Bedrock PrivateLink: Claude ohne öffentliches Netz

TL;DR

Bedrock PrivateLink legt einen Interface-Endpunkt in Ihrer VPC an, typisch in Frankfurt. Claude-Aufrufe brauchen dann kein Internet-Gateway, kein NAT, kein VPN und kein Direct Connect. Residenz setzt das EU-Profil eu.anthropic.claude-sonnet-5-5. PrivateLink ist der Netzpfad, nicht der Residenzschalter. FIPS-Endpunkte fehlen in der EU.

Was ist Bedrock PrivateLink und was leistet es nicht?

Bedrock PrivateLink ist ein Interface-VPC-Endpunkt, betrieben über AWS PrivateLink. Instanzen in der VPC rufen Amazon Bedrock so auf, als läge der Dienst in der VPC. Öffentliche IPs braucht niemand. Der Endpunkt ersetzt kein EU-Profil, keine Retention-Einstellung und keinen AVV. Ohne eu.-ID kann die Anfrage trotzdem global laufen.

Die Bedrock-Seite zu Interface-Endpunkten listet fünf Dienstnamen: com.amazonaws.region.bedrock (Control Plane), bedrock-runtime (Inferenz), bedrock-mantle, bedrock-agent und bedrock-agent-runtime. Dazu kommen FIPS-Varianten bedrock-fips und bedrock-runtime-fips. FIPS gibt es nur in us-east-1, us-east-2, us-west-2, ca-central-1, us-gov-east-1 und us-gov-west-1. In Frankfurt, Irland oder Paris existiert dieser Dienstname nicht.

AWS erzeugt in jedem aktivierten Subnetz eine von AWS verwaltete Netzwerkschnittstelle. Das ist der Eingang für den Verkehr zu Bedrock. Die Übersicht zu VPC und PrivateLink empfiehlt dieselbe Konstruktion für Batch-Jobs, Modellanpassung und Knowledge Bases. Die Endpunkt-Seite nennt den Nebeneffekt: Verkehr bleibt im AWS-Netz und vermeidet die Datenausgangsgebühren von NAT- oder Internet-Gateways.

Mit Private DNS (Standardeinstellung außer bei S3) bleiben die Hostnamen bedrock-runtime.eu-central-1.amazonaws.com und bedrock-mantle.eu-central-1.api.aws. Der SDK-Code ändert sich nicht. Ohne Private DNS müssen Sie die URL https://vpce-id.bedrock-runtime.eu-central-1.vpce.amazonaws.com setzen. Die Grundlagen von Bedrock und warum das globale Beispiel die EU verlässt, stehen in Amazon Bedrock erklärt.

Wir empfehlen PrivateLink in jeder Produktions-VPC, die Claude aufruft und kein öffentliches Egress hat. In einer Sandbox mit NAT reicht oft der öffentliche Regionalendpunkt, solange das EU-Profil gesetzt ist.

Wie richten Sie den VPC-Endpunkt in Frankfurt ein?

Sie legen in eu-central-1 einen Interface-Endpunkt auf com.amazonaws.eu-central-1.bedrock-runtime an, mit Private DNS, einer Security Group auf Port 443 und einem Endpoint Policy, das nur InvokeModel erlaubt. Das EU-Profil bleibt die Modell-ID. Ohne beides haben Sie entweder öffentliches Egress oder globale Verarbeitung.

Die Anleitung zum Interface-Endpunkt verlangt DNS-Hostnamen und DNS-Auflösung in der VPC. Die Security Group am Endpunkt muss eingehendes HTTPS aus den Anwendungssubnetzen erlauben. Interface-Endpunkte antworten nicht auf Ping; prüfen Sie mit nc oder nmap auf Port 443. Ein Subnetz pro Availability Zone, nicht zwei in derselben Zone. Die ersten vier und die letzte IP jedes Subnetz-CIDR sind reserviert.

1. Öffnen Sie die Amazon-VPC-Konsole, wählen Sie Endpoints, dann Create endpoint.
2. Type: AWS services. Service name: com.amazonaws.eu-central-1.bedrock-runtime.
3. Wählen Sie die VPC und ein Subnetz je Zone, mindestens zwei Zonen für Ausfallsicherheit.
4. Lassen Sie Enable DNS name aktiv. Für Bedrock ist das der Default.
5. Hängen Sie eine Security Group an, die TCP 443 aus den App-Subnetzen erlaubt.
6. Policy: Custom, nicht Full access. Nutzen Sie das Beispiel unten.
7. Legen Sie bei Bedarf einen zweiten Endpunkt für com.amazonaws.eu-central-1.bedrock an, wenn die Control Plane (Modellliste, Inference Profiles) ebenfalls ohne NAT laufen soll.
8. Testen Sie den Aufruf aus einer Instanz in der VPC, nicht von Ihrem Laptop.

