Cloud-Engineering-Interviews sind schon länger keine Trivia-Quizze mehr. 2026 will fast niemand mehr hören, wie du den Unterschied zwischen einem S3-Bucket und einem EBS-Volume herunterbetest. Man legt dir eine kaputte VPC vor, einen Terraform-Plan, der eine Produktionsdatenbank zerstören will, oder ein Pager-Szenario um 3 Uhr morgens, und schaut zu, wie du denkst. "Das würde ich googeln" zählt nur, wenn du sagen kannst, wonach du suchen würdest und warum.
Dieser Guide deckt die Fragen ab, die Cloud-Engineer-Kandidaten gerade wirklich gestellt bekommen, über AWS, Azure und GCP hinweg, jeweils mit einer kurzen Notiz, wie du an sie herangehst.
Was Cloud-Engineer-Interviews 2026 wirklich prüfen
Der Titel verbirgt jede Menge Varianz. Ein "Cloud Engineer" in einem 30-Personen-Startup ist ein Ein-Mann-Plattformteam, das Terraform, CI/CD und On-Call zusammenschraubt. Derselbe Titel bei einer Bank bedeutet tiefes Netzwerk-Know-how, Compliance-Leitplanken und Landing-Zone-Arbeit. Lies die Stellenbeschreibung, als wäre sie Teil der Prüfung, denn der Loop kippt in Richtung dessen, worin dieses Team gerade absäuft.
Die dahinterliegenden Signale bleiben konstant. Interviewer prüfen vier Dinge: dein mentales Modell der Cloud (Regionen, Availability Zones, was ausfällt, wenn eine AZ dunkel wird), Infrastructure-as-Code-Sicherheit (meist Terraform, in bestimmten Läden CloudFormation und Bicep), operatives Urteilsvermögen, denn Kosten, Sicherheit und Zuverlässigkeit sind heute Kernrunden statt Zugaben, und Kommunikation unter Unsicherheit, weil Cloud-Probleme mehrdeutig sind und starke Kandidaten ihre Annahmen laut aussprechen.
Der Interviewprozess: die echten Runden
Die meisten Cloud-Loops laufen 2026 über vier bis sechs Stufen, und die Form ist vorhersehbar, sobald du ein paar davon hinter dir hast.
- Recruiter-Screening (20 bis 30 Min.). Organisatorisches, Gehaltsrahmen und auf welchen Clouds du tatsächlich schon geliefert hast. Sei präzise: "drei Jahre hauptsächlich AWS, etwas GCP" schlägt ein vages "Cloud-Erfahrung".
- Technisches Telefonscreening (45 bis 60 Min.). Ein Live-Gespräch mit einem Hiring Manager oder Senior Engineer: Grundlagen im Schnellfeuer plus ein, zwei Szenarien.
- Hands-on oder Take-home. Zunehmend die Kernrunde. Schreib ein Terraform-Modul, debugge ein absichtlich kaputtes Deployment oder stell einen kleinen Service samt kurzer Architekturbeschreibung auf die Beine.
- System-Design-Runde (60 Min.). Entwirf ein widerstandsfähiges, kostenbewusstes System. Deutlich weniger algorithmenlastig als bei einer reinen Software-Rolle, dafür viel mehr Trade-offs und Fehlerdomänen.
- Behavioral- / Incident-Runde (45 Min.). Erzähl mir von einem Ausfall, einer Migration, einem Streit über eine Security-Entscheidung. Oft ein tiefer Tauchgang in einen echten Incident, den du bearbeitet hast.
Die Fragen
Kern-Grundlagen
Führ mich durch, was von Anfang bis Ende passiert, wenn ein Nutzer eine App hinter einem Application Load Balancer aufruft. So gehst du ran: DNS-Auflösung, TLS-Terminierung, Target Group und Health Checks des Load Balancers, die Security Groups und Subnetze auf dem Weg, dann Compute und dessen Verbindung zum Datenspeicher. Benenne, wo jedes Teil ausfallen kann.
