Produktive KI auf AWS: Amazon Bedrock und AgentCore in einem privaten Setup
Auf AWS haben sich die Bausteine für einen produktiven Agenten in den letzten zwölf Monaten stärker verändert als in den drei Jahren davor: Bedrock Agents wurde zu Agents Classic, AgentCore übernahm als Agenten-Plattform, und Bedrock hat jetzt vier Inferenz-Tiers. Das hier ist das Setup, das ich heute für einen Agenten bauen würde, der ein Security-Review bestehen muss: IAM nach Least Privilege, PrivateLink statt Internet, eine verwaltete Knowledge Base, Guardrails auf Ein- und Ausgabe, Evaluationen in der Pipeline und jede Modellanfrage protokolliert. Alle Fakten verweisen auf die AWS-Dokumentation.
11 Min. Lesezeit
1. Wann AWS das richtige Zuhause ist, und der Stand von Bedrock Ende 2026
AWS ist die naheliegende Wahl, wenn Ihre Daten und Workloads schon dort leben: S3-Buckets mit den Dokumenten, Aurora oder DynamoDB mit den Geschäftsdaten, IAM und Organizations als Sicherheitsrückgrat. Ein Agent, der neben diesen Daten läuft, braucht weniger Integrationen und erbt Kontrollen, die Sie schon auditieren.
Die Produktlandschaft hat sich bewegt. Amazon Bedrock ist die Modell- und Inferenzschicht, und Amazon Bedrock AgentCore ist die Plattform, um Agenten sicher und skaliert zu bauen, bereitzustellen und zu betreiben, mit beliebigem Framework und Foundation Model. Im Bedrock-Benutzerhandbuch steht inzwischen, dass man sich für Amazon Bedrock Agents, von AWS jetzt Agents Classic genannt, nicht mehr anmelden kann; Bestandskunden dürfen weitermachen, neue codebasierte Agenten verweist AWS auf AgentCore. Mehrere AgentCore-Teile wurden 2026 allgemein verfügbar, etwa Evaluations am 31. März 2026 und der verwaltete Agent Harness am 17. Juni 2026.
Für Architekturentscheide nutze ich die AWS Well-Architected Generative AI Lens als Checkliste. Sie deckt dasselbe ab wie dieser Artikel, vom Datenschutz bis zu den Kosten, und eignet sich gut als Unterlage für ein Security- oder Architektur-Board.
2. Accounts und IAM: Least Privilege für Menschen, Apps und Agenten
Trennen Sie Nicht-Produktion und Produktion in eigene AWS-Accounts unter AWS Organizations. Modellzugriff, Quoten, Guardrails und Logs unterscheiden sich dann pro Account, und ein Experiment kann nicht versehentlich Produktionsdaten berühren.
Geben Sie jeder Komponente eine eigene IAM-Rolle mit engem Zuschnitt. Die Anwendungsrolle darf ein oder zwei bestimmte Modelle aufrufen, die Knowledge-Base-Rolle einen S3-Präfix lesen, und nichts bekommt bedrock:* auf alle Ressourcen. Für die Menschen und Systeme, in deren Auftrag Ihr Agent handelt, verwaltet AgentCore Identity Identität, Zugriff und Authentifizierung des Agenten und arbeitet mit bestehenden Identity Providern wie Amazon Cognito, Okta, Microsoft Entra ID oder Auth0, Sie migrieren also keine Nutzer und bauen kein Login neu.
Die einfachste wirksame Kontrolle ist eine explizite Allowlist von Modell-IDs in IAM. Sie verhindert, dass jemand Produktion mit einer einzigen Zeile auf ein teures Modell umstellt, und gibt dem Security-Team einen Ort, um die genutzten Modelle zu prüfen.
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "InvokeOnlyApprovedModels",
"Effect": "Allow",
"Action": ["bedrock:InvokeModel", "bedrock:InvokeModelWithResponseStream"],
"Resource": [
"arn:aws:bedrock:eu-central-1::foundation-model/<approved-model-id>"
]
}
]
}Tipp aus der Praxis
Viele aktuelle Modelle werden über Inference Profiles für Cross-Region Inference aufgerufen. Prüfen Sie den genauen Ressourcen-ARN in der Modelldokumentation, bevor Sie die Policy schreiben, sonst scheitert der Aufruf mit AccessDenied.
