Cilium bei Managed Kubernetes: 11 Anbieter im Vergleich
Cilium bei Managed Kubernetes: welcher Anbieter Cilium als Standard-CNI nutzt, wo es nur bei Erstellung wählbar ist und was fehlt. 11 Anbieter, Stand November 2026.
TL;DR
Cilium ist bei Managed Kubernetes 2026 weit verbreitet, aber selten Pflicht. Standard-CNI ist Cilium bei DigitalOcean, Scaleway Kapsule, dem OVHcloud-Standard-Plan, GKE Autopilot und AKS Automatic. STACKIT und Exoscale bieten Cilium nur bei der Cluster-Erstellung an. IONOS nutzt ausschließlich Calico, AWS unterstützt Cilium nur für Hybrid Nodes. Wechseln lässt sich das CNI fast nirgends nachträglich.
Was ist Cilium und warum spielt das CNI bei der Anbieterwahl eine Rolle?
Cilium ist ein Container Network Interface (CNI), das Pod-Netzwerk, Network Policies und Service-Routing per eBPF direkt im Linux-Kernel umsetzt. Bei Managed Kubernetes entscheidet der Anbieter, welches CNI läuft. Damit legt die Anbieterwahl fest, ob Sie Cilium-Funktionen wie Hubble, kube-proxy-Ersatz oder L7-Policies überhaupt nutzen können.
Die CNCF-Projektseite nennt den 13. Oktober 2021 als Aufnahme (Incubating) und den 11. Oktober 2023 als Graduierung. Auf GitHub sind am 1. November 2026 drei stabile Linien gepflegt: 1.20.4, 1.19.10 und 1.18.16, alle am 23. Oktober erschienen. Eine 1.21 liegt als Vorabversion (pre.3) vor.
Für Käufer zählen drei Fragen:
- Ist Cilium Standard, optional oder gar nicht verfügbar? Das bestimmt, ob Sie Cilium-spezifische Ressourcen wie
CiliumNetworkPolicyeinplanen können. - Wann wird entschieden? Bei fast allen Anbietern nur bei der Cluster-Erstellung. Ein späterer Wechsel bedeutet einen neuen Cluster und eine Migration.
- Welche Funktionen gibt der Anbieter frei? Managed-Varianten sperren oft die Cilium-Konfiguration oder koppeln Funktionen wie Flow-Logs an kostenpflichtige Zusatzpakete.
Wie wir Anbieter vergleichen und welche Quellen zählen, steht auf der Seite Methodik.
Welcher Managed-Kubernetes-Anbieter nutzt Cilium?
Fünf der elf geprüften Dienste setzen Cilium standardmäßig ein, mindestens in einem Tarif oder Modus. Vier weitere bieten es als Option bei der Erstellung an. IONOS und die EKS-Cloud-Nodes bleiben ohne vom Anbieter unterstützte Cilium-Variante. Die Tabelle zeigt den Stand der Anbieter-Dokumentation vom 1. November 2026.
| Anbieter / Dienst | Standard-CNI | Cilium verfügbar? | Wechsel nachträglich | Region in Deutschland |
|---|---|---|---|---|
| Google GKE | Autopilot: Dataplane V2 (Cilium) | Standard-Cluster: Option --enable-dataplane-v2 |
nein | ja (Frankfurt, Berlin) |
| Azure AKS | Automatic: Azure CNI Overlay powered by Cilium | Standard-Cluster: Option --network-dataplane cilium |
Upgrade von Azure CNI Overlay möglich | ja (Germany West Central) |
| AWS EKS | Amazon VPC CNI | nur für Hybrid Nodes (AWS-Builds 1.17 und 1.18) | k. A. | ja (Frankfurt) |
| STACKIT SKE | Calico | ja, nur bei Erstellung | nein | ja |
| Scaleway Kapsule | Cilium | ja (alternativ Calico) | k. A. | nein |
| OVHcloud MKS | Free: Canal, Standard: Cilium | nur im Standard-Plan | k. A. | DE1 nur im Free-Plan (Canal), siehe Profil |
| IONOS Managed Kubernetes | Calico | nein | nein | ja |
| plusserver PSKE | Cilium (Limits-Doku) | ja | k. A. | ja |
| Exoscale SKS | Calico | ja, nur bei Erstellung (auch ohne CNI möglich) | nein | ja (de-fra-1) |
| DigitalOcean DOKS | Cilium | ja, vorkonfiguriert | entfällt | ja (Frankfurt) |
| Akamai LKE | LKE: Calico, LKE Enterprise: Cilium | nur in LKE Enterprise | k. A. | ja (Frankfurt), LKE Enterprise: k. A. |
“k. A.” heißt: Die Dokumentation sagt dazu nichts Eindeutiges. Die T Cloud Public (CCE) fehlt in der Tabelle, weil die Netzwerk-Doku bei unserem Abruf nicht erreichbar war. Regionen stammen aus den verlinkten Anbieter-Profilen.