Erklär den Unterschied zwischen einer Region und einer Availability Zone und entwirf dann so, dass der Verlust einer AZ verkraftet wird. So gehst du ran: definiere beides knackig, dann zeig die Konsequenz. Multi-AZ für zustandsbehaftete Services (RDS Multi-AZ, Quorum über drei AZs), zustandsloses Compute verteilt hinter einem Load Balancer. Weise darauf hin, dass Multi-Region ein eigenes, teureres Gespräch über RTO und RPO ist und kein Standard.
Was ist das Shared-Responsibility-Modell, und wo verrennen sich Engineers dabei? So gehst du ran: der Anbieter sichert die Cloud ab, du sicherst das ab, was du hineinstellst. Der klassische Fehler ist die Annahme, Managed Services bedeuteten Managed Security. Ein öffentlicher S3-Bucket oder zu weit gefasstes IAM ist dein Problem, nicht das des Anbieters.
Infrastructure as Code
Dein terraform plan will eine Produktions-RDS-Instanz zerstören und neu erstellen. Was tust du?
So gehst du ran: nicht anwenden. Lies den Plan und finde heraus, welches Attribut den Austausch erzwingt (ein unveränderliches Feld, eine Engine-Version, ein AZ-Wechsel). Greif zu create_before_destroy, lifecycle Blöcken und state mv oder Import als Rettungswerkzeuge. Ein Destroy in einem Prod-Plan ist ein Grund, das Band anzuhalten.
Wie verwaltest du Terraform-State für fünfzehn Engineers über drei Umgebungen hinweg?
So gehst du ran: Remote Backend (S3 plus DynamoDB-Locking oder Terraform Cloud), State-Trennung pro Umgebung und Kontrolle des Blast Radius, damit eine Staging-Änderung niemals den Prod-State anfassen kann. Pluspunkte für CI-Credentials nach dem Least-Privilege-Prinzip und Drift-Erkennung über einen geplanten plan der bei einem Diff fehlschlägt.
Netzwerke, Security und IAM
Entwirf eine VPC mit öffentlichen und privaten Subnetzen über zwei AZs und führ mich durch das Routing. So gehst du ran: zeichne es. Ein CIDR-Block für die VPC, öffentliche Subnetze mit Route zum Internet Gateway, private Subnetze mit ausgehender Route über ein NAT Gateway, Routing-Tabellen pro Ebene. Rechne mit der Nachfrage: Wie erreichen private Instanzen Cloud-APIs ohne öffentliches Internet (VPC-Endpoints)?
Eine EC2-Instanz in einem privaten Subnetz erreicht das Internet nicht. Wie debuggst du das? So gehst du ran: eine Frage zum strukturierten Troubleshooting, keine Trivia-Frage. Arbeite dich in Schichten nach außen: Security-Group-Egress, Network ACLs, Routing-Tabelle des Subnetzes, Zustand des NAT Gateways und dessen Route zum IGW, dann DNS. Erzähl es als Checkliste und nenn das Tool, das jeden Schritt bestätigt (Reachability Analyzer, Flow Logs).
Eine Anwendung braucht Lesezugriff auf genau einen S3-Bucket. Wie erteilst du ihn?
So gehst du ran: eine IAM-Rolle auf dem Compute (Instance Profile, IRSA auf EKS oder Workload Identity) mit einer eng gefassten Policy auf genau diesen Bucket und Prefix. Die Fallenantworten, langlebige Access Keys in der App oder s3:* auf Resource: *, fliegen sofort auf. Sag "Least Privilege" laut.
Wie speicherst und rotierst du Secrets für eine Cloud-native App? So gehst du ran: ein Managed Secrets Store (Secrets Manager, Parameter Store oder Vault), zur Laufzeit über die Identity der Workload abgerufen, niemals in Git committet oder ins Image gebacken. Die Regel lautet: die App hält niemals ein statisches, langlebiges Credential.