3. Privates Netzwerk: PrivateLink-Endpoints und AgentCore im VPC-Modus
Mit AWS PrivateLink greifen Sie auf Amazon Bedrock zu, als läge es in Ihrer VPC, ohne Internet Gateway, NAT, VPN oder Direct Connect. Die Bedrock-Dokumentation nennt eigene Interface-Endpoints pro API-Familie: bedrock für die Control Plane, bedrock-runtime für Inferenz, bedrock-agent und bedrock-agent-runtime für die Agenten- und Knowledge-Base-APIs, bedrock-mantle sowie FIPS-Varianten. Legen Sie die an, die Ihre Anwendung wirklich aufruft, aktivieren Sie Private DNS und hängen Sie eine Endpoint Policy an, die nur Ihre Rollen zulässt.
Auch der Agent selbst gehört ins eigene Netzwerk. AgentCore Runtime und die eingebauten Tools wie Code Interpreter laufen im VPC-Modus: Sie geben Subnetze und eine Security Group mit, und sie erreichen Ihre Datenbanken und internen APIs privat. Ausgehender Verkehr folgt dann Ihrem VPC-Routing, und ein zentraler Egress-Filter entscheidet, welche externen Hosts ein Agent erreichen darf.
Hier fällt auch die Entscheidung zur Datenresidenz. Wählen Sie die Region bewusst und prüfen Sie, ob ein Modell nur über Cross-Region Inference angeboten wird, bevor Sie einem Kunden versprechen, dass Daten eine Region nie verlassen.
# Interface endpoint for inference (repeat for bedrock-agent-runtime etc.)
aws ec2 create-vpc-endpoint \
--vpc-id vpc-0123456789abcdef0 \
--vpc-endpoint-type Interface \
--service-name com.amazonaws.eu-central-1.bedrock-runtime \
--subnet-ids subnet-0123456789abcdef0 subnet-0123456789abcdef1 \
--security-group-ids sg-0123456789abcdef0 \
--private-dns-enabled
# AgentCore Runtime in VPC mode (network part; add your agent artifact and role)
aws bedrock-agentcore-control create-agent-runtime \
--agent-runtime-name "MyAgentRuntime" \
--network-configuration '{
"networkMode": "VPC",
"networkModeConfig": {
"subnets": ["subnet-0123456789abcdef0", "subnet-0123456789abcdef1"],
"securityGroups": ["sg-0123456789abcdef0"]
}
}'4. Ihre Daten: zuerst eine verwaltete Knowledge Base, dann eigene RAG-Pipelines
Amazon Bedrock Knowledge Bases bietet zwei Typen. Bei einer verwalteten Knowledge Base übernimmt Bedrock Ingestion, Indexierung, Speicherung und Abruf, inklusive multimodaler Daten, automatisch skalierendem Speicher und agentischem Abruf für mehrstufige Fragen; AWS empfiehlt diesen Typ für Trefferqualität und einfachen Betrieb. Bei einer kundenverwalteten Knowledge Base betreiben Sie Ihren eigenen Vektorspeicher wie Amazon OpenSearch Serverless, Amazon Aurora oder Amazon Neptune und steuern Parsing, Indexierung und Speicherung selbst.
Für ein erstes Release nehme ich standardmässig den verwalteten Typ. Die meisten RAG-Probleme, die ich sehe, liegen nicht an der Vektordatenbank, sondern an veralteten Dokumenten, fehlenden Berechtigungen auf Quellen und Chunks, die eine Tabelle halbieren. Stecken Sie die gesparte Zeit in die Daten: ein klarer Owner pro Quelle, ein Sync-Rhythmus und ein Testset mit Fragen, bei denen Sie wissen, welches Dokument die Antwort enthält.
Wechseln Sie zu einem kundenverwalteten Speicher, wenn es einen konkreten Grund gibt: ein bestehender OpenSearch-Cluster mit Ihrem Such-Tuning, ein Graph-Anwendungsfall für Neptune oder regulatorische Vorgaben, wo und wie der Index liegt.
