Docker vs Podman: Welches Container-Tool du nehmen solltest

Ein Container ist eine Art, Software zusammen mit allem zu verpacken, was sie zum Laufen braucht. Egal ob auf dem Laptop einer Entwicklerin, auf einem Testserver oder im echten Betrieb: Das Programm verhält sich überall gleich. Beim Bauen und Starten solcher Container dominieren zwei Werkzeuge: Docker und Podman. Die meisten greifen aus Gewohnheit zu Docker und fragen sich dann, ob sich der Wechsel zu Podman lohnt. Die ehrliche Antwort in jedem Vergleich von Docker vs Podman lautet: Beide starten exakt dieselben Container, deshalb geht es bei der Wahl fast nie um Funktionen. Es geht um eine einzige Designentscheidung – und darum, was diese Entscheidung für deine Sicherheit und dein Budget bedeutet.

Der eine Unterschied, auf den es wirklich ankommt: Wer hat das Sagen

Docker betreibt ein dauerhaft laufendes Hintergrundprogramm, immer an, das jeden Container auf der Maschine besitzt. Dieses Hintergrundprogramm nennt man Daemon. Deine Befehle reden mit dem Daemon, und er erledigt die eigentliche Arbeit. Standardmäßig läuft er mit vollen Administratorrechten – unter Linux heißt dieses allmächtige Konto root, das Konto, das alles auf dem System anfassen darf. Diese zentrale Verwaltung ist bequem, weil eine einzige Stelle alles überwacht. Sie ist aber auch ein einziges, mächtiges Angriffsziel. Wer es bis zu Dockers Hintergrund-Daemon schafft, erreicht die ganze Maschine mit Administratorrechten – und genau deshalb sind schon einige Teams auf die Nase gefallen, weil sie einem Container zu viel Zugriff darauf gegeben haben.

Diese zentrale Verwaltung hat eine zweite, leisere Folge. Weil ein einziges Programm alles besitzt, trifft ein Neustart sofort jeden Container auf der Maschine – und stürzt der Daemon ab, kann er die ganze Sammlung mit in den Abgrund reißen. Bequem, solange alles glattläuft; fragil an einem schlechten Tag.

Podman hat keinen solchen Daemon. Es gibt kein dauerhaft laufendes Programm in der Mitte. Diese Bauweise nennt sich daemonlos. Jeder Container läuft direkt unter deinem eigenen, ganz normalen Benutzerkonto, ohne Sonderrechte – einfach als ein weiteres Programm, das du gestartet hast. Die Container sind unabhängig voneinander, ein Problem mit dem einen erreicht die anderen also nicht. Und wenn in einem Container etwas schiefgeht, bleibt es in deinem eingeschränkten Konto gefangen, statt die Schlüssel zur ganzen Maschine in der Hand zu halten. Diesen Betrieb ohne Sonderrechte nennt die Szene rootless.

Das ist die ganze Geschichte unter dem Fachjargon. Die echte Trennlinie verläuft nicht zwischen dem, was die beiden Tools können, sondern zwischen dem, was du bekommst, ohne darüber nachdenken zu müssen. Docker lässt sich so absichern, dass es ohne diese Administratorrechte läuft, und Podman lässt sich Docker-ähnlicher machen – aber der Ausgangspunkt ist vertauscht. Bei Podman ist die sichere Einrichtung die, die du frei Haus bekommst. Bei Docker musst du wissen, dass du danach fragen musst, und die meisten Teams kommen nie dazu.

Warum die Voreinstellungen entscheiden

Einstellungen, die ab Werk aktiviert sind, werden zu der Art, wie ein Tool nahezu von allen betrieben wird. Eine Sicherheitsfunktion, über die man erst lesen, die man verstehen und einschalten muss, schützt weit weniger Menschen als eine, die einfach schon da ist. Das ist der haltbare Gedanke, den man aus der ganzen Debatte mitnehmen sollte: Bei Podman ist die vorsichtige Wahl die Voreinstellung, bei Docker ist die bequeme Wahl die Voreinstellung. Fast alles andere folgt daraus.

Für jemanden, der fremden Code laufen lässt, oder für ein Team, das sich einen Build-Server teilt, ist diese Voreinstellung bares Geld in vermiedenen Vorfällen wert. Ein Einbruch, der in deinem eingeschränkten Konto landet, ist ein eingegrenztes Schlamassel. Ein Einbruch, der mit Administratorrechten über die ganze Maschine landet, ist ein schlechter Tag für die ganze Firma.

