Docker

Docker ist eine Entwicklungs- und Laufzeitplattform für Container. Ein Container bündelt eine Anwendung mit Bibliotheken, Laufzeitdateien und Einstellungen, damit sie auf Notebook, Testsystem, Server oder Cloud möglichst reproduzierbar läuft. Zum Angebot gehören lokale Werkzeuge wie Docker Engine, CLI, Compose und Build ebenso wie Docker Desktop, Docker Hub und ergänzende Cloud-, Sicherheits- und KI-Funktionen. Für die meisten Nutzer beginnt der Alltag mit Docker Desktop auf Windows, macOS oder Linux oder mit Docker Engine auf einem Linux-System. Damit deckt Docker Entwicklung, Test, Verteilung und Betrieb containerisierter Anwendungen ab.

Der technische Kern ist Docker Engine. Die Engine arbeitet nach einem Client-Server-Prinzip: Ein Hintergrunddienst verwaltet Images, Container, Netzwerke und Volumes, während Befehle über die Docker CLI oder über eine API an diesen Dienst geschickt werden. Images sind unveränderliche Vorlagen, aus denen Container gestartet werden. Dockerfiles beschreiben, wie solche Images gebaut werden. Für persistente Daten gibt es Volumes und Bind-Mounts; Netzwerke verbinden Container miteinander oder mit externen Diensten. Gerade diese Trennung zwischen Anwendung, Abhängigkeiten und Host-System ist der Grund, warum Docker häufig genutzt wird, um Entwicklungs-, Test- und Produktionsumgebungen einander anzugleichen.

Docker Desktop bündelt viele dieser Bausteine in einer installierbaren Desktop-Anwendung. Die Oberfläche zeigt unter anderem Container, Images, Volumes, Builds, Kubernetes-Ressourcen und Logs. Zusätzlich stehen ein integriertes Terminal, Suche, Einstellungen und Erweiterungen zur Verfügung. Docker Desktop enthält Docker Engine, Docker CLI, Docker Build, Docker Compose, Docker Scout und einen optional aktivierbaren lokalen Kubernetes-Cluster. Auf Windows nutzt Docker Desktop je nach Einrichtung WSL 2, Hyper-V oder Docker VMM; auf Linux läuft Docker Desktop in einer eigenen virtuellen Maschine und verwendet einen separaten Docker-Kontext. Das ist wichtig, weil Container und Images einer bereits separat installierten Linux-Engine nicht automatisch mit dem Desktop-Kontext identisch sind.

Docker Compose ist für Anwendungen mit mehreren Diensten gedacht. Statt Webserver, Datenbank, Queue und weitere Komponenten einzeln zu starten, beschreibt eine Compose-Datei die beteiligten Services, Netzwerke, Volumes, Umgebungsvariablen und Abhängigkeiten. Mit einem Befehl kann der gesamte Stack gestartet oder beendet werden. Profile erlauben es, optionale Dienste nur für bestimmte Situationen wie Entwicklung oder Debugging zu aktivieren. Dadurch eignet sich Compose besonders für lokale Entwicklungsumgebungen, Integrationstests, Schulungen und kleinere bis mittlere mehrteilige Anwendungen. Für sehr große Produktionsumgebungen ersetzt Compose jedoch kein vollwertiges Cluster-Orchestrierungssystem.

Beim Erstellen von Images nutzt Docker Build heute BuildKit und die Buildx-Werkzeuge. Unterstützt werden unter anderem mehrstufige Builds, Build-Cache, externe Cache-Ziele, Secrets, SSH-Weitergabe, unterschiedliche Ausgaben sowie Multi-Plattform-Builds für mehrere Prozessorarchitekturen. Mit Bake lassen sich komplexere Build-Ziele und Gruppen deklarativ verwalten. Docker Build Cloud kann Builds auf verwaltete Cloud-Builder auslagern und einen gemeinsamen Cache bereitstellen. Solche Funktionen sind besonders nützlich, wenn Teams häufig Images bauen, mehrere Architekturen bedienen oder lokale Rechner durch aufwendige Builds nicht dauerhaft belasten sollen.