AWS veröffentlicht diese Endpoint Policy als Ausgangspunkt. Sie erlaubt nur Inferenz, keine Control-Plane-Aktionen:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Principal": "*",
      "Effect": "Allow",
      "Action": [
        "bedrock:InvokeModel",
        "bedrock:InvokeModelWithResponseStream"
      ],
      "Resource": "*"
    }
  ]
}

Mit Private DNS reicht der normale Client. Ohne Private DNS setzen Sie endpoint_url. Das AWS-Beispiel nutzt us-east-1 und eine globale Modell-ID. Für die EU ersetzen Sie beides:

# pip install boto3
import boto3

client = boto3.client(
    "bedrock-runtime",
    region_name="eu-central-1",
    # Nur nötig, wenn Private DNS aus ist:
    # endpoint_url="https://vpce-xxxxxxxx.bedrock-runtime.eu-central-1.vpce.amazonaws.com",
)

response = client.converse(
    modelId="eu.anthropic.claude-sonnet-5-5",
    messages=[{"role": "user", "content": [{"text": "Nenne die EU-Quellregion."}]}],
    inferenceConfig={"maxTokens": 256},
)

for block in response["output"]["message"]["content"]:
    if "text" in block:
        print(block["text"])

IAM bleibt zusätzlich nötig. Das EU-Profil verlangt Rechte auf das Inference Profile und auf das Foundation Model in allen Zielregionen. Die IAM-Form und warum Frankfurt allein nicht reicht, steht in Claude auf AWS Bedrock in Frankfurt.

Was kostet Bedrock PrivateLink neben den Tokenpreisen?

PrivateLink ist ein Netzpreis, kein Tokenaufschlag. Die PrivateLink-Preisseite rechnet 0,01 USD pro GB für das erste Petabyte, 0,006 USD für die nächsten 4 PB, 0,004 USD darüber. Das Rechenbeispiel auf derselben Seite setzt 0,01 USD pro Stunde je Endpunkt-ENI an. Teilstunden gelten als volle Stunde. Die Tokenzeile bleibt die Sonnet-Liste plus 10 Prozent auf dem Regionalendpunkt.

Anthropic-Preise vom 25. Oktober 2026: Sonnet 5.5 kostet 2 USD Input und 10 USD Output pro Million Tokens. Ab Sonnet 4.5, Haiku 4.5 und Opus 4.5 verlangen regionale und Multi-Region-Endpunkte 10 Prozent Aufschlag. US-only (inference_geo: "us" oder Foundry Data Zone Standard US) ist 1,1x. Ein CCU kostet 0,01 USD; 100 CCU sind 1 USD. Haiku 5.5 liegt bis 100.000 Prompt-Tokens bei 0,10 / 0,50 und darüber bei 0,50 / 2,50. Batch halbiert beide Seiten, liegt aber außerhalb von Zero Data Retention.

Posten	Satz (verifiziert 25.10.2026)	Was Sie zahlen
Interface-Endpunkt, Beispiel ENI	0,01 USD / Stunde	3 Zonen × 0,01 × 24 × 30 = 21,60 USD / Monat, unsere Rechnung auf dem Beispielsatz
Daten über den Endpunkt	0,01 USD / GB bis 1 PB	100 GB Request- und Responsekörper: 1 USD
Sonnet 5.5 global	2 / 10 USD je Mio. Tokens	20 Mio. In + 2 Mio. Out: 60 USD
Sonnet 5.5 EU-Endpunkt (+10 %)	2,20 / 11 USD	Dieselbe Menge: 66 USD
Google PSC zu Google APIs	0,01 USD / Stunde, keine Datengebühr in dieser Zeile	Nur die Stunden, wenn Sie den globalen API-Pfad nutzen
Google PSC zu regionalen APIs	0,01 USD / Stunde plus 0,01 USD / GiB bis 1 PiB	Der Claude-EU-Host aiplatform.eu.rep.googleapis.com fällt in diese Klasse

Die 21,60 USD sind keine AWS-Offerte. Die Preisseite nennt den Stundensatz im US-East-1-Beispiel. Andere Regionen können abweichen; die GB-Staffel steht ohne Regionsvorbehalt. Azure Private Link zeigt auf der öffentlichen Preisseite Platzhalter statt Zahlen. Wir setzen dort keinen Betrag.