Wie unterscheiden sich GKE, AKS und EKS beim Cilium-Support?
Die drei Hyperscaler gehen drei verschiedene Wege. Google versteckt Cilium als “Dataplane V2” und macht es in Autopilot zur Pflicht. Microsoft kombiniert das eigene Azure-CNI-IPAM mit dem Cilium-Datapath und verkauft Zusatzfunktionen separat. AWS unterstützt Cilium nur dort, wo das eigene VPC CNI nicht funktioniert: bei Hybrid Nodes außerhalb von AWS.
GKE. Die Dataplane-V2-Doku sagt wörtlich, dass Dataplane V2 mit Cilium implementiert ist, während der Legacy-Datapath Calico nutzt. Neue Autopilot-Cluster haben es immer aktiv. Bei Standard-Clustern ist es eine Option, die nur bei der Erstellung gesetzt werden kann. Bestehende Cluster lassen sich nicht umstellen. Regionale Cluster skalieren auf bis zu 65.000 Nodes, allerdings nur im “scale-optimized”-Modus, der die Durchsetzung von Network Policies abschaltet.
gcloud container clusters create demo \
--location=europe-west3 \
--enable-dataplane-v2AKS. Bei Microsoft Learn steht Azure CNI Overlay powered by Cilium als Standard-Netz von AKS Automatic. Bei AKS Standard wählen Sie es mit --network-dataplane cilium, kombinierbar mit Overlay, Pod Subnet oder Node Subnet. Microsoft nennt Mindestversionen von Cilium pro Kubernetes-Version, etwa 1.18.12 für Kubernetes 1.35 und 1.19.6 für 1.36. Ein kube-proxy läuft in diesen Clustern nicht.
az aks create \
--name demo \
--resource-group rg-demo \
--location germanywestcentral \
--network-plugin azure \
--network-plugin-mode overlay \
--pod-cidr 192.168.0.0/16 \
--network-dataplane cilium \
--generate-ssh-keysDie Grenzen sind konkret: nur Linux, keine Windows-Nodes. Network Policies können per ipBlock keine Pod- oder Node-IPs freigeben. Die Cilium-ConfigMap ist bis auf Label-Ausschlüsse gesperrt. FQDN-Filter, L7-Policies, Flow-Logs und WireGuard-Verschlüsselung gibt es nur mit Advanced Container Networking Services (ACNS). Wer eine Cilium-Plattform mit vollem Funktionsumfang erwartet, muss diese Zusatzkosten in der Kostenplanung berücksichtigen.
EKS. Die VPC-CNI-Doku nennt das Amazon VPC CNI als einziges von EKS unterstütztes CNI für Nodes auf AWS-Infrastruktur. Andere CNIs sind kompatibel, aber nicht von AWS supportet. Für EKS Hybrid Nodes ist es umgekehrt: Dort ist Cilium das unterstützte CNI, in AWS-eigenen Builds der Linien 1.17.x und 1.18.x. Auf Cloud-Nodes unterstützt AWS Cilium ausdrücklich nicht.
