Ein Softwareanbieter liefert sein neues Werkzeug nur noch als „Docker-Image“, ein Entwickler möchte eine KI-Anwendung „schnell in einem Container“ testen, und im Angebot für eine Webanwendung steht „läuft containerisiert“. Spätestens dann stellt sich die Frage, was Docker-Container eigentlich sind und ob man sie im eigenen Unternehmen braucht. Dieser Beitrag erklärt IT-Verantwortlichen und Geschäftsführern die Grundlagen der Container-Virtualisierung, sinnvolle Einsatzbereiche und die typischen Fehler im Betrieb.
Was ein Docker-Container ist
Ein Container ist ein abgeschlossenes Paket aus einer Anwendung und allem, was sie zum Laufen braucht: Bibliotheken, Laufzeitumgebung und Konfiguration. Der Container läuft auf einem Server mit einer Container-Software wie Docker und teilt sich dabei den Betriebssystemkern (Kernel) mit dem Gastgebersystem. Docker ist also nicht der Container selbst, sondern das Werkzeug, mit dem Container gebaut, verteilt und gestartet werden.
Container vs. VM: der entscheidende Unterschied
- Eine VM bildet einen kompletten Computer nach, mit eigenem Betriebssystem. Auf einem Hypervisor laufen mehrere VMs, jede braucht eigenen Arbeitsspeicher für ihr Betriebssystem, eigene Updates und eigene Lizenzen. Die Grundlagen beschreibt unser Beitrag zur Virtualisierung.
- Ein Container enthält kein eigenes Betriebssystem, sondern nur die Anwendung mit ihren Abhängigkeiten. Er startet in Sekunden, braucht wenig Ressourcen und verhält sich auf jedem Server gleich.
In der Praxis ergänzen sich beide: Container laufen meist in einer Linux-VM, die wiederum auf einem Hypervisor betrieben wird. So bleiben Sicherung, Isolation und Verwaltung auf VM-Ebene erhalten, während die Anwendungen im Container leichter zu verteilen und zu aktualisieren sind.
Image, Container und Dockerfile
Drei Begriffe sollten Sie kennen:
- Image: die Vorlage, also das unveränderliche Paket der Anwendung, zum Beispiel „nginx“ in einer bestimmten Version.
- Container: eine laufende Instanz eines Images.
- Dockerfile: eine Textdatei mit der Bauanleitung für ein Image: welches Basis-Image verwendet wird, welche Software hinzukommt und welcher Befehl beim Start läuft. Wer eigene Anwendungen containerisiert, pflegt diese Datei wie Quellcode.
Wofür Docker-Container im Mittelstand sinnvoll sind
- Webanwendungen: Intranet, Wiki, Ticketsystem, Passwortverwaltung oder interne Tools werden häufig als fertige Images angeboten und lassen sich so schnell bereitstellen.
- Werkzeuge und Infrastrukturdienste: Monitoring, Reverse Proxy, Dokumentenverarbeitung oder kleine Automatisierungen.
- KI-Dienste: Viele Anwendungen für lokale Sprachmodelle, Spracherkennung oder Dokumentenanalyse werden als Container ausgeliefert, oft mit Zugriff auf die Grafikkarte des Servers.
- Entwicklung und Tests: Entwickler bauen identische Umgebungen nach, ohne den eigenen Rechner zu verändern. Was im Test läuft, läuft auch im Betrieb.
Der größte Docker-Vorteil liegt in der Wiederholbarkeit: Eine Anwendung lässt sich exakt in derselben Konfiguration auf einem anderen Server starten. Das erleichtert Updates, Umzüge und Wiederherstellung.
Wann Container zu viel sind
Container sind kein Selbstzweck. Für eine klassische Windows-Fachanwendung mit SQL-Server sind sie in aller Regel nicht vorgesehen, dort bleibt die VM das richtige Werkzeug.
Besonders vorsichtig sollten Sie bei Kubernetes sein. Kubernetes ist eine Plattform, die viele Container über mehrere Server hinweg verteilt, überwacht und automatisch neu startet. Für große Umgebungen mit Dutzenden Diensten ist das sinnvoll. Für drei Anwendungen auf einem Server ist es meist zu viel: Kubernetes bringt eigene Komplexität, eigene Updates und einen hohen Wissensbedarf mit. Die Frage lautet immer, wer das System in drei Jahren noch betreut. Für die meisten mittelständischen Szenarien reicht ein gut gepflegter Linux-Server mit Docker und Docker Compose.
