VPC

Große Anbieter wie Amazon, Microsoft oder Google vermieten Rechenleistung in ihren Rechenzentren. Man mietet dort Computer, statt eigene zu kaufen. Das Problem dabei: auf denselben Maschinen arbeiten tausende andere Kunden. Eine VPC, ausgeschrieben Virtual Private Cloud, löst das. Sie ist ein abgegrenzter Bereich in dieser gemieteten Umgebung, in dem nur die Computer eines einzigen Kunden miteinander sprechen dürfen. Von außen kommt nur herein, was der Kunde ausdrücklich erlaubt hat.

Warum Firmen ihre Server nicht offen ins Netz stellen

Ohne Abgrenzung wäre jeder gemietete Server direkt aus dem offenen Internet erreichbar. Das ist gefährlich. Automatische Programme durchsuchen das Netz rund um die Uhr nach schlecht gesicherten Rechnern. Eine ungeschützte Datenbank wird oft schon nach Minuten gefunden. In einer VPC hat eine Datenbank dagegen gar keine öffentliche Adresse. Sie ist nur für die anderen Maschinen desselben Kunden sichtbar.

Dazu kommt der rechtliche Druck. Wer Gesundheitsdaten, Kontobewegungen oder Personalakten verarbeitet, muss nachweisen, dass diese Daten getrennt von anderen liegen. Prüfer und Datenschutzbehörden fragen genau danach. Eine VPC liefert diesen Nachweis, weil sich jede Regel dokumentieren lässt. Man kann schwarz auf weiß zeigen, welcher Weg in das Netz hinein erlaubt ist.

Ein dritter Grund ist schlicht die Kontrolle über Fehler. Wenn eine Anwendung sich merkwürdig verhält, will man wissen, mit wem sie redet. In einem klar abgegrenzten Netz lässt sich das protokollieren. In einem offenen Netz verliert man schnell den Überblick.

Adressbereiche, Subnetze und Sicherheitsregeln

Beim Anlegen einer VPC legt der Kunde zuerst einen Adressbereich fest. Jeder Computer im Netz bekommt daraus eine Nummer, ähnlich einer Hausnummer. Diese Nummern gelten nur innerhalb der VPC. Zwei Kunden können denselben Bereich verwenden, ohne sich zu stören. Der Anbieter sorgt im Hintergrund dafür, dass die Datenpakete trotzdem nie vertauscht werden.

Der Adressbereich wird dann in kleinere Abschnitte geteilt, sogenannte Subnetze. Üblich ist eine Aufteilung in öffentlich und privat. Im öffentlichen Subnetz steht der Webserver, den Besucher erreichen sollen. Im privaten Subnetz stehen Datenbank und interne Dienste ohne jeden direkten Draht nach draußen. Der Webserver darf die Datenbank ansprechen, das offene Internet darf es nicht.

Wer entscheidet, ist erlaubt und was nicht? Dafür gibt es Regellisten, oft Sicherheitsgruppen genannt. Eine solche Regel lautet zum Beispiel: Verbindungen auf Port 443, also verschlüsselte Webseiten, sind erlaubt, alles andere wird verworfen. Ein Vergleich mit einem Bürogebäude trifft es gut. Der Adressbereich ist das Gebäude, die Subnetze sind die Stockwerke, und die Sicherheitsgruppen sind die Türschlösser mit ihren Zutrittslisten.

VPCs beim Training von KI-Modellen

Praktisch jede Firma, die Software in der Cloud betreibt, arbeitet mit VPCs. Man sieht sie nur nie. Wenn eine Banking-App reibungslos läuft, liegt dahinter ein Netz, in dem die Kontodaten in einem privaten Abschnitt liegen. Für Entwickler ist das Anlegen einer VPC einer der ersten Schritte in einem neuen Projekt.

In KI-Meldungen taucht der Begriff besonders oft auf. Unternehmen wollen eigene Modelle mit internen Dokumenten trainieren oder anpassen. Diese Dokumente sollen den Firmenbereich nicht verlassen. Anbieter werben deshalb damit, dass Training und Betrieb komplett in der VPC des Kunden stattfinden. Der Anbieter stellt nur die Software, die Daten bleiben im abgeschotteten Netz.

Ein häufiger Irrtum ist, dass eine VPC eigene, physisch getrennte Hardware bedeutet. Das ist meist falsch. Die Trennung ist durch Software erzeugt, die Maschinen selbst können geteilt sein. Wer wirklich exklusive Hardware braucht, muss sie gesondert bestellen und deutlich mehr zahlen. Zu unterscheiden ist die VPC außerdem von der Private Cloud: dort gehören die Rechner der Firma selbst und stehen oft im eigenen Keller.