Gemini hinter dem Luftspalt: Google Distributed Cloud air-gapped gegen offene Gewichte

/01Was Google am 21. Oktober auf der GTC Berlin angekündigt hat

Google bietet Gemini 3.5 Flash seit dem 21. Oktober 2026 auf Google Distributed Cloud (GDC) air-gapped an – also als geschlossenes Modell auf Hardware im Rechenzentrum des Kunden, ohne Verbindung zu Google Cloud. Für einen Mittelständler, der KI ohne Internetanbindung betreiben will, gibt es damit zwei Wege: ein herstellerbetriebenes Gesamtpaket mit geschlossenem Modell oder einen eigenen Stack mit offenen Gewichten. Dieser Beitrag vergleicht die beiden an den Punkten, die nach drei Jahren zählen: Wer betreibt, wer aktualisiert, was kostet wodurch, und wie kommt man wieder heraus.

Die Ankündigung im Google-Cloud-Blog zur NVIDIA GTC Berlin enthält für den On-Premise-Betrieb vier Punkte:

• NVIDIA HGX B300 auf GDC: nach einer Vorschau „earlier this year“ jetzt allgemein verfügbar.
• Gemini 3.5 Flash auf GDC: beschleunigt durch HGX B300, für multimodale Aufgaben über Text, Audio, Video und Bilder „entirely inside their air-gapped perimeter“.
• Unternehmenssuche mit Gemini auf GDC air-gapped: in der Vorschau, eine fertige Konversationsoberfläche mit multimodalem RAG, bei der Indexierung, Embeddings und Interaktionen innerhalb der Sicherheitsgrenze bleiben.
• Offene Modelle im Sovereign-Cloud-Portfolio: Google ergänzt Modelle wie Gemma, Mistral und NVIDIA Nemotron, „while retaining full custody of model weights and runtimes, avoiding lock-in“.

Der letzte Punkt ist bemerkenswert. Google selbst formuliert das Argument, um das es hier geht: Bei offenen Modellen behält der Kunde die Verfügung über Gewichte und Laufzeit. Bei Gemini behält er sie nicht – das Modell ist nicht veröffentlicht. Das ist kein Vorwurf, sondern die Bauart. Wer sie kennt, kann entscheiden.

Zur Abgrenzung: Hier geht es nicht um Agenten-Plattformen in der öffentlichen Cloud, sondern um die Frage, ob ein geschlossenes Modell im eigenen Raum etwas anderes ist als ein offenes Modell im eigenen Raum. Es ist etwas anderes – vor allem beim Betrieb und beim Ausstieg.

/02Was GDC air-gapped ist: Rack, Betreiber, Vertrag

GDC air-gapped ist kein Softwarepaket, sondern eine vollständig verwaltete Kombination aus Hardware und Software. Die Dokumentation beschreibt den Ablauf: Google führt vor Ort eine Standortprüfung durch – Platz, Strom, Kühlung, Anbindung –, erstellt daraus ein Lösungsdesign und gibt dem Hardwarelieferanten einen Planungsauftrag; die Hardware kommt vollständig in Racks integriert. Als Betriebssystem liefert GDC ein FIPS-140-2-zertifiziertes Rocky-Linux-Abbild. Die Plattform beruht auf Kubernetes und unterstützt Container- und VM-Workloads.

Drei Aussagen der Produktseite sind für die Entscheidung zentral:

• Betrieb: Die air-gapped-Lösung „can be operated by Google, a trusted partner, or a combination of the two“, mit konfigurierbaren Vorgaben etwa zu Staatsangehörigkeit und Sicherheitsüberprüfung des Betriebspersonals.
• Größe: Kunden „can start small with an appliance or as few as four racks and grow to hundreds“.
• Preis: Abgerechnet wird nach genutzten Diensten und der dafür eingesetzten Kapazität; die Verbrauchsdaten werden in der getrennten Umgebung berechnet und erscheinen nicht in der Google-Cloud-Konsole. Ein Preis steht nicht auf der Seite, nur „Request a quote“.

