Container-Sicherheit

Kurz: Container teilen sich den Kernel mit dem Host, deshalb ist ihre Isolation schwächer als bei virtuellen Maschinen. Sicherheit entsteht durch minimale Images, wenig Rechte und Laufzeit-Beschränkungen.

Genauer: Ein Ausbruch aus dem Container kann den Host gefährden. Daher gilt: so wenige Rechte wie möglich, kleine Angriffsfläche, aktuelle Basis-Images und Überwachung.

Im Detail

• Nicht als root laufen: Eigener Nutzer im Container, rootless-Modus.
• Capabilities entziehen: Nur nötige Linux-Capabilities (z. B. --cap-drop=ALL).
• Read-only-Dateisystem und no-new-privileges.
• Minimale Images: Distroless/Alpine/Scratch, Multi-Stage-Builds, weniger Pakete = weniger Lücken.
• Image-Scans: Trivy, Grype finden bekannte Schwachstellen.
• Secrets: Nie ins Image backen, über Secret-Manager/Umgebung zur Laufzeit.
• Netzwerk-Segmentierung: NetworkPolicies, kein offener Docker-Socket.
• Seccomp/AppArmor: Systemaufrufe einschränken.
• Signierte Images und vertrauenswürdige Registries.

Siehe auch: Container-Interna: Namespaces und cgroups, Software-Lieferkette und SBOM