RKE2 Kubernetes 2026: CIS, FIPS und Kosten vs K3s
RKE2 erklärt: aktuelle Versionen, CIS-Profil, FIPS 140-2, HA mit drei Servern, Kosten auf Hetzner und Unterschiede zu K3s. Stand Oktober 2026, alle Quellen verlinkt.
TL;DR
RKE2 ist die Kubernetes-Distribution von SUSE Rancher für regulierte Umgebungen: CIS-Profil per Konfigurationszeile, FIPS 140-2, containerd ohne Docker. Aktuell ist v1.37.1+rke2r1 vom 30.09.2026. Die Software ist kostenlos (Apache 2.0), ein HA-Cluster mit drei Servern kostet auf Hetzner ab 106,47 € netto im Monat, Support kommt extra.
Was ist RKE2?
RKE2 ist eine vollständig konforme Kubernetes-Distribution von Rancher (SUSE), die auf Sicherheit und Compliance ausgelegt ist. Sie hieß früher RKE Government und zielte auf US-Bundesbehörden. RKE2 übernimmt die einfache Installation von K3s, bleibt aber näher am Upstream-Kubernetes und braucht anders als RKE1 kein Docker.
Die RKE2-Dokumentation nennt vier Kernmerkmale:
- CIS Kubernetes Benchmark: Voreinstellungen und ein Profil, mit denen ein Cluster den Benchmark mit wenig Handarbeit besteht.
- FIPS 140-2: Die Komponenten werden mit einem Go-Compiler gebaut, der das validierte BoringCrypto-Modul nutzt.
- CVE-Scans: Die Build-Pipeline prüft alle Komponenten mit Trivy.
- containerd als eingebettete Runtime, die Control Plane läuft als Static Pods unter dem Kubelet.
Das Repository rancher/rke2 steht unter Apache-2.0 und hat rund 2.400 Sterne. RKE2 läuft allein oder als Cluster, den der Rancher Manager provisioniert und verwaltet. Wie sich Rancher Community und Rancher Prime unterscheiden, beschreibt unser Beitrag zu SUSE Rancher Prime.
Wichtig für die Einordnung: RKE2 ist kein Managed Kubernetes. Server-Nodes, etcd-Backups, Upgrades und Zertifikate bleiben Ihre Aufgabe. Wer den Betrieb abgeben will, findet Anbieter mit deutschen Regionen im Managed-Kubernetes-Kostenvergleich.
Welche RKE2-Version ist aktuell?
Aktuell ist RKE2 v1.37.1+rke2r1 vom 30. September 2026 mit Kubernetes 1.37.1. Am selben Tag erschien v1.36.5+rke2r1 für die Vorgängerlinie. SUSE pflegt jede Minor-Version rund 17 bis 18 Monate ab GA, also länger als das Upstream-Projekt mit etwa einem Jahr Patch-Support. Seit v1.36 ist Traefik der Standard-Ingress für neue Cluster.
Die Release Notes zu v1.37 nennen diese Komponenten:
| Komponente | Version in v1.37.1+rke2r1 | FIPS-konform |
|---|---|---|
| Kubernetes | v1.37.1 | ja |
| etcd | v3.7.1-k3s3 | ja |
| containerd | v2.3.4-k3s1 | ja |
| Canal (Standard-CNI) | Flannel v0.28.9, Calico v3.32.2 | ja |
| Cilium (optional) | v1.20.2 | nein |
| Traefik (Standard-Ingress) | v3.7.13 | k. A. |
| Gateway API CRDs | v1.6.1 (seit v1.37.0) | k. A. |
Zwei Änderungen betreffen bestehende Cluster direkt. Erstens: Ingress NGINX ist seit März 2026 End-of-Life. RKE2 stellt seit v1.36 Traefik als Standard für neue Cluster bereit, bestehende Cluster werden nicht automatisch umgestellt. In v1.37.0 fiel die eigenständige Ingress-NGINX-Option weg, ingress-nginx bleibt nur noch als letzte Migrationsmöglichkeit wählbar. Zweitens: Server, die ohne --token starten, erhalten ein zufälliges Token, das Sie für Wiederherstellungen sichern müssen.
