AWS-Interviewfragen und -Antworten: 25 Fragen zu Services, Sicherheit und Design

AWS-Interviews gibt es in zwei Varianten. In der einen wird geprüft, ob du weißt, was die Services leisten und wann du welchen wählst. In der anderen bekommst du ein Szenario, etwa eine Web-App, die einen Ausfall überstehen muss, oder eine Rechnung, die sich verdoppelt hat, und man beobachtet, wie du über Zuverlässigkeit, Sicherheit und Kosten nachdenkst. Dieser Leitfaden enthält 25 Fragen mit Antworten in beiden Stilen.

Servicedetails und Limits ändern sich häufig, daher solltest du für exakte Zahlen die AWS-Dokumentation prüfen. Dem Interviewer geht es vor allem darum, deine Denkweise zu hören.

Zentrale Services

1. Was ist der Unterschied zwischen EC2, Lambda und Containern (ECS oder EKS)?

EC2 gibt dir virtuelle Server, die du selbst verwaltest. Lambda führt Code als Reaktion auf Ereignisse aus, ohne dass du Server verwalten musst, und du zahlst pro Aufruf und Dauer, mit Limits für Laufzeit und Größe. Container auf ECS oder EKS liegen dazwischen: Du verpackst die App, und der Service plant sie ein, entweder auf Servern, die du verwaltest, oder auf Fargate, wodurch die Serververwaltung entfällt.

Wähle Lambda für ereignisgesteuerte oder stark schwankende Workloads, Container für lang laufende Services und Portabilität und EC2, wenn du die volle Kontrolle über die Maschine brauchst.

2. Was sind die S3-Speicherklassen?

S3 bietet Klassen für unterschiedliche Zugriffsmuster: Standard für häufigen Zugriff, Intelligent-Tiering für unbekannten oder wechselnden Zugriff, Standard-IA und One Zone-IA für seltenen Zugriff sowie die Glacier-Klassen für Archive mit unterschiedlichen Abrufzeiten. Lifecycle-Regeln verschieben Objekte automatisch zwischen den Klassen.

3. Wie sicherst du einen S3-Bucket ab?

Blockiere den öffentlichen Zugriff auf Konto- und Bucket-Ebene, verwende Bucket-Policies und IAM-Rollen, die nur das Nötige erlauben, aktiviere Verschlüsselung (SSE-S3 oder KMS), schalte Versionierung für die Wiederherstellung ein, aktiviere Zugriffsprotokollierung und nutze VPC-Endpunkte, wenn der Datenverkehr nicht über das Internet laufen soll.

4. Was ist der Unterschied zwischen EBS, EFS und S3?

EBS ist Blockspeicher, der an eine EC2-Instanz angehängt wird, ähnlich einer Festplatte. EFS ist ein gemeinsames Netzwerk-Dateisystem, das viele Instanzen einbinden können. S3 ist Objektspeicher, auf den über eine API zugegriffen wird, geeignet für Dateien, Backups und statische Assets.

5. Was ist der Unterschied zwischen RDS, Aurora und DynamoDB?

RDS betreibt verwaltete relationale Datenbanken wie MySQL und PostgreSQL. Aurora ist die relationale Engine von AWS, kompatibel mit MySQL und PostgreSQL und auf höhere Verfügbarkeit und Leistung ausgelegt. DynamoDB ist eine verwaltete NoSQL-Key-Value- und Dokumentdatenbank, die horizontal skaliert und bei der du um Zugriffsmuster herum designen musst. Wähle relational für Joins und Transaktionen über viele Tabellen, DynamoDB für bekannten schlüsselbasierten Zugriff in großem Maßstab.

Netzwerk

6. Was ist eine VPC und was sind ihre Hauptbestandteile?

Eine VPC ist dein privates Netzwerk in AWS. Sie hat Subnetze (öffentlich und privat), Routentabellen, ein Internet-Gateway für öffentlichen Datenverkehr, NAT-Gateways, damit private Subnetze ausgehend das Internet erreichen können, sowie Security Groups und Network ACLs zur Verkehrskontrolle.

7. Was ist der Unterschied zwischen einer Security Group und einer Network ACL?

Eine Security Group ist eine zustandsbehaftete Firewall, die an eine Instanz oder Netzwerkschnittstelle angehängt wird, mit ausschließlich Allow-Regeln. Eine Network ACL ist eine zustandslose Firewall auf Subnetzebene und unterstützt Allow- und Deny-Regeln. Rückverkehr muss in einer ACL explizit erlaubt werden.