Docker Hub ist die zentrale Registry des Anbieters. Dort können Images in öffentlichen oder privaten Repositories gespeichert, versioniert und verteilt werden. Öffentliche Repositories sind im Personal-Tarif unbegrenzt, private Repositories und Pull-Limits hängen vom Plan ab. Repository-Berechtigungen lassen sich über Eigentümer, Mitarbeiter, Rollen, Teams und Zugriffstoken steuern. Webhooks können bei einem Push externe Abläufe anstoßen, und automatisierte Builds können Quellcode-Änderungen in neue Images überführen. Docker Hub enthält außerdem Docker Official Images, Verified Publisher Images und weitere vorkonfigurierte Inhalte, wodurch viele gängige Laufzeiten, Datenbanken und Werkzeuge nicht selbst von Grund auf paketiert werden müssen.

Docker Scout ergänzt die Plattform um Software-Supply-Chain-Prüfungen. Scout analysiert Container-Images, erstellt eine Software Bill of Materials – also eine Liste der enthaltenen Softwarebestandteile – und gleicht diese mit Schwachstellendaten ab. Über CLI, Docker Hub und Dashboard lassen sich bekannte CVEs untersuchen, Image-Versionen vergleichen und Maßnahmen zur Behebung ableiten. Policy-Prüfungen können Regeln zu Schwachstellen, Lizenzen, Basis-Images oder Attestierungen auswerten und auch lokal oder in CI-Pipelines laufen. Einige ältere Scout-Integrationen und Benachrichtigungsfunktionen wurden 2026 eingestellt, weshalb bestehende Automationen auf aktuelle CLI- und Pipeline-Verfahren geprüft werden sollten.

Docker Debug bietet einen zusätzlichen Werkzeugkasten für die Fehlersuche. Damit lässt sich eine Shell auch in schlanken Images oder Containern öffnen, die selbst keine Shell und kaum Diagnosewerkzeuge enthalten. Der eigentliche Image-Inhalt muss dafür nicht dauerhaft verändert werden. Für lokale Kubernetes-Tests kann Docker Desktop einen einzelnen oder mehrknotigen Cluster bereitstellen. Das hilft bei der Entwicklung und beim Testen von Kubernetes-Workloads, ersetzt aber keinen produktiven Kubernetes-Dienst. Erweiterungen können Docker Desktop außerdem um Drittanbieter-Funktionen ergänzen; sie laufen teilweise mit weitreichenden Rechten auf dem Host, weshalb nur vertrauenswürdige Erweiterungen installiert werden sollten.

Seit 2025 und 2026 hat Docker zusätzliche KI-Funktionen stärker in die Plattform eingebaut. Docker Model Runner kann große Sprachmodelle und andere KI-Modelle lokal oder über Docker Engine verwalten und über OpenAI- beziehungsweise Ollama-kompatible Schnittstellen bereitstellen. Modelle lassen sich aus Docker Hub, anderen OCI-Registries oder Hugging Face beziehen. Das MCP Toolkit verwaltet containerisierte MCP-Server für KI-Agenten in Profilen und verbindet sie mit unterstützten Clients. Docker Agent ist ein Open-Source-Framework, mit dem spezialisierte KI-Agenten mit eigenen Rollen, Modellen und Werkzeugen zu Agententeams zusammengestellt und über die Kommandozeile ausgeführt werden können. Teile des MCP-Umfelds sind weiterhin Beta oder experimentell. Gordon ist der in Docker Desktop und der CLI integrierte KI-Assistent für Docker-Aufgaben; er kann Kontext zu Containern und Images auswerten, Lösungen vorschlagen und Aktionen nach Zustimmung ausführen. Diese KI-Bausteine sind Zusatzfunktionen und sollten nicht mit der Kern-Containerisierung gleichgesetzt werden.

Docker Sandboxes ergänzen diese KI-Werkzeuge um isolierte Laufzeitumgebungen für Coding-Agenten. Jeder Sandbox läuft in einer eigenen MicroVM mit eigenem Linux-Kernel, Docker-Daemon, Dateisystem und Netzwerk. Nur ausdrücklich freigegebene Arbeitsverzeichnisse und kontrollierte Zugänge überschreiten die Grenze zum Host. Dadurch können unterstützte Coding-Agenten Pakete installieren, Container starten und Befehle ausführen, ohne automatisch Zugriff auf den Host-Docker-Daemon oder andere Host-Ressourcen zu erhalten. Die sbx-CLI kann laut Docker auch kommerziell kostenlos genutzt werden; zentrale Organisationsrichtlinien für Netzwerk, Dateisystem und MCP werden dagegen als getrenntes kostenpflichtiges Governance-Angebot bereitgestellt. Die Funktion setzt unterstützte Betriebssysteme und passende Virtualisierung voraus.