Wie lange wird welche Version unterstützt?
Der SUSE Product Support Lifecycle nennt für jede Minor-Version ein Wartungsende (EOM) und ein Supportende (EOL). Nach dem EOM gibt es nur noch kritische Sicherheitskorrekturen auf Anfrage. Zum Vergleich die Upstream-Daten von kubernetes.io:
| Minor-Version | RKE2 GA | RKE2 EOM | RKE2 EOL | Upstream EOL |
|---|---|---|---|---|
| 1.37 | 14.09.2026 | 28.08.2027 | 28.02.2028 | 28.10.2027 |
| 1.36 | 12.05.2026 | 12.04.2027 | 12.10.2027 | 28.06.2027 |
| 1.35 | 30.12.2025 | 28.12.2026 | 28.06.2027 | 28.02.2027 |
| 1.34 | 10.09.2025 | 27.08.2026 | 27.02.2027 | 27.10.2026 |
Für 1.34 heißt das: Upstream endet der Support am 27. Oktober 2026, SUSE liefert für RKE2 noch bis Februar 2027 kritische Fixes auf Anfrage. Planen Sie Upgrades trotzdem nach dem EOM-Datum, nicht nach dem EOL. Wie die Managed-Anbieter mit Versionen umgehen, zeigt unser Überblick zum Kubernetes-Versionssupport.
Wie härtet RKE2 einen Cluster nach CIS?
RKE2 aktiviert die CIS-Härtung mit einer einzigen Zeile profile: "cis" in der Konfigurationsdatei. Das Profil erzwingt Pod Security Admission im Modus “restricted”, setzt Network Policies in den System-Namespaces und prüft beim Start die Host-Voraussetzungen. Fehlen etcd-Benutzer oder Kernel-Parameter, bricht RKE2 mit einem Fehler ab.
Der CIS Hardening Guide beschreibt die Schritte vor der Installation:
- Etcd-Benutzer und -Gruppe anlegen, und zwar in
/etc/passwdund/etc/group. - Die mitgelieferten Kernel-Parameter kopieren und laden (nur bei Neuinstallationen, auf laufenden Clustern kann der Neustart von
systemd-sysctlNebenwirkungen haben). - Das Profil in
/etc/rancher/rke2/config.yamlsetzen, bevor RKE2 zum ersten Mal startet.
sudo useradd -r -c "etcd user" -s /sbin/nologin -M etcd -U
sudo cp -f /usr/share/rke2/rke2-cis-sysctl.conf /etc/sysctl.d/60-rke2-cis.conf
sudo systemctl restart systemd-sysctl
sudo mkdir -p /etc/rancher/rke2
echo 'profile: "cis"' | sudo tee /etc/rancher/rke2/config.yamlDer Pfad /usr/share/rke2/ gilt für RPM-Installationen, bei der Tarball-Installation liegt die Datei unter /usr/local/share/rke2/. Das generische Profil cis wählt den Benchmark passend zur RKE2-Version, ein Upgrade erfordert also keine Konfigurationsänderung. Selbstbewertungen gibt es für CIS v2.0 (ab RKE2 1.35) und v1.12 (RKE2 1.33 bis 1.34).
Was das Profil nicht abnimmt: Für eigene Namespaces müssen Sie Network Policies selbst pflegen und automountServiceAccountToken: false auf den Default-Service-Accounts setzen. Audit-Logging ist ab Werk aus (Policy-Level None). Wer BSI C5 oder DORA nachweisen muss, sollte die Audit-Policy aktiv konfigurieren. Was C5 für Kubernetes konkret bedeutet, steht in unserem Beitrag zu BSI C5 und Kubernetes.
FIPS 140-2: was ist abgedeckt?
