microsegmentation between containers, restricting east-west traffic to only explicitly allowed communication paths

Secrets Management

Docker Secrets and Kubernetes Secrets with external stores (Azure Key Vault, HashiCorp Vault) prevent hardcoded credentials in images and environment variables

Runtime Protection

Falco and Azure Defender monitor container behavior for anomalous process execution, file access, and network connections in real-time

Praxisbeispiele und Anwendungsfälle

Organisationen verschiedener Branchen setzen diese Technologie in Produktionsumgebungen ein:

CI/CD Pipeline Security

Shift-left scanning in GitHub Actions blocks vulnerable images before reaching registries, reducing production vulnerability exposure by 90%

Multi-Tenant Platform

Platform teams enforce Pod Security Standards (Restricted) preventing privileged containers, host namespace sharing, and capability escalation

Financial Services

A bank implements read-only root filesystems, drops all Linux capabilities except NET_BIND_SERVICE, and requires signed images through Cosign/Notary

Healthcare Compliance

HIPAA-regulated workloads run in isolated namespaces with network policies blocking all ingress/egress except explicitly whitelisted endpoints

Best Practices und Empfehlungen

Basierend auf Enterprise-Bereitstellungen und Produktionserfahrung helfen diese Empfehlungen, den Mehrwert zu maximieren:

• Use minimal base images (distroless, Alpine, or scratch) — the average Docker Hub image contains 300+ CVEs in unused packages
• Enable read-only root filesystems (readOnlyRootFilesystem: true) and mount writable volumes only for directories that require writes
• Drop ALL Linux capabilities and add back only the specific ones needed: drop: [ALL], add: [NET_BIND_SERVICE] is a common pattern
• Never store secrets in Docker images, environment variables, or config maps — use external secret stores with CSI driver integration
• Implement image signing with Cosign and admission controllers (Kyverno, Gatekeeper) to enforce only trusted images run in production
• Run containers as non-root user (UID 1000+) — add USER directive in Dockerfile and set runAsNonRoot: true in SecurityContext

Häufig gestellte Fragen

How often should container images be rebuilt?

Weekly minimum for base image updates, immediately for critical CVEs. Use automated dependency update tools (Dependabot, Renovate) with scan-and-rebuild pipelines. Image age over 30 days is a common security audit finding.

What is the difference between Docker Secrets and Kubernetes Secrets?

Docker Secrets are Swarm-native, stored encrypted in the Raft log. Kubernetes Secrets are base64-encoded by default (not encrypted) — enable etcd encryption at rest and use external secret stores (Azure Key Vault CSI, Sealed Secrets) for production security.

How do I prevent container escape attacks?

Never run privileged containers. Drop all capabilities. Use seccomp profiles (RuntimeDefault minimum). Enable AppArmor or SELinux profiles. Disable service account token mounting. Use gVisor or Kata Containers for workloads requiring kernel isolation.

Technischer Implementierungsleitfaden

Die Implementierung von Docker Security in Produktionsumgebungen erfordert eine sorgfaeltige Architekturplanung ueber Netzwerk-, Sicherheits- und Betriebsdimensionen hinweg. Organisationen sollten mit einer Proof-of-Concept-Phase von zwei bis vier Wochen beginnen, um Leistungsanforderungen zu validieren und Integrationspunkte mit bestehenden Systemen zu identifizieren. Waehrend dieser Phase muessen Sicherheitskonfigurationen gegen organisatorische Compliance-Anforderungen getestet werden, einschliesslich Datenverschluesselung im Ruhezustand und bei der Uebertragung, Identity-Management-Integration und Audit-Logging-Konfiguration.

Kostenplanung und Ressourcenoptimierung

Die Gesamtbetriebskosten umfassen direkte Infrastrukturkosten, Lizenzgebuehren, Betriebsaufwand fuer Wartung und Ueberwachung sowie Schulungskosten fuer das technische Team. Fuer eine genaue Kostenschaetzung empfehlen wir die Verwendung des Azure-Preisrechners in Kombination mit einer detaillierten Arbeitsanallyse ueber mindestens 30 Tage repraesentativer Verkehrsmuster. Die Kostenoptimierung beginnt mit der richtigen Dimensionierung der Ressourcen basierend auf tatsaechlichen Nutzungsdaten, gefolgt von der Implementierung automatischer Skalierungsrichtlinien und der Nutzung von Reserved Instances fuer vorhersehbare Produktions-Workloads.

Ueberwachung und Betriebsexzellenz

Ein effektives Ueberwachungskonzept umfasst infrastrukturelle Metriken, Anwendungsleistungsindikatoren und geschaeftliche KPIs, die durch benutzerdefinierte Instrumentierung gemessen werden. Azure Monitor und Application Insights bieten umfassende Telemetrie-Erfassung mit anpassbaren Dashboards, intelligenter Alarmierung basierend auf dynamischen Schwellenwerten und Anomalieerkennung sowie automatisierten Reaktionsaktionen ueber Logic Apps und Azure Automation. Die Integration mit Azure Log Analytics ermoeglicht korrelierte Abfragen ueber mehrere Datenquellen hinweg fuer schnelle Ursachenanalyse bei Vorfaellen. Teams sollten Runbooks fuer haeufige Betriebsszenarien erstellen und regelmaessige Failover-Tests durchfuehren, um die Wiederherstellungsprozesse zu validieren und kontinuierlich zu verbessern und die Geschaeftskontinuitaet unter allen Ausfallbedingungen sicherzustellen.