Mit Docker Hardened Images stellt Docker außerdem gehärtete, möglichst schlanke Basis-Images und verwandte Artefakte für Produktions-Workloads bereit. DHI Community ist kostenlos und unter Apache 2.0 verfügbar. Docker nennt dafür unter anderem signierte Softwarestücklisten, SLSA-Build-Provenance, kryptografische Signaturen, VEX-Daten und nicht privilegierte Standardausführung. Bezahlte DHI-Stufen ergänzen je nach Tarif unter anderem SLA-gestützte Schwachstellenbehebung, FIPS- oder STIG-ausgerichtete Varianten und Anpassungen. Diese Images können die eigene Pflege von Sicherheitsbaselines vereinfachen, ersetzen aber weiterhin nicht die Prüfung der tatsächlich eingesetzten Images, Abhängigkeiten und Laufzeitkonfiguration.

Die Plattform ist bewusst hybrid. Container können vollständig lokal oder auf eigenen Servern laufen, während Docker Hub, Build Cloud, Scout-Dienste, Testcontainers Cloud und weitere Angebote Cloud-Komponenten nutzen. Docker Offload kann das Bauen und Ausführen von Containern in eine von Docker verwaltete Cloud-Umgebung verlagern und die lokale Bedienung über Desktop, CLI und Compose beibehalten. Das kann bei VDI-Umgebungen, fehlender verschachtelter Virtualisierung oder schwacher lokaler Hardware helfen, benötigt aber eine passende kostenpflichtige Kombination aus Docker Business und Offload. Wer eine vollständig lokale oder komplett vom Anbieter unabhängige Umgebung benötigt, muss deshalb genau trennen, welche Docker-Komponenten genutzt werden und welche Cloud-Dienste bewusst ausgeschaltet oder ersetzt werden sollen.

Beim Preis ist Docker zweigeteilt. Docker Personal kostet dauerhaft 0 US-Dollar und ist für einzelne Entwickler gedacht. Die aktuelle Preisseite nennt unter anderem einen Nutzer, ein privates Docker-Hub-Repository, 100 authentifizierte Pulls pro Stunde und ein Scout-aktiviertes Repository. Docker Pro kostet offiziell 11 US-Dollar pro Nutzer und Monat bei monatlicher Zahlung beziehungsweise 9 US-Dollar pro Nutzer und Monat bei jährlicher Abrechnung. Docker Team liegt bei 16 US-Dollar monatlich oder 15 US-Dollar bei Jahreszahlung. Docker Business wird mit 24 US-Dollar pro Nutzer und Monat bei Jahreszahlung geführt; zusätzliche Produkte und Kontingente können extra kosten. Für den ToolWissen-Hauptpreis ist der dauerhaft kostenlose Personal-Einstieg maßgeblich, nicht ein rechnerisch umgerechneter Eurobetrag.

Die kostenlose Nutzung besitzt eine wichtige Lizenzgrenze. Docker Desktop ist für persönliche Nutzung, Bildung, nicht kommerzielle Open-Source-Projekte sowie kleinere Unternehmen kostenlos, wenn das Unternehmen weniger als 250 Beschäftigte hat und weniger als 10 Millionen US-Dollar Jahresumsatz erzielt. Wird mindestens eine dieser Unternehmensgrenzen überschritten, ist für die kommerzielle Nutzung von Docker Desktop ein bezahlter Pro-, Team- oder Business-Plan erforderlich. Docker Engine ist dagegen ein Open-Source-Projekt unter Apache 2.0, wenn sie unabhängig bezogen wird. Deshalb ist die pauschale Aussage „Docker ist kostenlos und Open Source“ zu ungenau: Die Rechte hängen davon ab, welche Komponente auf welchem Weg genutzt wird.

Für Teams unterscheiden sich die Tarife vor allem durch Zusammenarbeit, Verwaltung und Sicherheitssteuerung. Team ergänzt unter anderem Rollen, Teams und Audit-Funktionen. Business richtet sich stärker an größere Organisationen und bietet Funktionen wie Single Sign-on, SCIM-Benutzerbereitstellung, zentral verwaltete Desktop-Richtlinien, Image- und Registry-Zugriffssteuerung sowie gehärtete Desktop-Funktionen. Supportumfang und unterstützte Versionen unterscheiden sich ebenfalls nach Tarif. Unternehmen sollten deshalb nicht nur auf den Preis pro Nutzer achten, sondern prüfen, welche Verwaltungs-, Sicherheits- und Supportanforderungen tatsächlich bestehen und ob zusätzliche Produkte wie Offload, Build Cloud oder Testcontainers Cloud erforderlich sind.