Wo Docker seinen Platz noch verdient

Nichts davon macht Docker zur falschen Wahl. Dockers eigentliche Stärke ist nicht technisch, sie ist Schwerkraft. Docker war zuerst da und ist überall. Nahezu jede Anleitung, jeder Hosting-Dienst, jedes fertige Software-Paket und jede Antwort, die du online findest, geht davon aus, dass du Docker benutzt. Wenn dein Ziel ist, etwas auszuliefern, statt zu studieren, wie Container funktionieren, ist diese Vertrautheit echter Wert. Du stößt auf weniger Überraschungen, und wenn doch, hat jemand die Lösung längst aufgeschrieben.

Docker verkauft außerdem eine Desktop-App, die eine echte Unbequemlichkeit glättet: Mac- und Windows-Rechner können Linux-Container nicht direkt ausführen. Die App richtet darum still und leise eine kleine, versteckte Linux-Umgebung ein und reicht dir ein aufgeräumtes Fenster, um sie zu verwalten. Für eine Entwicklerin, die in zehn Minuten lauffähige Container will, ist dieser Feinschliff etwas wert – und er bleibt auf Nicht-Linux-Laptops eine Spur runder als die kostenlosen Alternativen.

Die Kostenfrage

Hier kommt das Budget ins Spiel. Der Kern von Docker ist kostenlos, und auf einem Linux-Server kannst du ihn für umsonst betreiben. Bezahlt wird die Desktop-App, und die Rechnung wächst mit der Größe der Firma. Dockers eigene Lizenzbedingungen behalten die kostenlose Desktop-App Einzelpersonen und kleineren Unternehmen vor. Sobald eine Organisation ein paar hundert Mitarbeitende oder rund zehn Millionen Dollar Jahresumsatz überschreitet, braucht jede Entwicklerin, die die Desktop-App nutzt, eine bezahlte Lizenz. Für ein Team von vierzig Leuten ist das ein wiederkehrender Posten, der mit jeder Einstellung weiterwächst. Der genaue Monatspreis pro Lizenz verschiebt sich über die Zeit und zwischen den Tarifen, deshalb zählt die Zahl weniger als die Form: Es ist eine Gebühr pro Kopf, die mit der Belegschaft steigt.

Podmans Gegenstück, die Desktop-App, ist kostenlos und offen, ohne Kopfgrenze und ohne Umsatzschwelle, die man im Auge behalten müsste. Für eine Firma, die auf die Kosten achtet, ist kostenlos ohne Kleingedrucktes ein kurzes Gespräch. Der Tausch dafür ist der oben erwähnte Feinschliff und auf Mac und Windows ein bisschen mehr Aufmerksamkeit beim Einrichten.

In dieser Kostenzeile steckt ein langlebigerer Punkt. Dockers Preisbedingungen haben sich schon einmal geändert, und ein Tool, dessen Preis sich ändern kann, ist eine Kostenquelle, die du nicht ganz unter Kontrolle hast. Was viele Teams zur kostenlosen Variante gezogen hat, war nicht die Ersparnis auf der Rechnung dieses Jahres, sondern die Beruhigung, im nächsten Jahr nicht von der Preisentscheidung eines anderen abzuhängen. Wenn eine kostenlose Alternative ohne Bedingungen fast denselben Job erledigt, ist diese Unabhängigkeit für sich genommen schon ein Grund, sie zu wählen – getrennt vom Geld, das du heute sparst.

Was in beiden Fällen gleich bleibt

Bevor du dich über die Wahl quälst, hilft es zu wissen, wie viel die beiden Tools teilen, denn das senkt den Einsatz erheblich. Beide bauen Container aus derselben Art von Rezept, einem sogenannten Image: eine eingefrorene Momentaufnahme einer App samt allem drumherum, was sie braucht. Ein Image, das mit dem einen Tool gebaut wurde, läuft tadellos unter dem anderen. Die alltäglichen Befehle sind absichtlich fast deckungsgleich, nah genug, dass die Fingergewohnheit direkt mitwandert.

Sich zwischen den beiden zu entscheiden, ist also keine Ehe. Du kannst beide auf derselben Maschine betreiben und ein Projekt mit sehr wenig Reibung vom einen zum anderen bewegen. Das ist gut im Hinterkopf zu behalten, wenn sich die Wahl schwer anfühlt. Das tut sie selten – und genau deshalb fühlten sich so viele Teams frei, Podman auszuprobieren, kaum dass Dockers Preisgestaltung ihnen einen Grund zum Hinschauen gab.