Wie bieten STACKIT, Scaleway, OVHcloud und IONOS Cilium an?
Die europäischen Anbieter unterscheiden sich stärker als die Hyperscaler. Scaleway setzt Cilium standardmäßig ein, OVHcloud koppelt es an den kostenpflichtigen Standard-Plan, STACKIT lässt die Wahl bei der Erstellung, IONOS bleibt bei Calico. Für Teams, die eine deutsche Region und einen EU-Anbieter mit Cilium brauchen, bleiben damit STACKIT, plusserver und Exoscale.
STACKIT SKE. Die SKE-Netzwerk-Doku nennt Calico als aktuellen Standard. Cilium lässt sich nur beim Anlegen eines neuen Clusters aktivieren, bestehende Cluster können nicht wechseln. Mit Cilium ersetzt SKE den kube-proxy, Hubble schalten Sie über das Feld network.cni.cilium.hubble.enabled ein. Die Hubble-UI wird installiert, aber nicht exponiert.
stackit ske cluster create -p <PROJECT_ID> demo --payload @cluster-configuration.json
kubectl port-forward -n kube-system svc/hubble-ui 8081:80Wie sich SKE in Preis und Regionen gegenüber der Telekom schlägt, steht im Vergleich STACKIT vs. T Cloud.
Scaleway Kapsule. Die Scaleway-Doku nennt Cilium als Standard-CNI in Kapsule, Calico steht als Alternative zur Wahl. Der Changelog für den 7. Oktober 2026 nennt Cilium v1.19.8 für Kubernetes 1.36.5 und v1.18.14 für 1.35.9. Scaleway liegt damit eine Minor-Version hinter dem aktuellen Upstream 1.20. WireGuard-Verschlüsselung aktivieren Sie per CiliumNodeConfig, der Verkehr läuft über UDP-Port 51871.
OVHcloud MKS. Die Architektur-Doku trennt zwei Pläne: Free nutzt Canal (Flannel plus Calico), Standard nutzt Cilium. Der Standard-Plan bringt außerdem 99,99 % SLA (ausgewiesen “at GA”) statt 99,5 % SLO und bis zu 500 statt 100 Nodes. Einen CNI-Wechsel zwischen den Plänen beschreibt die Doku nicht. Wichtig für deutsche Käufer: Die Region DE1 bietet nach unserem OVHcloud-Profil nur den Free-Plan, Cilium gibt es dort also nicht. Die Unterschiede zu Scaleway erklärt Scaleway vs. OVHcloud.
IONOS. Die FAQ ist eindeutig: Cluster laufen mit Calico, ein anderes CNI lässt sich nicht wählen, und wer es selbst ersetzt, verliert den Support. Network Policies funktionieren über Calico.
Was gilt bei plusserver, Exoscale, DigitalOcean und Akamai?
Bei den übrigen vier Anbietern ist Cilium entweder Standard (DigitalOcean, plusserver nach Limits-Doku) oder an einen bestimmten Tarif gebunden (Akamai LKE Enterprise). Exoscale bietet die freie Wahl zwischen Calico, Cilium und gar keinem CNI. Diese Option ist selten und für Teams interessant, die Cilium selbst betreiben und konfigurieren wollen.
plusserver PSKE. Die Limits-Seite führt einen eigenen Abschnitt “Cilium (CNI)” mit einem Limit von 64.000 Identitäten. Jeder von Cilium verwaltete Endpunkt bekommt eine solche Identität. Die Doku enthält außerdem eine Anleitung für die Hubble-UI. Ob Kunden alternativ Calico wählen können, sagt die Seite nicht.
