Private Subnetze: Alle Dienste laufen in privaten Subnetzen ohne öffentliche IP-Adressen. Kein Dienst ist direkt aus dem Internet erreichbar.

Least-Privilege-Netzwerkregeln: Jeder Dienst darf nur mit den Diensten kommunizieren, die er für seine Funktion benötigt. Alle anderen Verbindungen werden blockiert.

Vollständige Umgebungstrennung: Zwischen den Umgebungen (EU, US, CH, DEV) gibt es keine Netzwerkverbindungen — keine VPC-Peerings, keine kontoübergreifenden Routen. Jede Umgebung ist vollständig isoliert.

Interner Datenverkehr: Zugriffe auf Speicher- und Datenbankdienste werden über private Endpunkte innerhalb des AWS-Netzwerks geleitet und verlassen dieses nicht.

Kontrollierter Ausgang: Ausgehender Internetverkehr wird zentral über ein NAT-Gateway geleitet und durch DNS-Firewall-Regeln gefiltert.