5. Modelle und Kapazität: Standard, Flex, Priority, Reserved oder Provisioned
Bedrock und AgentCore bieten eine breite Modellauswahl, darunter Claude von Anthropic, Amazon Nova, Meta Llama und Mistral, und AgentCore funktioniert auch mit Modellen von OpenAI und Google Gemini. Wählen Sie pro Schritt: ein kleines Modell für Klassifikation und Extraktion, ein stärkeres, wo Denkleistung zählt, und halten Sie die Auswahl hinter der IAM-Allowlist aus Schritt 2.
Für die Kapazität bietet Bedrock jetzt vier Service-Tiers. Standard ist der Normalfall für den Alltag. Flex gibt einen Preisnachlass für Workloads, die längere Verarbeitungszeiten vertragen, etwa Evaluationen, Zusammenfassungen oder Agenten-Jobs im Hintergrund. Priority liefert die schnellsten Antworten gegen Aufpreis und wird pro Anfrage über den Parameter service_tier gesetzt. Reserved reserviert Tokens-pro-Minute-Kapazität für einen oder drei Monate, zielt auf 99,5 % Verfügbarkeit, läuft bei Mehrbedarf auf Standard über und beginnt bei 100'000 Input- und 10'000 Output-Tokens pro Minute.
Provisioned Throughput mit Model Units ist ein eigener Mechanismus, vor allem für Custom Models, ohne Bindung oder mit einem bzw. sechs Monaten Laufzeit. Meine Regel: mit Standard starten, Batch- und Evaluations-Jobs sofort auf Flex legen und Kapazität erst nach einigen Wochen echter Verkehrsdaten reservieren.
Tipp aus der Praxis
Bei der Dimensionierung von Reserved-Kapazität weist AWS darauf hin, dass der Tokens-pro-Minute-Verbrauch bei Prompt Caching auch Cache-Write-Input-Tokens enthält. Summieren Sie beide Metriken in CloudWatch, sonst ist die Reservierung zu klein.
6. Der Agent auf AgentCore: Runtime, Gateway, Memory und Tools
AgentCore ist modular, Sie nutzen nur, was Sie brauchen. Die Runtime ist eine serverlose Umgebung, um Agenten und Tools bereitzustellen und zu skalieren, mit Session-Isolation, eingebauter Identität und Unterstützung für lang laufende, asynchrone Arbeit. Der verwaltete Harness definiert einen Agenten per Konfiguration, mit Modell, Systemprompt und Tools inline, und führt jede Session in einer isolierten microVM aus. Gateway macht Ihre APIs, Lambda-Funktionen und bestehenden Dienste zu MCP-kompatiblen Tools und bindet vorhandene MCP-Server an. Memory liefert Kurzzeitgedächtnis für eine Konversation und Langzeitgedächtnis über Sessions hinweg. Code Interpreter und Browser sind abgeschottete Tools, und Observability zeigt jeden Schritt im Ausführungspfad eines Agenten.
Das Gateway würde ich am sorgfältigsten entwerfen. Jedes freigegebene Tool ist eine Aktion, die der Agent mit echten Rechten ausführen kann. Stellen Sie schmale, zweckgebundene Tools bereit, etwa eine Bestellung per ID nachschlagen, statt einer generischen Datenbankabfrage, und geben Sie dem Backend des Tools eine eigene Rolle nach Least Privilege.
Die Framework-Wahl liegt bei Ihnen: AgentCore arbeitet mit Open-Source-Frameworks wie Strands Agents, LangGraph, LangChain oder LlamaIndex. Nehmen Sie das, das Ihr Team um zwei Uhr nachts debuggen kann, nicht das mit den meisten Sternen.
7. Guardrails: Prompt-Angriffe, personenbezogene Daten und Grounding-Prüfung
Amazon Bedrock Guardrails bündelt mehrere Schutzmechanismen in einem Guardrail, den Sie an Modellaufrufe hängen oder eigenständig anwenden. Inhaltsfilter decken Hass, Beleidigungen, sexuelle Inhalte, Gewalt, Fehlverhalten und Prompt-Angriffe ab, jeweils mit eigener Stärke. Verbotene Themen blockieren Inhalte, über die Ihre Anwendung nie sprechen darf. Filter für sensible Informationen blockieren oder maskieren personenbezogene Daten wie Namen, Adressen oder Ausweisnummern und unterstützen eigene reguläre Ausdrücke. Contextual Grounding Checks markieren Antworten, die nicht durch die abgerufene Quelle gedeckt sind oder die Frage nicht beantworten, der günstigste Halluzinations-Check für eine RAG-App. Automated Reasoning Checks prüfen Antworten gegen logische Regeln, die Sie definieren.