Docker Compose: Anwendungen beschreiben statt zusammenklicken
Viele Anwendungen bestehen aus mehreren Containern, etwa Webanwendung, Datenbank und Cache. Docker Compose beschreibt diese Zusammenstellung in einer einzigen Textdatei: welche Images in welcher Version, welche Ports, welche Volumes für Daten und welche Umgebungsvariablen.
Das hat drei Vorteile:
- Die Konfiguration ist dokumentiert und lässt sich versionieren, zum Beispiel in einem Git-Repository.
- Die Anwendung lässt sich mit einem Befehl starten, stoppen oder auf einem anderen Server neu aufbauen.
- Änderungen sind nachvollziehbar, weil sie in der Datei stehen und nicht in einer Folge von Kommandozeilenbefehlen, die niemand mehr kennt.
Passwörter und Schlüssel gehören dabei nicht direkt in die Compose-Datei, sondern in getrennte, geschützte Dateien oder in eine Geheimnisverwaltung.
Updates von Images
Ein Container wird nicht wie ein Server „gepatcht“. Stattdessen wird ein neues Image mit der aktualisierten Version heruntergeladen und der Container damit neu erzeugt. Das ist schnell, aber nur, wenn es jemand tut. Typische Fehler:
- Version „latest“ ohne Kontrolle: Wer immer die neueste Version zieht, bekommt irgendwann ungeprüft eine neue Hauptversion mit inkompatiblen Änderungen. Besser sind feste Versionsnummern, die bewusst angehoben werden.
- Nie aktualisieren: Das andere Extrem. Ein Image, das seit zwei Jahren unverändert läuft, enthält mit hoher Wahrscheinlichkeit bekannte Schwachstellen.
- Gastgebersystem vergessen: Auch der Linux-Server und Docker selbst brauchen regelmäßig Updates.
Bewährt hat sich ein fester Rhythmus, etwa monatlich im Wartungsfenster: Versionshinweise lesen, neues Image testen, umstellen, Funktion prüfen.
Datenpersistenz und Backup von Volumes
Container sind kurzlebig. Wird ein Container neu erzeugt, ist alles weg, was nur in ihm gespeichert war. Dauerhafte Daten wie Datenbanken, hochgeladene Dateien oder Konfigurationen liegen deshalb in Volumes, also in Speicherbereichen außerhalb des Containers.
Für die Datensicherung bedeutet das:
- Volumes müssen gezielt gesichert werden. Eine Sicherung der VM erfasst sie zwar mit, aber eine laufende Datenbank wird dabei nicht unbedingt in einem konsistenten Zustand gesichert.
- Datenbanken zusätzlich über einen Export oder das Sicherungswerkzeug der Datenbank sichern.
- Compose-Dateien und Konfiguration gehören ebenfalls ins Backup.
- Wiederherstellung testen: Server neu aufsetzen, Compose-Datei und Volumes zurückspielen, Anwendung starten.
Sicherheit: Die wichtigsten Regeln
- Keine fremden Images ungeprüft: Öffentliche Image-Verzeichnisse enthalten auch veraltete oder manipulierte Images. Verwenden Sie offizielle Images oder Images des Softwareherstellers und prüfen Sie, wer sie pflegt.
- Nicht als root: Viele Images führen die Anwendung standardmäßig mit Administratorrechten im Container aus. Wo möglich, einen eingeschränkten Benutzer verwenden.
- Nur nötige Ports freigeben: Datenbank-Ports gehören nicht ins Internet. Docker kann Firewall-Regeln des Gastgebersystems umgehen, wenn Ports ohne Bedacht veröffentlicht werden. Das sollte bei der Einrichtung bewusst geprüft werden.
- Zugriff auf Docker beschränken: Wer Docker steuern darf, hat praktisch Administratorrechte auf dem Server.
- Images regelmäßig auf Schwachstellen prüfen: Dafür gibt es Scanner, die bekannte Lücken in Images melden.