Die Produktseite nennt außerdem Normen, deren technische Anforderungen GDC air-gapped erfülle, darunter ISO 27001/27017, SOC II und NATO D48, und listet eine Partnerschaft mit BWI zur Bundeswehr-Cloud. Für Behörden und Verteidigung ist das ein starkes Argument. Für einen Maschinenbauer mit 300 Arbeitsplätzen ist es eher ein Hinweis auf die Größenordnung, für die das Produkt gebaut ist.

/03Geschlossenes Modell im eigenen Raum: was man bekommt und was nicht

Gemini auf GDC bringt ein Modell der Spitzenklasse in eine Umgebung ohne Internet. Laut Produktseite gehören dazu Fähigkeiten für Automatisierung, Inhaltserstellung, Recherche und Zusammenfassung, außerdem integrierte Dienste wie Übersetzung, Spracherkennung und Texterkennung. Wer heute ein multimodalees Modell dieser Klasse vollständig offline braucht, findet bei den offenen Modellen nicht in jedem Fall ein gleichwertiges.

Was der Kunde nicht bekommt, folgt aus der Bauart:

• Keine eigenen Gewichte. Gemini ist nicht veröffentlicht. Es gibt keine Modellkarte auf Hugging Face, keine Lizenzdatei, die man prüfen könnte, und keine Datei, die man nach Vertragsende behält. Was der Kunde mit dem Modell tun darf, regelt der Vertrag, nicht eine öffentliche Lizenz.
• Keine freie Laufzeitwahl. Das Modell läuft auf der GDC-Plattform mit der Hardware, die das Lösungsdesign vorsieht – laut Ankündigung HGX B300. Eine Umstellung auf andere Beschleuniger oder eine andere Inferenz-Software liegt nicht beim Kunden.
• Kein Einblick in das Modell selbst. Prüfungen, die bei offenen Gewichten möglich sind – Prüfsumme gegen Veröffentlichung, Vergleich mit der Modellkarte, eigene Quantisierung oder eigenes Fine-Tuning –, entfallen oder hängen am Angebot des Herstellers.

Ehrlich: Für viele Anwendungen ist das kein Nachteil. Wer eine Unternehmenssuche über Archive braucht und keine eigene KI-Mannschaft hat, will das Modell gar nicht anfassen. Der Nachteil zeigt sich erst bei zwei Fragen: Was passiert beim nächsten Modellwechsel, und was passiert am Vertragsende?

/04Vergleich: GDC air-gapped gegen eigenen Open-Weight-Stack

Die Tabelle stellt beide Wege nebeneinander. Die GDC-Spalte stützt sich auf die Produktseite, die Dokumentation und die Ankündigung vom 21. Oktober; wo dort nichts steht, steht hier „Vertrag“. Die rechte Spalte beschreibt einen Stack mit offenen Modellen auf eigener Hardware oder im Rechenzentrum eines Dienstleisters.

Die Tabelle hat keinen Sieger. Sie zeigt zwei Betriebsmodelle mit unterschiedlicher Verteilung von Aufwand und Abhängigkeit. GDC nimmt dem Kunden Arbeit ab und bindet ihn dafür an einen Hersteller samt Modell. Der eigene Stack verlangt Betriebswissen und lässt dafür jede Entscheidung beim Kunden – einschließlich der falschen.

/05Betreiber und Updates: wer hat die Hände am System?

Der Luftspalt beantwortet die Frage, welche Daten das Gebäude über das Netz verlassen. Er beantwortet nicht, wer im Gebäude welche Rechte hat. Bei GDC air-gapped betreibt laut Produktseite Google, ein Partner oder beide die Plattform. Das heißt: Personal außerhalb Ihrer Organisation hat Betriebszugang zu einem System in Ihrem Rechenzentrum. Google macht Vorgaben zu Staatsangehörigkeit und Sicherheitsüberprüfung konfigurierbar – das ist genau die Stellschraube, auf die es ankommt, und sie gehört in den Vertrag, mit Namen der Rolle und Prüfrecht. Wie sich die Rechtslage bei US-Anbietern auf solche Fragen auswirkt, haben wir in unserem Beitrag zu CLOUD Act und DSGVO beschrieben.