Die FIPS-Seite der Doku listet API-Server, Controller Manager, Scheduler, Kubelet, Kube Proxy, Metrics Server, kubectl, etcd, containerd, runc, crictl sowie die Charts für Flannel, Calico und CoreDNS als FIPS-konform. Das BoringCrypto-Modul trägt das NIST-Zertifikat 4407. Von den mitgelieferten CNIs ist nur Canal für FIPS neu gebaut. Wer FIPS braucht, bleibt also beim Standard-CNI und verzichtet auf Cilium. FIPS 140-3 erwähnt die Seite nicht.
Wie installiert man RKE2 hochverfügbar?
Ein hochverfügbarer RKE2-Cluster braucht drei Server-Nodes und eine feste Registrierungsadresse davor, etwa einen TCP-Load-Balancer oder Round-Robin-DNS. Die Server sind standardmäßig auch für Workloads nutzbar, drei Server ohne Agents sind daher das kleinste HA-Setup. Mindestens 2 CPU und 4 GB RAM pro Node, empfohlen sind 4 CPU und 8 GB.
Die HA-Anleitung begründet die ungerade Zahl mit dem etcd-Quorum von (n/2)+1: Ein vierter Server erhöht das Quorum, ohne einen weiteren Ausfall zu verkraften. Die Installation folgt dem Quickstart:
# Erster Server
sudo mkdir -p /etc/rancher/rke2
cat <<'EOF' | sudo tee /etc/rancher/rke2/config.yaml
token: mein-geheimes-token
tls-san:
- k8s.example.de
EOF
curl -sfL https://get.rke2.io | sudo sh -
sudo systemctl enable --now rke2-server.service
# Weitere Server: zusätzlich die Registrierungsadresse
# server: https://k8s.example.de:9345
# Agent-Node
curl -sfL https://get.rke2.io | sudo INSTALL_RKE2_TYPE="agent" sh -
sudo systemctl enable --now rke2-agent.service
# kubectl liegt nicht im PATH
sudo /var/lib/rancher/rke2/bin/kubectl \
--kubeconfig /etc/rancher/rke2/rke2.yaml get nodesDiese Ports müssen zwischen den Nodes offen sein, die Anforderungsseite listet sie vollständig:
| Port | Protokoll | Zweck | Nodes |
|---|---|---|---|
| 6443 | TCP | Kubernetes API | Server |
| 9345 | TCP | RKE2 Supervisor API (Registrierung) | Server |
| 2379, 2380, 2381 | TCP | etcd Client, Peer, Metriken | Server |
| 10250 | TCP | Kubelet-Metriken | alle |
| 8472 | UDP | VXLAN (Canal) | alle |
| 30000 bis 32767 | TCP | NodePort-Bereich | alle |
Die Doku warnt ausdrücklich: Der VXLAN-Port darf nicht öffentlich erreichbar sein, sonst kommt jeder ins Cluster-Netz. Betreiben Sie die Nodes hinter einer Firewall oder in einem privaten Netz. Für die Größe der Server nennt die Doku 2 CPU und 4 GB für bis zu 225 Agent-Nodes, 4 CPU und 8 GB für bis zu 450 und 8 CPU und 16 GB für bis zu 1.300. Wegen des eingebetteten etcd empfiehlt sie SSDs.
Was kostet RKE2 in Deutschland?
RKE2 selbst kostet keine Lizenz. Die Kosten entstehen durch Server und optional durch Support. Drei Server mit 4 vCPU und 8 GB kosten bei Hetzner in Deutschland 106,47 € netto im Monat ohne IPv4 und Load Balancer. Kommerzieller Support für RKE2 mit Rancher liegt im AWS Marketplace bei 77.000 USD pro Jahr für bis zu 20 Nodes.
Rechenweg mit den Hetzner-Preisen seit der Preisanpassung vom 15. Juni 2026 (Standorte Falkenstein und Nürnberg, netto, ohne IPv4):
| Setup | Node-Typ | Nodes | Preis pro Node und Monat | Summe pro Monat |
|---|---|---|---|---|
| Test, ein Server | CPX22 (2 vCPU, 4 GB) | 1 | 19,49 € | 19,49 € |
| HA-Minimum | CPX32 (4 vCPU, 8 GB) | 3 | 35,49 € | 106,47 € |
| HA mit 2 Agents | CPX32 (4 vCPU, 8 GB) | 5 | 35,49 € | 177,45 € |
Die Regular-Performance-Seite bestätigt die Ausstattung von CPX22 und CPX32. Die günstigeren Cost-Optimized-Typen CX23 und CX33 waren am 25. Oktober 2026 auf der Hetzner-Seite als nicht verfügbar markiert. Hinzu kommen Load Balancer, IPv4-Adressen, Volumes und Backups.
