Docker Hardened Images jetzt Open Source: Was das für Admins ändert

Docker hat seinen Katalog Hardened Images (DHI) im Mai 2026 als Open Source freigegeben und kostenfrei für jeden zugänglich gemacht. Die Images sind minimal geschnürte, produktionsbereite Base-Container, gepflegt von Docker selbst – mit dem Ziel, Angriffsfläche und Supply-Chain-Risiko auf Container-Ebene zu reduzieren. Für DevOps-Teams und kleine Hosting-Anbieter ist das eine handfeste Verschiebung im Tooling.

Was Hardened Images konkret bieten

Im Kern sind DHIs ein Versuch, das wiederkehrende Problem unsicherer Base-Images abzufangen. Klassische Docker-Hub-Pulls bringen oft ganze Distributionen mit, inklusive Shells, Paketmanager und ungenutzten Bibliotheken. Hardened Images schrumpfen das auf das Minimum, das die jeweilige Runtime tatsächlich braucht, kommen mit SBOM und werden zentral vom Docker-Team gegen aktuelle CVEs gepflegt. Damit reduziert sich nicht nur die Angriffsfläche pro Container, sondern auch der Patch-Aufwand für die nutzende Pipeline – ein Punkt, der gerade im Mittelstand mit kleiner Plattform-Crew schwer wiegt.

Vorher war der Hardened-Images-Katalog Teil eines kostenpflichtigen Business-Tiers. Mit der Öffnung gibt Docker ein Tool ab, das in vielen größeren Setups bereits Standard war und für kleinere Teams bislang aus Kostengründen unerreichbar. Parallel kündigte Docker ein günstigeres Tier des erweiterten Katalogs für kleine Unternehmen an.

Was Plattform-Teams jetzt tun sollten

1. Bestehende Pipelines auf FROM-Statements durchsuchen: wo lassen sich Standard-Distributions-Bases gegen DHIs tauschen?
2. SBOM-Output der neuen Bases in das eigene Vulnerability-Scanning übernehmen (Trivy, Grype, Snyk).
3. Pilot-Service auswählen, Build- und Runtime-Auswirkungen messen (Size, Cold-Start, Cron-/Init-Skripte).
4. Für Hosting-Provider mit Multi-Tenant-Containern: DHIs als Default für eigene Customer-Templates vorschlagen.

Die Öffnung ist Teil eines breiteren Trends in der Container-Welt: weniger Bloat, mehr Signaturen, mehr Transparenz auf SBOM-Ebene. Wer noch klassische FROM debian:stable-Bases fährt, hat eine handfeste Begründung, das im nächsten Sprint zu überarbeiten.

Mehr aus dem Container-Umfeld: News aus der Kategorie Docker

Quelle: BleepingComputer – Docker Hardened Images now open source and available for free