Updates laufen in einer getrennten Umgebung zwangsläufig über Datenträger. Die GDC-Dokumentation nennt die Voraussetzungen: Internetzugang zu Google Cloud, um die Distribution herunterzuladen, ein tragbares Speichermedium für den Transfer, eine SHA256- oder MD5-Prüfsumme zur Kontrolle in der getrennten Umgebung. Dazu kommt ein Versionsrhythmus: Die Versionshinweise nennen GDC air-gapped 1.16.1 am 5. Juni 2026 und 1.16.2 am 27. Juli 2026; für 1.16.1 verlangt Google eine Upgrade-Reihenfolge mit Pflichtprüfungen vorab. Laut Dokumentation erlaubt die Plattform rollierende Hardware- und Software-Upgrades ohne Unterbrechung.

Beim eigenen Stack ist der Weg derselbe, nur ohne Hersteller dazwischen. Die Prüfung einer übertragenen Datei ist ein Einzeiler, und sie ist bei offenen Gewichten auch gegen eine öffentliche Quelle möglich:

# Transferstation (mit Internet): Gewichte und Prüfsummen holen
huggingface-cli download mistralai/Mistral-Small-3.2-24B-Instruct-2506 --local-dir ./modell
cd modell && find . -type f ! -name SHA256SUMS -exec sha256sum {} + > SHA256SUMS

# getrennte Umgebung (ohne Internet): nach dem Datenträger-Transfer prüfen
cd /srv/modelle/mistral-small-3.2 && sha256sum -c --quiet SHA256SUMS && echo "Transfer vollständig"

# Laufzeit offline starten, kein Zugriff auf den Hub
HF_HUB_OFFLINE=1 vllm serve /srv/modelle/mistral-small-3.2 --host 127.0.0.1 --port 8000

Bei GDC übernimmt diese Arbeit der Betreiber. Beim eigenen Stack übernimmt sie Ihre IT oder ein Dienstleister, mit einem festen Ablauf und einer Freigabe je Modellwechsel. Wie oft das nötig ist, bestimmen Sie selbst – nicht die Versionsfolge eines Herstellers. Die Werkzeuge für eine getrennte Wissensbasis beschreibt unser Beitrag zu Agentic RAG self-hosted und air-gapped.

/06Der Ausstieg: was nach dem Vertragsende bleibt

Die wichtigste Frage stellt kaum jemand bei der Beschaffung: Was ist am Tag nach dem Vertragsende noch da? Für GDC air-gapped ist die Antwort öffentlich nicht dokumentiert. Sie hängt am Vertrag, und deshalb gehören diese Fragen in jede Ausschreibung oder Angebotsprüfung – mit schriftlicher Antwort:

1. Wem gehört die Hardware, und darf sie nach Vertragsende weiter betrieben werden – mit welcher Software?
2. Darf Gemini nach Vertragsende weiterlaufen, bis eine Ablösung bereitsteht? Wenn ja, wie lange und zu welchen Bedingungen?
3. In welchem Format werden Daten, Indizes und Embeddings der Unternehmenssuche exportiert, und sind sie mit einem anderen Embedding-Modell weiter nutzbar?
4. Wie lange werden Sicherheitsupdates für die eingesetzte GDC-Version geliefert, und was gilt, wenn ein Modell aus dem Katalog entfernt wird?
5. Welche Rechte hat der Betreiber nach Vertragsende noch am System, und wie wird der Zugang nachweislich beendet?

Beim eigenen Stack sind die Antworten vorab bekannt: Die Gewichte liegen als Datei im Bestand, die Lizenz ist veröffentlicht und bei Apache-2.0-Modellen zeitlich nicht befristet, Indizes liegen in einer Vektordatenbank Ihrer Wahl. Was verloren geht, ist der Dienstleister – und der ist austauschbar, weil die Software Open-Source und die Hardware handelsüblich ist. Das ist keine Formsache: Ein Mittelständler, der seine Wissensbasis über drei Jahre aufbaut, sollte vor dem ersten Dokument wissen, ob er sie am Ende mitnehmen kann.