Exoscale SKS. Im Overview ist Calico als Standard markiert. Cilium wählen Sie bei der Erstellung, ebenso einen Cluster ganz ohne CNI. Mit Cilium ist kube-proxy standardmäßig aus. Der Quick Start verlangt dafür drei Security-Group-Regeln: UDP 8472 für VXLAN, TCP 4240 für Health-Checks und ICMP.
exo compute sks create demo \
--zone de-fra-1 \
--cni cilium \
--service-level pro \
--nodepool-name default \
--nodepool-size 3 \
--nodepool-security-group sks-security-groupDigitalOcean DOKS. Die Feature-Seite sagt: Das Cluster-Netz ist mit Cilium vorkonfiguriert. VPC-native Cluster ab Kubernetes 1.31 nutzen den kube-proxy-Ersatz von Cilium, ab 1.33 ist die Cilium-basierte Gateway API standardmäßig aktiv. Zu Hubble macht die Seite keine Angabe.
Akamai LKE. Die TechDocs beschreiben es so: Das reguläre LKE nutzt Calico und ist auf 250 Nodes und 1.000 Pods begrenzt. LKE Enterprise nutzt Cilium und erlaubt bis zu 500 Nodes und 5.000 Pods.
Wie prüfen Sie Cilium im eigenen Cluster?
Ob und in welcher Version Cilium läuft, sehen Sie mit zwei Befehlen. Das ist vor allem nach Anbieter-Upgrades sinnvoll, weil die Cilium-Version bei Managed-Diensten mit der Kubernetes-Version wandert. Bei AKS etwa verlangt Kubernetes 1.36 mindestens Cilium 1.19.6, bei Scaleway bringt 1.36.5 Cilium 1.19.8 mit.
- DaemonSet und Image prüfen:
kubectl -n kube-system get ds cilium \
-o jsonpath='{.spec.template.spec.containers[0].image}{"\n"}'- Cilium-Ressourcen anzeigen, die der Anbieter freigibt:
kubectl api-resources | grep cilium.io
kubectl get ciliumnetworkpolicies -A- Identitäten zählen, wenn Sie nahe an Limits arbeiten (65.535 bei AKS, 64.000 bei plusserver):
kubectl get ciliumidentities --no-headers | wc -lMicrosoft weist darauf hin, dass Workloads mit hoher Fluktuation wie Spark-Jobs viele Identitäten erzeugen. Abhilfe schafft das Ausschließen von Labels wie spark-app-name in der Cilium-Konfiguration.
Für wen passt welches Cilium-Angebot?
Die Wahl hängt an drei Kriterien: deutsche Region, Umfang der freigegebenen Cilium-Funktionen und die Frage, ob Sie Cilium als Plattform selbst konfigurieren wollen. Eine allgemeine Rangfolge gibt es nicht, weil die Anbieter unterschiedliche Teile von Cilium freigeben.
| Kriterium | Passende Optionen (Doku) | Grund |
|---|---|---|
| Cilium ohne Aufpreis, Standard ab Werk | DigitalOcean, Scaleway, GKE Autopilot | Cilium vorkonfiguriert, keine Wahl nötig |
| Deutsche Region, EU-Anbieter, Cilium optional | STACKIT, Exoscale, plusserver | Cilium bei Erstellung wählbar oder Standard |
| Volle Cilium-Kontrolle | Exoscale (Cluster ohne CNI) | eigenes Cilium installierbar |
| Hubble ohne Zusatzpaket | STACKIT, plusserver | Hubble-UI in der Doku beschrieben |
| Hybrid-Betrieb mit eigener Hardware | EKS Hybrid Nodes | Cilium ist dort das supportete CNI |
| Calico-Richtlinien bleiben | IONOS, Exoscale, STACKIT (Standard) | Calico ist Standard |
Für einen breiteren Blick auf deutsche Regionen, C5 und Preise lohnt der Überblick Managed Kubernetes in Deutschland. Wer Cilium auf eigenen VMs betreiben will, findet bei RKE2 eine Distribution, die Cilium als optionales CNI mitliefert.
FAQ
Welche Managed-Kubernetes-Anbieter nutzen Cilium standardmäßig?
Nach der Dokumentation vom 1. November 2026: DigitalOcean DOKS, Scaleway Kapsule, OVHcloud MKS im Standard-Plan, GKE Autopilot (als Dataplane V2), AKS Automatic und Akamai LKE Enterprise. plusserver führt Cilium in der Limits-Doku als CNI. STACKIT und Exoscale nutzen Calico als Standard und bieten Cilium als Option.
