TL;DR

• OpenShift bietet das umfassendste Enterprise-Paket mit integrierten Security Defaults, CI/CD und Registry -- kostet aber 15.000-60.000 EUR/Jahr Lizenz plus Infrastruktur
• Rancher ist Open Source, verwaltet Multi-Cluster-Setups hervorragend und laesst sich flexibel auf bestehende Infrastruktur aufsetzen -- erfordert aber mehr Eigenleistung bei Security und CI/CD
• Platform9 liefert ein SaaS-Managed Control Plane und eignet sich besonders fuer Teams, die On-Premises Kubernetes ohne eigene Control-Plane-Expertise betreiben wollen
• Natives Kubernetes (kubeadm, EKS, AKS, GKE) bleibt die guenstigste und flexibelste Option -- vorausgesetzt, das Team hat die Kompetenz, den Stack selbst zusammenzubauen
• Fuer den Mittelstand mit 3-5 Clustern und kleinem Platform-Team ist Rancher oft der beste Kompromiss aus Kosten, Flexibilitaet und Betriebskomfort

Managed Kubernetes Plattformen Vergleich 2026: Die richtige Wahl fuer den Mittelstand

Die Frage ist nicht mehr ob Kubernetes, sondern welche Plattform. Fuer deutsche Mittelstaendler mit 200 bis 5.000 Mitarbeitenden, regulatorischen Anforderungen und begrenzten Platform-Teams ist diese Entscheidung besonders kritisch. Fehlentscheidungen kosten Jahre und sechsstellige Betraege.

Dieser Artikel vergleicht die vier relevanten Optionen technisch und betriebswirtschaftlich. Kein Marketing, keine Herstellerversprechen -- nur Fakten aus der Praxis.

Fuer einen detaillierten Vergleich zwischen Kubernetes und OpenShift im Speziellen, siehe unseren Kubernetes vs. OpenShift Entscheidungs-Guide.

Die vier Plattformen im Ueberblick

OpenShift (Red Hat / IBM)

OpenShift ist eine kommerzielle Kubernetes-Distribution von Red Hat. Sie erweitert Kubernetes um eine integrierte CI/CD-Pipeline (Tekton), eine Container Registry, ein Web-Dashboard, Operator Hub und -- am wichtigsten -- Security Context Constraints (SCCs), die restriktiver sind als Kubernetes Pod Security Standards.

Rancher (SUSE)

Rancher ist eine Open-Source-Multi-Cluster-Management-Plattform. Sie installiert sich als Layer auf bestehende Kubernetes-Cluster (oder provisioniert eigene via RKE2) und bietet ein zentrales Dashboard, RBAC-Management, App Catalog und Fleet fuer GitOps-basierte Multi-Cluster-Deployments.

Platform9

Platform9 liefert ein SaaS-verwaltetes Kubernetes Control Plane. Die Worker Nodes laufen auf der eigenen Infrastruktur (Bare Metal, VMware, OpenStack, AWS), aber etcd, API Server und Controller Manager werden von Platform9 betrieben und ueberwacht.

Natives Kubernetes

Vanilla Kubernetes via kubeadm, oder Managed Services wie EKS, AKS und GKE. Maximale Flexibilitaet, kein Vendor-Lock-in, aber jede Komponente muss selbst integriert werden.

Feature-Vergleich im Detail

Kostenvergleich: 3 Cluster, 30 Nodes, 3 Jahre

Fuer einen typischen Mittelstands-Setup mit drei Clustern (Produktion, Staging, Development), insgesamt 30 Worker Nodes und einem Platform-Team von 2-3 Personen:

Die Zahlen zeigen: Die guenstigste Lizenz ist nicht automatisch die guenstigste Loesung. Natives Kubernetes spart Lizenzkosten, verursacht aber den hoechsten Personalaufwand. OpenShift ist bei den Lizenzen teuer, spart aber bei Integration und Personal.

Security-Defaults im Vergleich

Fuer deutsche Unternehmen mit Compliance-Anforderungen nach BSI IT-Grundschutz und DSGVO sind die Security-Defaults der Plattform entscheidend. Was kommt out-of-the-box, was muss nachgeruestet werden?