Lizenzfrage: Docker Desktop im Unternehmen
Hier lohnt ein genauer Blick, denn „Docker“ bezeichnet mehrere Produkte. Die Docker Engine, also die eigentliche Container-Software auf Linux-Servern, steht laut Docker unter der Open-Source-Lizenz Apache 2.0.
Anders ist es bei Docker Desktop, der Anwendung für Windows- und Mac-Arbeitsplätze von Entwicklern. Laut Lizenzbedingungen von Docker ist die kostenlose Nutzung für Unternehmen nur kleinen Firmen mit weniger als 250 Beschäftigten und weniger als 10 Millionen US-Dollar Jahresumsatz erlaubt. Darüber ist ein kostenpflichtiges Abonnement nötig. Diese Bedingungen können sich ändern. Prüfen Sie vor dem Einsatz von Docker für Unternehmen die aktuellen Lizenzbedingungen auf der Docker-Website, besonders wenn Entwickler Docker Desktop eigenständig installiert haben.
Checkliste: Erste Schritte
- Erfassen, wo bereits Container laufen, auch auf Entwicklerrechnern und Test-VMs.
- Für jede Anwendung eine Compose-Datei mit festen Versionsnummern anlegen.
- Volumes und Datenbanken in die Datensicherung aufnehmen und Rücksicherung testen.
- Herkunft der Images prüfen und auf offizielle Quellen umstellen.
- Update-Rhythmus für Images und Gastgebersystem festlegen.
- Freigegebene Ports und Docker-Zugriffsrechte kontrollieren.
- Lizenzstatus von Docker Desktop im Unternehmen klären.
Wie DAVINCI unterstützt
Wir stellen Linux-Server für Container-Anwendungen als virtuelle Server bereit, richten Docker und Compose nachvollziehbar ein und übernehmen auf Wunsch Updates, Monitoring und Sicherung der Volumes. Sprechen Sie uns über die Kontaktseite an.
Häufige Fragen
Was ist Docker, und ist Docker dasselbe wie ein Container?
Nein. Docker ist die Software, mit der Container gebaut, verteilt und gestartet werden; ein Container ist das laufende Anwendungspaket. Im Alltag werden beide Begriffe oft gleichgesetzt, weil Docker die Container-Technologie bekannt gemacht hat. Es gibt aber auch andere Container-Werkzeuge, die mit denselben Image-Formaten arbeiten.
Ersetzen Container unsere virtuellen Maschinen?
Nein. Container ergänzen VMs. Fachanwendungen unter Windows bleiben in VMs, Container laufen meist innerhalb einer Linux-VM. Wer gerade die Virtualisierungsplattform wechselt, findet Hinweise im Beitrag zu VMware-Alternativen.
Welche Nachteile haben Docker-Container?
Container verlangen Linux-Wissen und Disziplin bei Versionen, Updates und Volumes. Wer sie nebenbei betreibt, sammelt schnell ungepflegte Images und undokumentierte Konfigurationen an. Für klassische Windows-Fachanwendungen sind sie meist nicht vorgesehen, und die Sicherung laufender Datenbanken erfordert zusätzliche Schritte.
Sind Docker-Container sicher?
So sicher wie ihr Betrieb. Die Isolation ist schwächer als bei einer VM, weil sich alle Container den Kernel des Gastgebersystems teilen. Mit geprüften Images, eingeschränkten Benutzern, kontrollierten Ports und regelmäßigen Updates lassen sich Container im Mittelstand aber verantwortungsvoll betreiben.
Brauchen wir Kubernetes?
Für wenige Anwendungen auf einem oder zwei Servern meist nicht. Docker mit Compose ist einfacher zu betreiben und zu verstehen. Kubernetes lohnt sich erst bei vielen Diensten, hohen Verfügbarkeitsanforderungen und einem Team, das die Plattform dauerhaft betreuen kann.
Ist Docker kostenlos?
Die Docker Engine auf Linux-Servern ist Open Source. Für Docker Desktop gelten für größere Unternehmen kostenpflichtige Abonnements. Maßgeblich sind die aktuellen Lizenzbedingungen von Docker.
Verwandte Themen: Wer hier weiterdenkt, liest bei Virtualisierung, Snapshot und VMware Alternativen weiter.