Einen Mittelweg zeigt die Ankündigung selbst: GDC bekommt offene Modelle wie Gemma und Mistral ins Portfolio. Wer GDC ohnehin betreibt – etwa als Behörde –, kann damit die Abhängigkeit beim Modell senken, auch wenn die Plattformbindung bleibt.

/07Wann GDC die bessere Wahl ist – und wann der eigene Stack falsch ist

GDC air-gapped ist die bessere Wahl, wenn mehrere dieser Bedingungen zutreffen:

• Die Organisation braucht nachweislich ein multimodales Modell der Gemini-Klasse vollständig offline, und kein offenes Modell erreicht die geforderte Qualität im eigenen Test.
• Die Mindestgröße – Appliance oder vier Racks – passt zum Bedarf, und es gibt Platz, Strom und Kühlung dafür.
• Es gibt keine eigene KI-Betriebsmannschaft und keinen Willen, eine aufzubauen; ein Gesamtbetreiber ist gewünscht.
• Die Herstellerliste der Normen und Zulassungen ist für das Vergabeverfahren entscheidend, etwa im Verteidigungs- oder Behördenumfeld.

Der eigene Open-Weight-Stack ist die falsche Wahl, wenn niemand ihn betreiben kann. Ein Sprachmodell auf einem GPU-Server ist schnell gestartet; ein Betrieb mit Updates, Monitoring, Rechtekonzept und dokumentiertem Transfer ist es nicht. Er ist auch dann falsch, wenn die Fachabteilung eine Fähigkeit braucht, die offene Modelle nachweislich nicht liefern – etwa eine bestimmte Qualität bei Video- oder Audioanalyse –, und die Messung das bestätigt. Und er ist falsch, wenn der Luftspalt gar nicht nötig ist: Für vertrauliche, aber nicht geheime Daten reicht meist ein Stack mit bekannten, protokollierten Außenverbindungen.

Für die meisten Mittelständler sprechen zwei Punkte gegen GDC, die mit Qualität nichts zu tun haben. Erstens die Größe: Ein Produkt, das bei einer Appliance oder vier Racks anfängt und bis zu Hunderten wächst, ist für ein Haus mit einem Anwendungsfall und einem Serverraum überdimensioniert. Zweitens die Preisbildung: Ohne veröffentlichten Preis lässt sich der Vergleich erst nach einem Angebot führen. Die Souveränitätsfrage selbst ordnen die Kriterien des BSI ein, die unser Beitrag zu C3A und C5:2026 zusammenfasst.

/08Entscheidung nach Hausgröße und Schutzbedarf

Die Entscheidung folgt zwei Achsen: Wie groß ist der KI-Bedarf, und wie hoch ist der Schutzbedarf der Daten? Die Tabelle ordnet typische Häuser ein; die Arbeitsplatzzahlen sind Orientierung, keine Grenze.

Für die ersten drei Zeilen beginnt der eigene Stack bei einem GPU-Server ab rund 15.000 €. Das ki·spezial System bietet im Vollausbau 192 GB VRAM und betreibt offene Modelle bis 70B+ Parameter auf eigener Hardware oder im Rechenzentrum in Coburg. Ob ein offenes Modell für Ihre Dokumente reicht, klärt ein Proof of Concept: 2 bis 4 Wochen, kostenlos, mit Ihren Daten auf unserer Hardware. Erst wenn diese Messung zeigt, dass kein offenes Modell genügt, lohnt das Gespräch über ein geschlossenes Modell im eigenen Raum – dann aber mit den fünf Ausstiegsfragen aus Abschnitt /06 auf dem Tisch.

Für die vierte Zeile ist GDC ein ernsthafter Kandidat. Der eigene Stack bleibt auch dort sinnvoll – als zweite, herstellerunabhängige Linie für Datenklassen, bei denen keine fremde Betriebsmannschaft Zugang haben darf.