Tokenkosten dominieren. 66 USD für die EU-Zeile plus 21,60 USD für drei ENIs plus 1 USD für 100 GB Netz sind 88,60 USD. Wer NAT statt PrivateLink nutzt, spart die ENIs und zahlt Ausgang über das NAT-Gateway. AWS nennt genau diese Ausgangsgebühr als Grund für den VPC-Endpunkt.

Wir empfehlen PrivateLink, sobald die VPC kein öffentliches Egress haben darf. Die 22 USD sind kleiner als ein einziger falsch gesetzter Global-Lauf auf sensiblen Prompts. Die Tokenzeilen aller Clouds stehen in Claude API Kosten im EU-Vergleich.

Bleiben Prompts in der EU, wenn Sie PrivateLink nutzen?

Nein, nicht allein dadurch. PrivateLink hält den Weg zwischen VPC und Bedrock-API privat. Wohin Bedrock die Inferenz schickt, steuert das Inference Profile. Aus Frankfurt verteilt eu.anthropic.claude-sonnet-5-5 auf Frankfurt, Stockholm, Mailand, Spanien, Irland und Paris. In-Region auf bedrock-runtime ist für Sonnet 5.5 nicht verfügbar.

Die Modellkarte Sonnet 5.5 nennt Launch am 28. September 2026, EOL nicht vor dem 28. September 2027, 1 Million Tokens Kontext, 128.000 Tokens Ausgabe, Wissensstand Juni 2026. Cache-Minimum 512 Tokens, höchstens 4 Checkpoints, TTL 5 Minuten und 1 Stunde. Rufen Sie dasselbe Profil aus London oder Zürich auf, kommen London oder Zürich als Ziel hinzu. Beide liegen außerhalb der EU. Der PrivateLink-Endpunkt in Frankfurt ändert diese Zielliste nicht.

Geographic Cross-Region Inference hält die Verarbeitung in der Geografie. Prompts und Ausgaben können die Quellregion verlassen. Speicherung zur Missbrauchserkennung liegt in der Zielregion. SCPs, die nur eu-central-1 erlauben, lassen das Profil scheitern, sobald AWS nach Irland oder Paris routet. Entweder alle sechs Ziele freigeben oder eine Ausnahme über bedrock:InferenceProfileArn setzen.

PrivateLink und Residenz sind zwei Schalter. Den Residenzschalter, Workspace-Geo und inference_geo erklärt Claude Datenresidenz in der EU. Retention (none vs aws_review) ist der dritte Schalter; die Feature-Tabelle steht in Claude Zero Data Retention in der EU.

PrivateLink, Private Service Connect oder Foundry Private Link?

Nur Bedrock verbindet privates Netz und EU-Verarbeitung in einem selbst gebauten Setup. Google liefert Private Service Connect auf den EU-Host. Foundry hat einen Private Endpoint, aber keine EU-Datenzone für Claude. Wer EU-Residenz und privates Netz braucht, bleibt auf Bedrock oder auf Google Europe, nicht auf Foundry.

Google beschreibt regionale PSC-Endpunkte in der Anleitung zu regionalen Google APIs. Der Endpunkt liegt in einer Region, Ziel ist ein regionaler oder Multi-Region-API-Host. Network Pricing setzt 0,01 USD pro Stunde an. Die Zeile „access Google APIs“ hat keine Datengebühr. Die Zeile „regional endpoints of Google APIs“ hat Consumer Data Processing: 0,01 USD je GiB bis 1 PiB, 0,006 bis 5 PiB, 0,004 darüber. Der Claude-EU-Host aiplatform.eu.rep.googleapis.com ist ein Multi-Region-Endpunkt. Data Residency schließt Vereinigtes Königreich und Schweiz aus dem Europe-Endpunkt aus. Private Google Access reicht für Multi-Region nicht; das steht schon im Vertex-Leitfaden Claude auf Vertex AI in Europa.

Foundry isoliert den Eingang über einen Private Endpoint, dokumentiert in Network isolation. Clients in der VNet lösen denselben Hostnamen auf die private IP auf. Hosting-Vergleich: Anthropic ist Verkäufer und Auftragsverarbeiter. Deployment-Typen sind Global Standard und Data Zone Standard (US). Eine EU-Zone fehlt. Der Private Endpoint hält den Weg privat und die Verarbeitung trotzdem global oder in den USA. Foundry-Details stehen in Azure AI Foundry erklärt.