8. Was ist der Unterschied zwischen öffentlichen und privaten Subnetzen?

Ein öffentliches Subnetz hat eine Route zu einem Internet-Gateway, sodass Ressourcen dort aus dem Internet erreichbar sind, wenn sie eine öffentliche Adresse haben und es erlauben. Ein privates Subnetz hat keine direkte Route, daher legst du Datenbanken und Anwendungsserver dort ab und lässt sie über ein NAT-Gateway nach außen kommunizieren.

9. Wie würdest du On-Premises-Systeme mit AWS verbinden?

Site-to-Site-VPN für eine schnelle verschlüsselte Verbindung über das Internet oder Direct Connect für eine dedizierte Netzwerkverbindung mit gleichmäßigerer Leistung. Viele Setups nutzen beides, mit dem VPN als Backup.

10. Wofür ist Route 53 zuständig?

Es ist der DNS-Service von AWS. Er unterstützt außerdem Health Checks und Routing-Policies wie gewichtetes, latenzbasiertes, geolokationsbasiertes und Failover-Routing.

Sicherheit und Identität

11. Was ist IAM, und was bedeutet Least Privilege?

IAM steuert, wer in AWS was tun darf. Least Privilege bedeutet, jedem Nutzer, jeder Rolle oder jedem Dienst nur die Berechtigungen zu geben, die er tatsächlich braucht. Bevorzuge Rollen mit temporären Anmeldedaten gegenüber langlebigen Zugriffsschlüsseln und nutze Richtlinienbedingungen und Permission Boundaries, wo es sinnvoll ist.

12. Was ist der Unterschied zwischen einem IAM-Benutzer, einer Gruppe, einer Rolle und einer Richtlinie?

Ein Benutzer ist eine Identität mit langfristigen Anmeldedaten. Eine Gruppe ist eine Sammlung von Benutzern. Eine Rolle ist eine Identität, die vorübergehend von einer Person, einem Dienst oder einem anderen Konto übernommen werden kann. Eine Richtlinie ist ein Dokument, das Berechtigungen definiert und an eines der oben genannten Elemente angehängt wird.

13. Wie verwaltest du Secrets?

Speichere sie im Secrets Manager oder im Systems Manager Parameter Store, nicht im Code oder in Umgebungsdateien in einem Repository. Gewähre den Zugriff über IAM-Rollen, rotiere sie und verschlüssele sie mit KMS.

14. Was macht KMS?

Der AWS Key Management Service erstellt und verwaltet Verschlüsselungsschlüssel. Viele Dienste nutzen ihn für die Verschlüsselung im Ruhezustand, und du steuerst über Schlüsselrichtlinien und IAM, wer welchen Schlüssel verwenden darf.

Zuverlässigkeit und Skalierung

15. Wie machst du eine Anwendung hochverfügbar?

Verteile sie auf mindestens zwei Availability Zones. Setze einen Load Balancer davor, nutze eine Auto Scaling Group, um ausgefallene Instanzen zu ersetzen, verwende eine Multi-AZ-Datenbank und vermeide es, Zustand auf einem einzelnen Server zu speichern. Für den Ausfall einer ganzen Region fügst du eine zweite Region mit Datenreplikation und DNS-Failover hinzu und entscheidest, ob dir das die Kosten wert sind.

16. Was ist der Unterschied zwischen einem Application Load Balancer und einem Network Load Balancer?

Der ALB arbeitet auf Layer 7 für HTTP und HTTPS und unterstützt pfad- und hostbasiertes Routing. Der NLB arbeitet auf Layer 4 für TCP und UDP, bewältigt sehr hohen Durchsatz mit geringer Latenz und bietet statische IP-Adressen.

17. Wie funktioniert Auto Scaling?

Eine Auto Scaling Group hält eine Anzahl von Instanzen zwischen einem Minimum und einem Maximum. Scaling-Richtlinien fügen Instanzen hinzu oder entfernen sie, basierend auf Metriken wie CPU, Anfragenzahl oder einem Zeitplan. Health Checks ersetzen fehlerhafte Instanzen.

18. Was sind RTO und RPO? Was sind die wichtigsten Disaster-Recovery-Strategien?

RTO ist die Zeit, die du ausfallen darfst, und RPO ist die Datenmenge, die du verlieren darfst. Die üblichen Strategien, von der günstigsten und langsamsten bis zur teuersten und schnellsten, sind Backup and Restore, Pilot Light, Warm Standby und Multi-Site Active-Active.