OpenShift: Restriktiv ab Werk

# OpenShift Security Context Constraints (SCC) - Default "restricted-v2"
# Diese SCC wird automatisch auf alle Pods angewendet
apiVersion: security.openshift.io/v1
kind: SecurityContextConstraints
metadata:
  name: restricted-v2
allowPrivilegedContainer: false
allowPrivilegeEscalation: false
requiredDropCapabilities:
  - ALL
runAsUser:
  type: MustRunAsRange
seLinuxContext:
  type: MustRunAs
fsGroup:
  type: MustRunAs
volumes:
  - configMap
  - downwardAPI
  - emptyDir
  - persistentVolumeClaim
  - projected
  - secret

OpenShift erzwingt diese Einschraenkungen vom ersten Tag an. Container, die als Root laufen wollen, scheitern sofort. Das ist gut fuer Compliance, kann aber bei der Migration bestehender Workloads zu Mehraufwand fuehren.

Rancher / Natives K8s: Pod Security Standards manuell aktivieren

# Pod Security Standards auf Namespace-Ebene aktivieren
# Bei Rancher und nativem K8s muss das manuell konfiguriert werden
apiVersion: v1
kind: Namespace
metadata:
  name: produktion
  labels:
    pod-security.kubernetes.io/enforce: restricted
    pod-security.kubernetes.io/enforce-version: latest
    pod-security.kubernetes.io/audit: restricted
    pod-security.kubernetes.io/warn: restricted
---
# Ergaenzend: NetworkPolicy fuer Default-Deny
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny-all
  namespace: produktion
spec:
  podSelector: {}
  policyTypes:
    - Ingress
    - Egress

Bei Rancher und nativem Kubernetes muessen Pod Security Standards pro Namespace aktiviert werden. Ohne explizite Konfiguration ist alles erlaubt -- ein erhebliches Risiko, das bei Security-Hardening adressiert werden muss.

Multi-Cluster-Management

Fuer Mittelstaendler, die mehrere Cluster betreiben (Produktion, Staging, verschiedene Standorte), ist Multi-Cluster-Management ein zentrales Kriterium.

Rancher: Multi-Cluster als Kernkompetenz

Rancher wurde von Anfang an fuer Multi-Cluster gebaut. Das zentrale Dashboard zeigt alle Cluster auf einen Blick, Fleet ermoeglicht GitOps-basierte Deployments ueber alle Cluster hinweg, und RBAC wird zentral verwaltet.

# Rancher Fleet: GitOps-basiertes Multi-Cluster Deployment
apiVersion: fleet.cattle.io/v1alpha1
kind: GitRepo
metadata:
  name: unternehmens-apps
  namespace: fleet-default
spec:
  repo: https://git.unternehmen.de/platform/fleet-manifests
  branch: main
  paths:
    - manifests/basis
  targets:
    - name: produktion
      clusterSelector:
        matchLabels:
          environment: production
          region: eu-de
    - name: staging
      clusterSelector:
        matchLabels:
          environment: staging

OpenShift: ACM als kostenpflichtiges Addon

OpenShift Advanced Cluster Management (ACM) ist leistungsfaehig, aber ein separates Produkt mit eigener Lizenz. Fuer drei Cluster kann das die Kosten um weitere 20.000-40.000 EUR pro Jahr erhoehen.

Platform9: Zentrales Dashboard

Platform9 verwaltet alle Cluster ueber ein einziges SaaS-Dashboard. Die Verwaltung ist komfortabel, aber weniger flexibel als Rancher Fleet bei komplexen Deployment-Szenarien.

Wann welche Plattform waehlen?

OpenShift waehlen, wenn:

• Compliance-Anforderungen (BSI, KRITIS) hohe Prioritaet haben und wenig internes Security-Know-how vorhanden ist
• Red Hat Enterprise Linux bereits im Einsatz ist und Synergien bestehen
• Ein Rundum-Sorglos-Paket gewuenscht ist und das Budget vorhanden ist
• Die Geschaeftsfuehrung einen einzelnen Ansprechpartner mit SLA will

Nicht waehlen, wenn das Budget knapp ist oder maximale Flexibilitaet bei der Tool-Wahl gebraucht wird.

Rancher waehlen, wenn:

• Mehrere Cluster an verschiedenen Standorten verwaltet werden muessen
• Flexibilitaet bei der Infrastruktur wichtig ist (Cloud, On-Prem, Edge)
• Das Team technisch versiert ist und eigene Tool-Entscheidungen treffen will
• Das Budget begrenzt ist, aber trotzdem ein Management-Layer gewuenscht ist

Nicht waehlen, wenn das Team unter drei Personen ist und keine Kubernetes-Erfahrung hat.