Betrieb, Zuverlässigkeit und Kosten
Die Latenz in Produktion hat sich gerade verdreifacht und du hast keine Ahnung, warum. Führ mich durch deine ersten zehn Minuten. So gehst du ran: das Incident-Response-Signal. Erst bestätigen und kommunizieren, dann die Golden Signals lesen (Latenz, Traffic, Fehler, Sättigung), letzte Deployments prüfen und Mitigation (Rollback, Skalieren) über Ursachenforschung stellen, solange Kunden leiden. Ruhe schlägt Hektik.
Die Monatsrechnung ist um 40 Prozent gestiegen, ohne dass sich der Traffic geändert hat. Wie findest du die Ursache? So gehst du ran: Cost-Allocation-Tags, Cost Explorer aufgeteilt nach Service und Account und die üblichen Verdächtigen (verwaiste Volumes, ungenutzte Load Balancer, Cross-AZ- oder Egress-Traffic, eine durchgedrehte Autoscaling-Gruppe, vergessene Dev-Umgebungen). Behandle Kosten als Engineering-Metrik mit klaren Verantwortlichen.
Wie gehst du an Backups und Disaster Recovery heran, und woher weißt du, dass sie funktionieren? So gehst du ran: zuerst RTO und RPO definieren, dann auf eine Strategie abbilden (Snapshots, regionsübergreifende Replikation, Infrastruktur, die sich aus Code neu bauen lässt). Der Satz, der sitzt: ein Backup, das du nie zurückgespielt hast, ist eine Hoffnung, kein Backup.
Behavioral und Incident-Tiefe
Erzähl mir vom schlimmsten Produktionsvorfall, an dem du beteiligt warst. Was war deine Rolle, und was hat sich danach geändert? So gehst du ran: nimm einen echten und strukturiere ihn als Situation, deine konkreten Handlungen, die Lösung und den systemischen Fix samt schuldfreiem Postmortem danach. Gesucht werden Verantwortungsübernahme und Lernen, nicht die Frage, ob du je etwas kaputtgemacht hast.
Beschreib eine Situation, in der du mit einer Security- oder Architekturentscheidung nicht einverstanden warst. So gehst du ran: zeig, dass du mit Daten widersprechen und dich danach committen kannst. Die reife Variante enthält einen Fall, in dem du überstimmt wurdest und es trotzdem gut lief, statt einer Geschichte, in der du still einen Workaround gebaut hast.
Typische Fehler, an denen Cloud-Engineer-Kandidaten scheitern
- Services nennen, ohne Trade-offs. "Ich würde Kubernetes nehmen" ist keine Antwort. Warum nicht ECS, Lambda oder eine schlichte Autoscaling-Gruppe? Die Rolle lebt von Urteilsvermögen, nicht von Vokabular.
- Kosten ignorieren. Für ein internes Tool mit zwölf Nutzern ein Active-Active-Setup über fünf Regionen zu entwerfen, signalisiert, dass du noch nie eine Rechnung verantwortet hast.
- Bluffen. Einen Service vorzutäuschen, den du nie benutzt hast, fällt spätestens bei der zweiten Nachfrage auseinander. "Ich habe Aurora nie in Produktion betrieben, aber so würde ich darüber nachdenken" bringt mehr Vertrauen.
- Den Fix erraten. Bei einer Kaputte-VPC-Frage liest sich ein Glückstreffer wie Glück. Schichtweises, laut erzähltes Troubleshooting liest sich wie Kompetenz.
- Security als Nachgedanken behandeln. IAM und Secrets ans Ende einer Design-Runde zu schieben, ist 2026 ein Warnsignal.
Wie du dich vorbereitest (und wo ein Live-Copilot hilft)
Bauen statt nur lesen. Richte einen Free-Tier-Account ein, schreib ein Terraform-Modul, das eine VPC mit öffentlichen und privaten Subnetzen hochzieht, mach das Routing absichtlich kaputt und repariere es. Diese eine Übung deckt ein Drittel der Fragen oben ab.