Frage	Bedrock PrivateLink	Google PSC	Foundry Private Link
Privater Pfad zur API	Ja, Interface-Endpunkt	Ja, regionaler PSC-Endpunkt	Ja, Private Endpoint
EU-Verarbeitung	Ja, mit eu.-Profil	Ja, Europe-Endpunkt, ohne UK und CH	Nein, nur Global oder US-Zone
FIPS in der EU	Nein	Nicht in dieser Form	Nicht dokumentiert als EU-FIPS
Stundenpreis (öffentlich)	0,01 USD / ENI im Beispiel	0,01 USD / Endpunkt	Öffentliche Seite ohne Zahl
Datenpreis	0,01 USD / GB bis 1 PB	0 oder 0,01 USD / GiB, je nach Zeile	Nicht zitierbar

Wir empfehlen Bedrock plus PrivateLink, wenn IAM, Quotas und die AWS-Rechnung schon feststehen. Google plus PSC, wenn Fable 5.1 in der EU liegen muss. Foundry nur, wenn MACC die Rechnung treibt und US-Verarbeitung akzeptabel ist.

FAQ

Braucht Bedrock PrivateLink ein Internet-Gateway?

Nein. Die Bedrock-Dokumentation sagt ausdrücklich: kein Internet-Gateway, kein NAT, kein VPN, kein Direct Connect. Instanzen brauchen keine öffentliche IP. DNS-Hostnamen und DNS-Auflösung in der VPC müssen an sein, sonst greift Private DNS nicht.

Was kostet Bedrock PrivateLink im Monat?

Die Preisseite nennt 0,01 USD pro GB bis 1 PB und im Beispiel 0,01 USD pro Stunde je ENI. Drei Zonen, 30 Tage à 24 Stunden: 21,60 USD vor Daten, unsere Rechnung. 100 GB Körper kosten 1 USD. Die Tokenzeile (66 USD für 20 plus 2 Millionen Sonnet-5.5-Tokens auf dem EU-Endpunkt) bleibt der größere Posten.

PrivateLink oder NAT-Gateway: was sollen EU-Teams wählen?

PrivateLink, sobald die VPC kein öffentliches Egress haben darf oder Compliance den Weg auf AWS beschränken will. NAT hält den öffentlichen Bedrock-Host erreichbar, zahlt aber Ausgangsgebühren. AWS nennt genau diese Gebühren als Grund für den VPC-Endpunkt. Residenz ändert keines der beiden Produkte.

Deckt ein Endpunkt Control Plane und Runtime ab?

Nein. bedrock-runtime trägt Invoke und Converse. bedrock trägt Listen, Inference Profiles, Retention. bedrock-mantle ist ein eigener Dienstname mit eigenem Host bedrock-mantle.region.api.aws. Ohne Control-Plane-Endpunkt scheitert get-inference-profile in einer VPC ohne NAT, während Converse noch funktioniert.

Gibt es FIPS-Endpunkte für Bedrock in Frankfurt?

Nein. AWS listet bedrock-fips und bedrock-runtime-fips nur für us-east-1, us-east-2, us-west-2, ca-central-1, us-gov-east-1 und us-gov-west-1. Ein deutsches Team mit FIPS-Pflicht braucht ein anderes Produkt oder eine US-Region, nicht Frankfurt.

Ändert PrivateLink die Aufbewahrung der Prompts?

Nein. Retention bleibt none, default oder aws_review pro Region. PrivateLink sieht die Payload im Transit, speichert sie aber nicht als Bedrock-Log. Ihr eigenes Model Invocation Logging schreiben Sie weiter nach CloudWatch oder S3, wenn Sie es einschalten.

Quellen

1. AWS Bedrock: Interface VPC endpoints (PrivateLink) (25. Oktober 2026)
2. AWS Bedrock: Protect data with VPC and PrivateLink (25. Oktober 2026)
3. AWS Bedrock: Inference endpoints (25. Oktober 2026)
4. AWS Bedrock: Claude Sonnet 5.5 model card (25. Oktober 2026)
5. AWS Bedrock: Geographic cross-Region inference (25. Oktober 2026)
6. AWS PrivateLink pricing (25. Oktober 2026)
7. AWS PrivateLink: Create an interface endpoint (25. Oktober 2026)
8. Anthropic: Pricing (25. Oktober 2026)
9. Google Cloud: Access regional Google APIs via PSC (25. Oktober 2026)
10. Google Cloud: Network pricing (Private Service Connect) (25. Oktober 2026)
11. Google Cloud: Data residency (25. Oktober 2026)
12. Microsoft Learn: Foundry network isolation (25. Oktober 2026)
13. Microsoft Learn: Claude hosting comparison (25. Oktober 2026)