Es gibt zwei Tiers. Der Standard-Tier erweitert die Erkennung, etwa auf schädliche Inhalte in Code-Kommentaren oder Variablennamen, und setzt Cross-Region Inference voraus; der Classic-Tier nicht. Entscheiden Sie das bewusst, wenn die Datenresidenz streng ist.
Bauen Sie den Guardrail als Code, versionieren Sie ihn und geben Sie ihm ein eigenes Testset mit Angriffs-Prompts. Das Beispiel unten blockiert Prompt-Angriffe in der Eingabe, maskiert E-Mail-Adressen und Telefonnummern und prüft Grounding und Relevanz der Antworten.
aws bedrock create-guardrail \
--name support-agent-guardrail \
--blocked-input-messaging "Sorry, I can't help with that request." \
--blocked-outputs-messaging "Sorry, I can't answer that." \
--content-policy-config '{
"filtersConfig": [
{"type": "PROMPT_ATTACK", "inputStrength": "HIGH", "outputStrength": "NONE"},
{"type": "MISCONDUCT", "inputStrength": "HIGH", "outputStrength": "HIGH"}
]
}' \
--sensitive-information-policy-config '{
"piiEntitiesConfig": [
{"type": "EMAIL", "action": "ANONYMIZE"},
{"type": "PHONE", "action": "ANONYMIZE"}
]
}' \
--contextual-grounding-policy-config '{
"filtersConfig": [
{"type": "GROUNDING", "threshold": 0.8},
{"type": "RELEVANCE", "threshold": 0.7}
]
}'Tipp aus der Praxis
Der Filter für Prompt-Angriffe wirkt auf die Eingabe; setzen Sie die Output-Stärke wie im Beispiel auf NONE. Kalibrieren Sie den Grounding-Schwellenwert am eigenen Testset: zu hoch blockiert gute Antworten, zu tief lässt erfundene durch.
8. Evaluieren, jede Anfrage protokollieren, Kosten beobachten, dann die Clouds vergleichen
AgentCore Evaluations ist seit dem 31. März 2026 allgemein verfügbar. Es bewertet Agenten laufend im Produktionsverkehr und in Test-Workflows, mit 13 eingebauten Evaluatoren für Antwortqualität, Sicherheit, Aufgabenerfüllung und Tool-Nutzung, dazu Ground Truth wie Referenzantworten, Verhaltens-Assertions und erwartete Tool-Abfolgen. Nutzen Sie es als Regressions-Gate in Ihrer CI/CD-Pipeline: Eine Änderung an Anweisungen, Tools oder Modell darf die Werte des letzten akzeptierten Releases nicht senken.
Für Audit und Fehlersuche schalten Sie das Model Invocation Logging ein. Es sammelt Aufruf-Logs mit Modell-Ein- und -Ausgaben für alle Bedrock-Aufrufe eines Accounts und einer Region, in CloudWatch Logs, S3 oder beides. Behandeln Sie diese Logs als sensible Daten: Verschlüsselung, Aufbewahrung und Zugriff so streng wie für die Quelldokumente. AgentCore Observability ergänzt die Sicht auf Agentenebene, mit Traces jedes Schritts, auf Basis von CloudWatch.
Die häufigsten Fehler, die ich sehe: Wildcard-IAM auf bedrock:*, Agenten mit Internetzugang ohne Filter, ein nie mit Angriffs-Prompts getesteter Guardrail, Invocation-Logs, die alle lesen können, und Reserved-Kapazität, gekauft bevor jemand den Verkehr gemessen hat. Dasselbe Setup auf Microsoft Azure steht in /blog/azure-ai-foundry, auf Google Cloud in /blog/google-vertex-ai.