Platform9 waehlen, wenn:

• On-Premises Kubernetes gewuenscht ist, aber kein Wissen fuer Control-Plane-Betrieb vorhanden ist
• Bare-Metal-Performance gebraucht wird (z.B. fuer ML/AI-Workloads)
• Das Team klein ist (1-2 Personen) und sich auf Applikationen statt Infrastruktur konzentrieren soll

Nicht waehlen, wenn Air-Gapped-Betrieb erforderlich ist oder die Abhaengigkeit von einem SaaS-Anbieter problematisch ist.

Natives Kubernetes waehlen, wenn:

• Ein erfahrenes Platform-Team (3+ Personen) vorhanden ist
• Maximale Kontrolle und Flexibilitaet die oberste Prioritaet sind
• Cloud-Managed Services (EKS, AKS, GKE) genutzt werden und kein On-Prem noetig ist
• Vendor-Lock-in vermieden werden soll

Nicht waehlen, wenn das Team klein ist und die Einarbeitungszeit nicht aufgebracht werden kann.

Migrations-Aufwand: Von einer Plattform zur anderen

Die Migrationstabelle zeigt: Der Weg in OpenShift ist einfacher als der Weg heraus. Das ist ein bewusster Vendor-Lock-in-Effekt, den man bei der Plattformwahl beruecksichtigen muss.

Compliance-Eignung fuer deutsche Regulatorik

Fuer KRITIS-Betreiber und Unternehmen, die NIS2-Audits bestehen muessen, sind die Compliance-Features der Plattform relevant:

OpenShift hat hier den klaren Vorsprung. Fuer Branchen mit hohen regulatorischen Anforderungen kann das den Mehrpreis rechtfertigen. Fuer Unternehmen, die ihre Compliance-Anforderungen mit Policy-as-Code selbst umsetzen koennen, reicht Rancher oder natives Kubernetes mit den richtigen Addons.

Empfehlung fuer typische Mittelstands-Szenarien

Szenario 1: Fertigungsunternehmen, 500 Mitarbeitende, erste Kubernetes-Einfuehrung

Empfehlung: Rancher mit RKE2

Begruendung: Ueberschaubares Budget, On-Prem-Infrastruktur vorhanden, kleines IT-Team. Rancher bietet den niedrigsten Einstiegspreis bei ausreichendem Management-Komfort. RKE2 ist ein FIPS-kompatibler Kubernetes-Distribution, die sich gut fuer regulierte Umgebungen eignet.

Szenario 2: Finanzdienstleister, 2.000 Mitarbeitende, strenge Regulatorik

Empfehlung: OpenShift

Begruendung: BAIT/MaRisk-Anforderungen verlangen nachweisbare Security Defaults, Audit-Trails und Compliance-Reports. OpenShift liefert das meiste davon out-of-the-box. Die Lizenzkosten sind im Vergleich zu den Kosten eines Compliance-Verstosses vernachlaessigbar.

Szenario 3: SaaS-Anbieter, 100 Mitarbeitende, Multi-Cloud

Empfehlung: Natives Kubernetes (EKS/AKS) mit ArgoCD

Begruendung: Cloud-native, erfahrenes Entwicklerteam, Flexibilitaet ist wichtiger als vorgefertigte Loesungen. Managed Kubernetes Services in der Cloud minimieren den Betriebsaufwand fuer das Control Plane.

Monitoring ueber alle Plattformen hinweg

Unabhaengig von der Plattformwahl bleibt Monitoring mit Prometheus und Grafana der De-facto-Standard. OpenShift und Rancher bringen beide Prometheus und Grafana mit, aber die Konfiguration und die Dashboards unterscheiden sich. Planen Sie ein, dass Ihr Team die plattformspezifischen Monitoring-Eigenheiten lernen muss.

Fazit

Es gibt keine universell beste Kubernetes-Plattform. Die richtige Wahl haengt von drei Faktoren ab: Budget, Teamgroesse und regulatorische Anforderungen.

Fuer den typischen deutschen Mittelstaendler mit begrenztem Budget und kleinem Team ist Rancher der beste Kompromiss. Fuer regulierte Branchen mit entsprechendem Budget ist OpenShift die sicherste Wahl. Und fuer technisch versierte Teams, die Cloud-native arbeiten, reicht natives Kubernetes mit den richtigen Addons.

Investieren Sie die Zeit in eine ehrliche Bestandsaufnahme: Wie gross ist das Team wirklich? Welche Compliance-Anforderungen gelten? Wie sieht die bestehende Infrastruktur aus? Die Antworten auf diese Fragen fuehren zur richtigen Plattform -- nicht die Feature-Liste des Herstellers.