Kann ich bei einem bestehenden Cluster von Calico auf Cilium wechseln?
Bei GKE, STACKIT und Exoscale nicht: Die Doku erlaubt die Wahl nur bei der Cluster-Erstellung. AKS ist die Ausnahme, dort lassen sich Cluster mit Azure CNI Overlay auf den Cilium-Datapath upgraden, bei deaktiviertem Node Auto-Provisioning und nur unter Linux. In allen anderen Fällen bedeutet der Wechsel einen neuen Cluster.
Was kostet Cilium bei Managed Kubernetes?
Cilium selbst ist Open Source und bei keinem der geprüften Anbieter als eigener Preisposten ausgewiesen. Kosten entstehen indirekt: Bei OVHcloud gibt es Cilium nur im Standard-Plan, bei Akamai nur in LKE Enterprise, bei AKS sind Flow-Logs, FQDN-Filter und L7-Policies an ACNS gebunden. Preise dieser Tarife stehen in den jeweiligen Anbieter-Profilen.
Cilium vs. Calico: was ist der Unterschied bei Managed Kubernetes?
Beide setzen Kubernetes Network Policies durch. Cilium arbeitet mit eBPF und ersetzt bei AKS, STACKIT, DigitalOcean und Exoscale den kube-proxy. Calico nutzt bei STACKIT IPIP-Overlay und BGP. Für Teams, die Hubble-Observability oder CiliumNetworkPolicy brauchen, passt Cilium; wer bestehende Calico-Richtlinien weiter nutzen will, bleibt bei Calico.
Unterstützt AWS EKS Cilium?
Nur für EKS Hybrid Nodes, also Nodes außerhalb von AWS. Dort ist Cilium das von AWS unterstützte CNI, in AWS-eigenen Builds der Versionen 1.17.x und 1.18.x. Für Nodes in der AWS Cloud unterstützt EKS nur das Amazon VPC CNI. Andere CNIs sind kompatibel, laufen aber ohne AWS-Support.
Welche Cilium-Version ist aktuell?
Am 1. November 2026 listet GitHub Cilium 1.20.4 als neueste stabile Version, daneben werden 1.19.10 und 1.18.16 gepflegt. Managed-Anbieter liegen oft dahinter: Scaleway liefert für Kubernetes 1.36.5 Cilium 1.19.8, AWS unterstützt für Hybrid Nodes die Linien 1.17 und 1.18.
Quellen
- CNCF: Cilium Projektseite (abgerufen 1. November 2026)
- GitHub: cilium/cilium Releases (abgerufen 1. November 2026)
- Google Cloud: GKE Dataplane V2 (abgerufen 1. November 2026)
- Google Cloud: Dataplane V2 aktivieren (abgerufen 1. November 2026)
- Microsoft Learn: Azure CNI Powered by Cilium (abgerufen 1. November 2026)
- AWS: Amazon VPC CNI (abgerufen 1. November 2026)
- AWS: CNI für EKS Hybrid Nodes (abgerufen 1. November 2026)
- STACKIT Doku: SKE Container Networking (abgerufen 1. November 2026)
- Scaleway Doku: Kapsule-Verschlüsselung mit Cilium (abgerufen 1. November 2026)
- Scaleway Changelog: Kubernetes-Änderungen 07.10.2026 (abgerufen 1. November 2026)
- OVHcloud Doku: MKS-Architektur (abgerufen 1. November 2026)
- IONOS Doku: Managed Kubernetes FAQ (abgerufen 1. November 2026)
- plusserver Doku: PSKE Limits (abgerufen 1. November 2026)
- Exoscale Doku: SKS Overview (abgerufen 1. November 2026)
- Exoscale Doku: SKS Quick Start (abgerufen 1. November 2026)
- DigitalOcean Doku: DOKS Features (abgerufen 1. November 2026)
- Akamai TechDocs: Linode Kubernetes Engine (abgerufen 1. November 2026)