Welches solltest du also nehmen

Es gibt keinen einzelnen Sieger, aber die Lage weist meist klar in eine Richtung.

Wenn du allein unter Linux arbeitest, ist Podman die leichte Wahl. Du bekommst die ab Werk sichere Einrichtung, nichts läuft dauerhaft im Hintergrund, das du beaufsichtigen müsstest, und keine Lizenz, die du im Blick behalten musst. Die Befehle liegen nah genug an denen von Docker, dass sich die Gewohnheit an einem Nachmittag überträgt. Der einzige Grund, bei Docker zu bleiben, ist ein bestimmtes Tool, auf das du angewiesen bist und das sich mit nichts anderem verträgt.

Wenn du an einem Mac- oder Windows-Laptop sitzt, ist Dockers Desktop-App noch immer der rundeste Weg – und als Einzelperson fällst du ohnehin unter den kostenlosen Tarif. Podmans Desktop-App ist eine völlig brauchbare Alternative, falls du lieber gar nicht von Docker abhängen möchtest.

Wenn ihr ein kleines Team mit geteilten Build-Maschinen seid, setzt auf Podman dort, wo es zählt – auf den Servern, wo sein eingegrenztes Verhalten ab Werk eine echte Sicherheitslücke schließt – und lasst die Leute auf ihren eigenen Laptops nutzen, was ihnen gefällt. Die Container sind austauschbar, die Wahl des Laptop-Tools spielt also selten eine Rolle.

Wenn ihr ein größeres Unternehmen seid, besonders auf einem Red-Hat-System, ist Podman der Weg des geringsten Widerstands. Dort ist es die unterstützte, eingebaute Option, es passt zum Rest der Plattform, und es nimmt die Lizenzfrage vollständig vom Tisch.

Häufig gestellte Fragen

Kann ich von Docker zu Podman wechseln, ohne alles neu zu lernen?

Größtenteils ja. Die Befehle sind absichtlich fast identisch, und viele wechseln kaum mit einem Schluckauf. Reibung taucht bei anderen Tools auf, die ausgerechnet Dockers Hintergrund-Daemon erwarten, und bei der gelegentlichen Einrichtung, in der Podmans strengere Voreinstellungen dich überraschen. Fürs alltägliche Bauen und Starten behandle es als einen Tausch, den du an einem Nachmittag machen kannst. Für eine komplizierte bestehende Einrichtung plane etwas Zeit zum Anpassen und Testen ein.

Ist eines von beiden schneller als das andere?

Für die Software, die im Container läuft, ist der Unterschied zu klein, um ihn zu bemerken. Beide reichen die eigentliche Arbeit an dieselbe darunterliegende Maschinerie in Linux weiter, ein laufendes Programm leistet also in beiden Fällen dasselbe. Podman kann leichter sein, wenn nichts passiert, weil kein dauerhaftes Programm wartend im Speicher sitzt – das hilft am meisten auf kleinen Maschinen und bei kurzen, häufigen Aufgaben, weniger bei stetiger, schwerer Last.

Muss ich für Docker bezahlen?

Nur in einer einzigen Situation. Docker auf einem Linux-Server zu betreiben ist für alle kostenlos. Der bezahlte Teil ist die Desktop-App auf Mac und Windows, und das auch erst, sobald deine Firma die Größenschwelle überschreitet, die Docker festlegt. Wenn du diese Frage komplett umgehen willst, erledigt Podmans Desktop-App denselben Job kostenlos auf jeder Plattform – genau deshalb wechselte eine Welle von Firmen hinüber, als sich die Preisregeln änderten.

Funktionieren meine bestehenden Konfigurationsdateien weiter?

In der Regel ja. Wenn du deine Apps im verbreiteten Mehr-Container-Dateiformat beschreibst, das Docker populär gemacht hat, kann Podman dieselben Dateien lesen. Einfache Aufbauten, etwa eine Website plus ihre Datenbank, funktionieren meist ohne Änderungen. Aufwendigere können kleine Anpassungen brauchen, der sichere Zug ist also: Kopiere deinen Aufbau hinüber, lass ihn laufen, und repariere die paar Dinge, die meckern, statt einen fehlerfreien ersten Versuch vorauszusetzen.

---

Foto: Lukas Blazek / Pexels