Fazit
Auf AWS lautet das Rezept für Produktion: IAM nach Least Privilege, PrivateLink und VPC-Modus für Privatsphäre, eine verwaltete Knowledge Base für Ihre Daten, Guardrails als Code und AgentCore Evaluations als Tor, durch das jede Änderung muss.
Echte Projekte dazu
Selbst ausprobieren
Quellen und offizielle Leitfäden
- Amazon Bedrock AgentCore Developer Guide: Overview
- Amazon Bedrock User Guide: Agents Classic availability
- AWS What's New: AgentCore Evaluations is generally available (31 March 2026)
- AWS What's New: AgentCore harness is generally available (17 June 2026)
- Amazon Bedrock User Guide: Interface VPC endpoints (AWS PrivateLink)
- AgentCore Developer Guide: Configure AgentCore Runtime and tools for VPC
- Amazon Bedrock User Guide: Knowledge Bases
- Amazon Bedrock User Guide: Service tiers
- Amazon Bedrock User Guide: Provisioned Throughput
- Amazon Bedrock User Guide: Guardrails
- AWS CLI Command Reference: create-guardrail
- Amazon Bedrock User Guide: Model invocation logging
- AWS Well-Architected: Generative AI Lens
Weitere Artikel
- 3'025 Pull Requests in zehn Monaten: ein KI-gestützter Delivery-Prozess von innen
- Der EU AI Act für den Mittelstand: was für Sie gilt, und ab wann
- FinOps für KI-Kosten: Tokens, Caching, Routing und Budgets, die halten
- Ein Restaurant-Netzwerk in KI-Antworten sichtbar machen: ein GEO-Projekt Schritt für Schritt
- Wie diese Website gebaut ist: statisch, wo es geht, streamend, wo es muss
- Kubernetes-Kosten auf EKS und GKE: dasselbe Playbook, andere Hebel
- Eine Landing Zone für den Mittelstand, in Terraform oder Bicep: die Teile, die zählen
- Das Playbook für Legacy-Migrationen: Wellen, Parallelbetrieb und identische Zeilenzahlen und Prüfsummen
- MCP-Sicherheit im Detail: KI-Assistenten ins Produkt lassen, ohne die Türen zu öffnen
- Monitoring auf Geschäftsergebnisse: grüne Dashboards, leere Kasse
- KI-Agenten am Telefon: die Architektur, und die Stolperfallen, die keine Demo zeigt
- Restore-Tests: Ein Backup, das nie wiederhergestellt wurde, ist nur eine Hoffnung
- KI-Antworten auf Azure Static Web Apps streamen: der eine Header, der alles zurückhielt
- Einen KI-Assistenten für WhatsApp bauen, von Anfang bis Ende: was es über die Demo hinaus braucht
- Air-gapped-Systeme: kritische Software ganz ohne Internet betreiben
- Produktive KI auf Microsoft Foundry: ein privates Referenz-Setup für Agenten
- /goal, /loop oder Routines: Hören Sie auf, Ihren Coding-Agenten zu babysitten
- Claudes neue Pläne: Max, Ultra und was sie für Teams bedeuten
- OpenAI Codex Ende 2026: Goal Mode, Dots und wie man es absichert
- GitHub Copilot, Claude Code oder Codex? So würde ich für ein Unternehmen entscheiden
- GEO-Grundlagen: So erscheinen Sie in KI-Antworten
- Produktive KI auf Google Cloud: von Vertex AI zur Gemini Enterprise Agent Platform
- Lokale LLMs im Air-Gap-Netz: KI für Ihre sensibelsten Daten
- Ich will ein lokales LLM betreiben: Welchen Server soll ich kaufen?
- MiniMax M3: ein offenes Spitzenmodell zum Selbstbetreiben?
- Prompt-Research im grossen Stil mit einem offenen Modell
- SEO und GEO zusammen: ein praktisches Audit in 6 Schritten
- Kubernetes richtig dimensionieren: das Playbook, mit dem ein Cluster von 7 auf 4 Nodes kam
- Private KI für sensible Daten: ein lokales LLM-Setup, das durch die Sicherheitsprüfung kommt
- Vom KI-Prototyp zur Produktion: die acht Schichten, die ich ergänze, in dieser Reihenfolge