Isolate
Ein Isolate ist ein abgeschotteter Arbeitsbereich, in dem ein Programm läuft, ohne an die Daten anderer Programme auf demselben Computer heranzukommen. Große Cloud-Anbieter nutzen Isolates, um tausende fremde Programme gleichzeitig und trotzdem sicher auf einem Server auszuführen.
Auf einem einzelnen Server im Rechenzentrum laufen selten nur die Programme einer einzigen Firma. Meist teilen sich viele Kunden dieselbe Maschine, ohne voneinander zu wissen. Damit dabei niemand die Daten der anderen lesen kann, braucht jedes Programm einen eigenen, abgeschotteten Arbeitsbereich. Genau so einen Bereich nennt man ein Isolate: einen eigenen Speicherplatz plus eigene Variablen, aus dem das Programm nicht ausbrechen kann. Der Begriff stammt aus der Software V8, dem Motor, der JavaScript-Code in Googles Browser Chrome ausführt. Man kann sich ein Isolate wie ein Einzelbüro in einem großen Bürogebäude vorstellen: eigener Schreibtisch, eigene Akten, aber gemeinsame Heizung und gemeinsames Stromnetz.
Warum Anbieter ganze Server einsparen
Vor den Isolates gab es vor allem zwei Wege, fremde Programme voneinander zu trennen. Der eine ist die virtuelle Maschine: ein kompletter, simulierter Computer mit eigenem Betriebssystem. Der zweite ist der Container, eine schlankere Variante davon. Beide sind sicher, aber schwerfällig. Eine virtuelle Maschine braucht oft mehrere hundert Megabyte Arbeitsspeicher und startet in Sekunden.
Ein Isolate kommt mit wenigen Megabyte aus und ist in etwa fünf Millisekunden bereit. Das klingt nach einem technischen Detail, ändert aber das Geschäftsmodell. Ein Anbieter kann auf einer Maschine tausende Isolates gleichzeitig halten statt einiger Dutzend virtueller Maschinen. Die Kosten pro Kunde sinken dadurch drastisch.
Wichtig ist außerdem, was beim Start passiert. Bei virtuellen Maschinen entsteht der sogenannte Kaltstart: Wenn längere Zeit niemand eine Anfrage stellt, wird die Maschine abgeschaltet und muss erst wieder hochfahren. Der erste Nutzer wartet dann spürbar. Isolates starten so schnell, dass dieses Problem in der Praxis kaum auffällt.
Ein Motor, viele Schreibtische
Der Trick liegt darin, was geteilt wird und was nicht. Alle Isolates auf einem Server benutzen denselben Programm-Motor, also dieselbe installierte Software, die den Code in Maschinenbefehle übersetzt und ausführt. Nur der Arbeitsbereich ist pro Isolate eigen: eigener Speicher, eigene Variablen, eigene Objekte. Deshalb muss nicht für jeden Kunden ein ganzes Betriebssystem mitgeschleppt werden.
Die Abschottung übernimmt der Motor selbst. Er lässt Code aus einem Isolate schlicht keine Adresse ansprechen, die zu einem anderen gehört. Zusätzlich bekommt jedes Isolate harte Obergrenzen, etwa 128 Megabyte Speicher und wenige Millisekunden Rechenzeit pro Anfrage. Ein Programm, das in einer Endlosschleife hängt, wird abgebrochen und blockiert die Nachbarn nicht.
Diese Bauweise hat auch einen Preis. Ein Isolate ist kein vollständiger Computer, es kann also nicht jedes beliebige Programm ausführen. Meist ist man auf JavaScript oder auf WebAssembly festgelegt, ein kompaktes Format, in das sich auch andere Programmiersprachen übersetzen lassen. Wer eine klassische Datenbank oder ein altes Firmenprogramm betreiben will, braucht weiterhin einen Container oder eine virtuelle Maschine.
Isolates in Cloud-Angeboten und in der Praxis
Am bekanntesten sind Isolates durch Cloudflare Workers geworden. Dort schickt man ein kleines Programm hoch, das dann in Rechenzentren auf der ganzen Welt in Isolates läuft. Der Code wird nah beim Nutzer ausgeführt statt in einem einzigen zentralen Rechenzentrum. Ähnliche Ansätze findest du bei Deno Deploy und in Teilen von Vercel.
Auch bei KI-Diensten tauchen Isolates auf. Sie erledigen dort typischerweise die Arbeit rund um das eigentliche Modell: Anfragen prüfen, Nutzer authentifizieren, Antworten zwischenspeichern. Das große Sprachmodell selbst läuft weiterhin auf spezialisierten Grafikprozessoren, nicht im Isolate.
Ein verbreiteter Irrtum ist, Isolates seien genauso sicher wie virtuelle Maschinen. Das stimmt so nicht. Bei einer virtuellen Maschine trennt zusätzlich die Hardware, bei Isolates verlässt man sich allein auf die Korrektheit des Programm-Motors. Fehler in dieser Software können die Trennung im Prinzip aushebeln, was in der Vergangenheit vereinzelt vorgekommen ist. Anbieter setzen deshalb weitere Schutzschichten obendrauf.