Der größere Posten ist Support. Zwei öffentliche Preispunkte:
- Rancher Prime im AWS Marketplace: Der SUSE-Blog vom Dezember 2023 nennt 450 USD pro Node und Monat für 5 bis 15 Nodes, 321 USD für 16 bis 50 Nodes, mindestens 5 Nodes. Für fünf Nodes wären das 2.250 USD im Monat. Ob die Staffel noch gilt, fragen Sie bei SUSE an.
- RKE2 Kubernetes and Rancher Manager for Production: Das Listing von Rancher Government Solutions kostet 77.000 USD für 12 Monate und bis zu 20 verwaltete Nodes, mit 24/7-Support durch Personal in den USA. Für deutsche Käufer mit Souveränitätsanforderungen ist der Support-Standort ein Prüfpunkt.
Die Rechnung zeigt das typische Muster selbst betriebener Distributionen: Die Infrastruktur ist günstig, Personal und Support dominieren. Ein Managed-Angebot mit kostenloser Control Plane kann bei kleinen Clustern günstiger sein, sobald Sie Bereitschaft und Upgrades einrechnen. Die Listenpreise der Lizenzmodelle (OpenShift, Talos, Kubermatic, EKS Anywhere) vergleicht unser Beitrag Kubernetes on premise.
RKE2 vs K3s: wann passt welche Distribution?
RKE2 passt, wenn Compliance-Nachweise zählen: CIS-Profil, FIPS 140-2, etcd und Upstream-Nähe. K3s passt für Edge, IoT, Labore und kleine Cluster, weil es als Binary unter 100 MB kommt und SQLite als Standard-Datenbank nutzt. Beide stammen von SUSE Rancher und installieren sich gleich.
| Kriterium | RKE2 | K3s |
|---|---|---|
| Zielbild | Rechenzentrum, regulierte Umgebungen | Edge, IoT, Homelab, CI |
| Standard-Datenbank | eingebettetes etcd | SQLite (etcd, MySQL, Postgres optional) |
| Standard-CNI | Canal (FIPS-konform) | Flannel |
| Ingress ab Werk | Traefik (seit v1.36) | Traefik |
| CIS-Profil | ja, profile: "cis" |
k. A. in der Übersicht |
| FIPS 140-2 | ja | k. A. in der Übersicht |
| Nähe zu Upstream | eng | weicht für Edge teilweise ab |
| Mindestausstattung | 2 CPU, 4 GB RAM | k. A. (halber Speicher von Standard-Kubernetes laut Doku) |
Die Angaben zu K3s stammen aus der K3s-Doku. Wer K3s nicht selbst betreiben will, findet Anbieter in unserem Beitrag zu K3s Hosting. Eine dritte Option für gehärtete Cluster ist Talos Linux: Dort ist das Betriebssystem selbst unveränderlich und ohne SSH, während RKE2 auf einem normalen Linux mit systemd läuft. RKE2 eignet sich damit eher für Teams, die ihre bestehende Linux-Härtung (SLES, RHEL, Ubuntu) behalten wollen.
Unsere Einordnung nach Kriterium:
- Für Teams mit Prüfpflichten (Banken, Behörden, KRITIS) ist RKE2 die naheliegende Wahl unter den Rancher-Distributionen, weil CIS und FIPS dokumentiert und ab Werk vorbereitet sind.
- Für kleine Teams ohne Bereitschaftsdienst ist ein Managed-Angebot mit deutscher Region meist sinnvoller, siehe Managed Kubernetes Deutschland.
- Für Edge-Standorte mit wenig Hardware ist K3s schlanker.
FAQ
Was ist der Unterschied zwischen RKE und RKE2?