19. Wann würdest du SQS, SNS oder EventBridge verwenden?

SQS ist eine Queue, um Producer und Consumer zu entkoppeln und Last abzufedern. SNS ist Publish-Subscribe und schickt eine Nachricht an viele Abonnenten. EventBridge leitet Ereignisse zwischen Diensten und SaaS-Quellen anhand von Regeln weiter. Ein häufiges Muster ist SNS zu mehreren SQS-Queues, sodass jeder Consumer in seinem eigenen Tempo verarbeitet.

Betrieb und Kosten

20. Wie überwachst du eine AWS-Anwendung?

CloudWatch für Metriken, Logs und Alarme, X-Ray oder ähnliches Tracing für Anfragepfade und CloudTrail für API-Aktivitäten und Audits. Alarme sollten an eine Person oder eine Automatisierung gehen, und Dashboards sollten die Signale zeigen, auf die es ankommt, etwa Fehlerrate und Latenz.

21. Was ist Infrastructure as Code, und welche Tools verwendest du?

Infrastruktur in Dateien definieren, die versioniert und reviewed werden. Auf AWS sind die wichtigsten Tools CloudFormation und CDK, wobei Terraform als Drittanbieter-Option weit verbreitet ist. Die Vorteile sind Reproduzierbarkeit, Review und einfaches Wiederaufbauen.

22. Deine AWS-Rechnung hat sich verdoppelt. Was tust du?

1. Öffne den Cost Explorer und gruppiere nach Dienst, Konto und Tag, um herauszufinden, was sich geändert hat.
2. Prüfe auf neue oder neu dimensionierte Ressourcen, Datenübertragung sowie nicht angehängte Volumes oder ungenutzte Instanzen.
3. Prüfe auf einen Traffic-Spike oder einen außer Kontrolle geratenen Prozess.
4. Behebe die Ursache und richte dann Budgets und Alarme ein, damit du es früher merkst.
5. Suche nach langfristigen Einsparungen, etwa Right-Sizing, Savings Plans oder reservierte Kapazität, Spot-Instanzen für flexible Workloads und Lifecycle-Regeln für den Speicher.

23. Wie reduzierst du die Kosten für Datenübertragung?

Halte den Traffic, wenn möglich, innerhalb einer Region und AZ, nutze VPC-Endpunkte für AWS-Dienste statt NAT-Gateways, verwende ein CDN wie CloudFront für die Auslieferung von Inhalten und komprimiere Daten.

Szenariofragen

24. Entwirf eine hochverfügbare Webanwendung auf AWS.

„Ich würde die App in einer Auto Scaling Group über zwei oder drei Availability Zones in privaten Subnetzen hinter einem Application Load Balancer in öffentlichen Subnetzen platzieren. Die Datenbank wäre Multi-AZ RDS oder Aurora, mit Backups und Read Replicas, falls viele Lesezugriffe anfallen. Statische Inhalte kommen in S3 hinter CloudFront. Sessions liegen in ElastiCache oder in der Datenbank, nicht auf den Instanzen. Ich würde mit Infrastructure as Code deployen, mit CloudWatch-Alarmen überwachen und Secrets im Secrets Manager aufbewahren."

Sprich dann über Trade-offs: Kosten, Wiederherstellungszeit und ob Multi-Region nötig ist.

25. Eine Lambda-Funktion läuft in ein Timeout. Wie gehst du bei der Untersuchung vor?

Prüfe die CloudWatch-Logs und die Duration-Metriken, suche nach langsamen Downstream-Aufrufen wie einer Datenbank oder API, prüfe Cold-Start-Effekte und die Memory-Einstellungen (mehr Memory bedeutet auch mehr CPU) und schau, ob die Funktion auf eine VPC-Verbindung oder auf Limits wartet. Behebe das Problem mit Timeouts und Retries, Caching, einer höheren Memory-Einstellung oder indem du lang laufende Arbeit in eine Queue oder einen Container verlagerst.

Wie du dich vorbereitest

Baue ein kleines Projekt, das ein VPC, einen Load Balancer, eine Datenbank und einen Bucket verwendet, und übe, jede Entscheidung zu erklären. Lerne die Well-Architected-Säulen (Operational Excellence, Security, Reliability, Performance Efficiency, Cost Optimization und Sustainability), denn viele Szenario-Antworten lassen sich darauf abbilden. Für verwandte Design-Übungen sieh dir unseren System-Design-Interview-Leitfaden an, und für Coding-Runden den Leitfaden zum Coding-Interview-Assistenten.

Übe, deine Designs laut auszusprechen, und prüfe dann ein Transkript darauf, wo du zu einem Service-Namen gesprungen bist, ohne einen Grund zu nennen. Befolge die Regeln des Arbeitgebers zu KI-Tools während eines Live-Interviews.