Übe die Szenariofragen laut, denn Cloud-Interviews belohnen Erzählen. Die Antwort auf "die ersten zehn Minuten eines Incidents" so lange zu proben, bis sie fließt, schlägt das Auswendiglernen von Service-Limits, die du nachschlagen kannst. Bring auch deine Historie auf die Behavioral-Fragen: eine Ausfallgeschichte, eine Migration, ein Meinungsstreit, strukturiert und griffbereit.
Für die Live-Runden, in denen Fragen schneller kommen, als du eine Antwort vollständig formulieren kannst, nimmt ein Echtzeit-Copilot den Druck raus. GhostPilot läuft in der Chrome-Seitenleiste, hört dem Gespräch zu und blendet in dem Moment, in dem eine Frage landet, einen strukturierten Impuls ein: die Schichten, die du bei einer Debugging-Frage prüfen solltest, die Trade-offs, die du bei einer Design-Frage benennen musst, ein Stups Richtung Kosten- oder Security-Aspekt, den du unter Druck vergessen könntest. Du bekommst das Gerüst, kein Skript zum Ablesen, die gelebte Erfahrung lieferst du weiterhin in deiner eigenen Stimme. Mehr auf ghostpilotai.com.
FAQ
Worauf sollte ich mich bei einem Einsteiger-Interview als Cloud Engineer konzentrieren? Grundlagen vor Breite. Kenne die zentralen Compute-, Storage- und Netzwerk-Primitive einer Cloud im Schlaf, versteh IAM und das Shared-Responsibility-Modell und schreib eine einfache Terraform-Konfiguration. Junior-Loops verzeihen Lücken bei Skalierung, wenn deine Grundlagen sitzen.
Wie viele Cloud-Zertifizierungen brauche ich 2026? Ein Zertifikat auf Associate-Level (etwa AWS Solutions Architect Associate) hilft dir durch das Lebenslauf-Screening, besonders ohne viel Erfahrung. Darüber hinaus flacht der Nutzen von Zertifikaten schnell ab. Ein kleines Terraform-Portfolio und ein echtes Projekt, über das du reden kannst, schlagen eine Wand voller Badges.
Enthalten Cloud-Engineer-Interviews immer noch LeetCode-artiges Coding? Weniger als bei Software-Rollen, aber nicht null. Rechne eher mit leichtem Scripting (Python oder Bash, um Logs zu parsen oder eine API aufzurufen) als mit harten Algorithmen. Platform- und SRE-lastige Rollen packen manchmal eine Datenstrukturaufgabe drauf, aber IaC und Szenario-Design dominieren.
Wie unterscheidet sich ein Cloud-Engineer-Interview von einem DevOps- oder SRE-Interview? Es gibt starke Überschneidungen. Cloud Engineer neigt zu Provisionierung, IaC und Anbieter-Services. SRE neigt zu Reliability-Mathematik, SLOs und On-Call-Disziplin. DevOps neigt zu CI/CD und Developer Experience. Ein Loop bedient oft alle drei, und was starke Kandidaten überall scheitern lässt, ist in Service-Namen statt in Trade-offs zu reden.
GhostPilot AI ausprobieren
Cloud-Interviews laufen schnell und die Szenariofragen haben selten eine saubere Antwort, genau da hilft dir ein Echtzeit-Impuls, unter Druck strukturiert zu bleiben. GhostPilot läuft in der Chrome-Seitenleiste, wenn du also einen einzelnen Tab teilst, ist es nicht Teil dessen, was übertragen wird, und die optionale Windows-Desktop-App ist unter Windows 10 (Build 2004 oder neuer) und Windows 11 für Bildschirmaufnahmen unsichtbar. Starte kostenlos mit 10-minütigen Live-Sessions und unbegrenzten KI-Antworten, hol dir einen Session Pass für $29 (drei komplette Zwei-Stunden-Gespräche, einmalig, kein Abo) oder werde Pro für $59/Monat oder $192/Jahr ($16/Monat bei jährlicher Abrechnung).