RKE1 setzt auf Docker als Container-Runtime, RKE2 nicht. RKE2 nutzt eingebettetes containerd und betreibt die Control Plane als Static Pods unter dem Kubelet. Dazu kommen CIS-Profil und FIPS 140-2. Die Installation übernimmt RKE2 von K3s: ein Skript, ein systemd-Dienst, eine YAML-Datei.
Was kostet RKE2?
Die Software ist unter Apache-2.0 kostenlos. Sie zahlen Server und optional Support. Drei Hetzner-Server CPX32 kosten 106,47 € netto im Monat ohne IPv4 (Preise seit 15.06.2026). Das AWS-Marketplace-Listing für RKE2 mit Rancher Manager kostet 77.000 USD für 12 Monate und bis zu 20 Nodes.
RKE2 vs K3s: welche Distribution brauche ich?
RKE2, wenn Sie CIS-Härtung, FIPS 140-2 und etcd im Rechenzentrum brauchen. K3s, wenn Sie an Edge-Standorten, in Laboren oder in CI-Pipelines schlanke Cluster mit SQLite betreiben wollen. Beide stammen von SUSE Rancher und lassen sich zentral mit dem Rancher Manager verwalten.
Wie viele Server-Nodes braucht ein RKE2-Cluster?
Für Hochverfügbarkeit drei Server, empfohlen ist immer eine ungerade Zahl wegen des etcd-Quorums. Server übernehmen standardmäßig auch Workloads, daher reichen drei Nodes ohne Agents als kleinstes HA-Setup. Ein Server mit 2 CPU und 4 GB trägt nach Doku bis zu 225 Agent-Nodes.
Ist RKE2 Managed Kubernetes?
Nein. RKE2 ist eine Distribution, die Sie selbst installieren und betreiben: Server-Nodes, etcd-Snapshots, Upgrades und Zertifikate liegen bei Ihnen. Managed-Angebote mit Control Plane vom Anbieter und deutscher Region vergleicht unser Kostenvergleich.
Wie lange wird eine RKE2-Version unterstützt?
SUSE nennt für jede Minor-Version ein Wartungsende rund elf bis zwölf Monate nach GA und ein Supportende sechs Monate danach. RKE2 1.37 erschien am 14.09.2026, Wartung bis 28.08.2027, Supportende 28.02.2028. Upstream-Kubernetes 1.37 endet bereits am 28.10.2027.
Quellen
- RKE2 Doku: Übersicht (abgerufen 25. Oktober 2026)
- RKE2 Doku: Anforderungen (abgerufen 25. Oktober 2026)
- RKE2 Doku: Quickstart (abgerufen 25. Oktober 2026)
- RKE2 Doku: Hochverfügbarkeit (abgerufen 25. Oktober 2026)
- RKE2 Doku: CIS Hardening Guide (abgerufen 25. Oktober 2026)
- RKE2 Doku: FIPS 140-2 (abgerufen 25. Oktober 2026)
- RKE2 Doku: Networking Services (abgerufen 25. Oktober 2026)
- RKE2 Release Notes v1.37 (abgerufen 25. Oktober 2026)
- GitHub: rancher/rke2 (abgerufen 25. Oktober 2026)
- GitHub: rancher/rke2 Releases (abgerufen 25. Oktober 2026)
- SUSE Product Support Lifecycle (abgerufen 25. Oktober 2026)
- Kubernetes Releases (abgerufen 25. Oktober 2026)
- K3s Doku (abgerufen 25. Oktober 2026)
- Hetzner: Preisanpassung 15. Juni 2026 (abgerufen 25. Oktober 2026)
- Hetzner Cloud: Regular Performance (abgerufen 25. Oktober 2026)
- Hetzner Cloud: Cost-Optimized (abgerufen 25. Oktober 2026)
- SUSE Blog: Rancher Prime im AWS Marketplace (Dezember 2023) (abgerufen 25. Oktober 2026)
- AWS Marketplace: RKE2 Kubernetes and Rancher Manager for Production (abgerufen 25. Oktober 2026)