Kurzfassung
Die Control Plane ist die Ebene eines verteilten Systems, die Entscheidungen trifft, Konfiguration vorhält und der Data Plane sagt, was zu tun ist. Die Data Plane setzt diese Anweisungen um – sie bewegt Pakete, führt Workloads aus oder wendet Policies an.
Was ist eine Control Plane?
Nahezu jede moderne Infrastruktur trennt Verantwortlichkeiten in zwei Ebenen. Die Control Plane hält den gewünschten Zustand – welche Workloads laufen sollen, welche Routen existieren, welche Clients wo zugreifen dürfen – und gleicht ihn fortlaufend mit der Realität ab. In der Data Plane laufen die tatsächlichen Daten und die eigentliche Verarbeitung, gesteuert durch die Vorgaben der Control Plane.
In Kubernetes besteht die Control Plane aus API-Server, Scheduler, Controller-Manager und etcd. Workloads laufen auf Data-Plane-Knoten (kubelet und Container). In einem Service Mesh konfiguriert die Control Plane die Sidecar-Proxies, die zusammen die Data Plane bilden. In einem Mesh-VPN wie NetBird hält die Management Plane Identität, Policy und Routen vor; die WireGuard-Tunnel zwischen Clients sind die Data Plane.
Da die Control Plane zentral und konzentriert ist, ist sie hinsichtlich Verfügbarkeit und Manipulation kritischer als die Data Plane. Viele Plattformen erlauben Self-Hosting der Control Plane oder beschreiben, wie der Schaden bei Kompromittierung begrenzt bleibt – wichtig für Souveränität, Compliance und Notfallplanung.
Warum ist die Control Plane relevant?
- Betriebliche Klarheit: Trennt sauber, „was passieren soll" und „wie es passiert"
- Skalierbarkeit: Die Data Plane lässt sich horizontal skalieren, ohne die Control Plane anzufassen
- Sicherheitsgrenze: Zentrale Stelle für Identität, Policy und Audit
- Souveränität: Self-hosted Control Planes halten Policy-Entscheidungen unter eigener Rechtsordnung
Verwandte Begriffe
- Mesh VPN: Control Plane verwaltet Identität und Policy, Data Plane sind die Peer-Tunnel
- Zero Trust: Entscheidungen liegen in der Control Plane, durchgesetzt in der Data Plane
- Self-Hosting: Typisches Muster ist das Self-Hosting der Control Plane für Souveränität
- etcd: Verteilter Key-Value-Store, der viele Control Planes (z. B. Kubernetes) trägt
- CRD: Mechanismus zur Erweiterung einer Kubernetes-Control-Plane um eigene Ressourcen