Beim Datenschutz sollte zwischen lokal verarbeiteten Containerdaten und Docker-Cloud-Diensten unterschieden werden. Docker stellt eine Datenschutzrichtlinie, ein Data Processing Addendum und eine öffentliche Liste von Unterauftragnehmern bereit. Nach Angaben des Anbieters werden Kundendaten standardmäßig in den Vereinigten Staaten gespeichert; Docker Hub ist wegen seiner Größe ausschließlich in den USA gehostet. Einige Produkte können auf Anfrage andere Rechenzentrumsstandorte unterstützen. Die Unterauftragnehmerliste nennt unter anderem AWS, Google, Salesforce, Auth0, Snowflake und Cloudflare mit US-Hosting sowie zusätzliche KI-Unterauftragnehmer für bestimmte KI-Funktionen. Für europäische Unternehmen bedeutet das nicht automatisch, dass Docker ungeeignet ist, aber Datenflüsse, DPA, Transfergrundlagen und die konkret eingesetzten Dienste sollten vor sensibler Nutzung geprüft werden.

Docker nennt für seine Sicherheits- und Datenschutzorganisation unter anderem SOC 2 Type 2 sowie ISO 27001 und ISO 27701. Der Anbieter gibt an, Daten während der Übertragung und im Ruhezustand zu verschlüsseln und regelmäßige externe Penetrationstests durchzuführen. Solche Nachweise beschreiben Kontrollen beim Anbieter, ersetzen aber keine sichere Konfiguration im eigenen Projekt. Container sind keine vollständigen virtuellen Maschinen; falsch gesetzte Berechtigungen, ungeprüfte Images, offen erreichbare Docker-Sockets oder Erweiterungen mit hohen Rechten können erhebliche Risiken erzeugen. Für sensible oder regulierte Umgebungen sind deshalb minimal berechtigte Container, vertrauenswürdige Images, aktuelle Versionen, klare Registry-Richtlinien und gegebenenfalls zusätzliche Business-Sicherheitsfunktionen wichtig.

In der Praxis liegt die größte Stärke von Docker in reproduzierbaren Umgebungen und der großen Verbreitung des Containerformats. Entwickler können komplette Anwendungsstacks lokal starten, CI-Systeme können dieselben Images bauen und testen, und Produktionsplattformen können dieselben Artefakte weiterverwenden. Grenzen entstehen vor allem durch die Lernkurve bei Netzwerken, Volumes, Berechtigungen und Imageaufbau, durch Speicher- und Arbeitsspeicherbedarf von Docker Desktop sowie durch die Pflege alter Images, Caches und Container. Bewertungen auf großen Softwareportalen fallen überwiegend positiv aus, nennen aber regelmäßig genau diese Punkte: Konsistenz und Portabilität als Stärke, während Einsteigerfreundlichkeit, Ressourcenverbrauch und Fehlersuche kritischer gesehen werden.

Als direkte Alternativen kommen je nach Ziel unterschiedliche Werkzeuge infrage. Podman ist interessant, wenn eine daemonlose und stark Open-Source-orientierte Container-Engine gewünscht ist. Podman Desktop bietet eine Desktop-Oberfläche rund um Podman und weitere Container-Engines. Rancher Desktop ist eine weitere lokale Desktop-Alternative mit Kubernetes- und Container-Fokus. Für grafische Verwaltung vorhandener Docker- und Kubernetes-Umgebungen ist Portainer eher ein Management-Werkzeug als ein vollständiger Docker-Ersatz. Wer Container nicht selbst betreiben möchte, kann auf verwaltete Plattformen wie Kubernetes-Dienste, Cloud Run, ECS oder andere PaaS-Angebote ausweichen. Die passende Alternative hängt daher davon ab, ob lokale Entwicklung, offene Container-Laufzeit, Teamverwaltung, produktive Orchestrierung oder möglichst wenig eigener Betriebsaufwand im Vordergrund steht.