AWS Emulator im Test: Das kostenlose lokale AWS prüft IAM nicht

AWS hat am 11. November 2026 AWS Emulator veröffentlicht, ein kostenloses Programm, das AWS-Dienste auf den eigenen Computer eines Entwicklers holt. Laut AWS haben KI-Agenten den gesamten Code geschrieben. Entwickler und ihre Coding-Agenten können damit Cloud-Code ohne AWS-Rechnung und ohne echtes AWS-Konto testen. In einem Tech-AI-Wire-Test setzte es IAM-Rechte allerdings nicht durch. Das sind die Regeln, die in einem AWS-Konto festlegen, wer was tun darf. Ob diese Regeln funktionieren, kann das Werkzeug also nicht zeigen.

Ein Emulator ist ein lokaler Ersatz, der auf dieselben Anfragen antwortet wie der echte Dienst. Ein Beitrag auf Werner Vogels' Blog All Things Distributed sagt, er decke mehr als 200 AWS-Dienste über mehr als 400 API-Modelle ab. Der Code liegt unter CC0, einer Widmung an die Gemeinfreiheit, auf GitHub, wie Amazons eigene Darstellung zeigt.

Wie AWS ihn mit Agenten gebaut hat

"Der Emulator wurde komplett von autonomen Agenten geschrieben. Unser Team hat keinen Code geschrieben oder geprüft", sagte Matthew Goldberg, Senior Principal Engineer bei AWS, zu Help Net Security. Goldberg schreibt, das Projekt habe als Wochenendversuch begonnen. Dabei baute ein Agent in 15 Minuten eine erste Version von Amazon SQS, der Nachrichtenwarteschlange von AWS.

Heute erledigen drei Agenten-Teams die Arbeit, berichtet Help Net Security. Eines schreibt Tests aus den öffentlichen API-Spezifikationen von AWS und prüft sie gegen das echte AWS. Ein zweites lässt diese Tests gegen den Emulator laufen. Ein drittes behebt, was scheitert. Jede Änderung muss ein Merge-Gate passieren, das Build, Coding-Standards, Sicherheit und Treue prüft, also wie genau der Emulator AWS nachbildet. Goldberg nennt 438 API-Modelle, "Zehntausende" Tests und Hunderte Agenten, die täglich Tausende Probleme beheben.

Der Beitrag auf Vogels' Blog argumentiert, dass sich die Arbeit von Ingenieuren hin zum Bau dieser Prüfungen verschiebt. "Softwarequalität im KI-Zeitalter hängt von den Leitplanken ab, die Ingenieure um Agenten herum entwerfen", heißt es dort.

Tech-AI-Wire-Test: Einrichtung, Tempo und Rechte

Der Test lief unter macOS 26 mit Docker 28.4.0 auf einem Mac mit Apple Silicon. AWS veröffentlicht kein fertiges Image. Sein Docker-Leitfaden liefert stattdessen ein kurzes Dockerfile, mit einem Arm-Paket für Apple Silicon. Der Build dauerte 65 Sekunden und ergab ein Image mit 1,16 GB. Darin meldete aws-emulator -v die Version 1.0.322 mit dem Release-Datum 2026.11.10.

Mit --telemetry off gestartet, war der Emulator nach 0,6 Sekunden bereit. Sein Log nannte als Endpunkt https://127.0.0.1:9297, mit einem selbst signierten Zertifikat. Er schrieb auch eigene AWS-Konfigurations- und Zugangsdateien, sodass die AWS CLI ihn ohne echte Schlüssel ansprechen konnte. Das Log warnte, dass der Container auf allen Netzwerkschnittstellen lauscht. Deshalb gibt AWS' Leitfaden den Port nur auf 127.0.0.1 frei.

Die Grundlagen funktionierten mit der AWS CLI 2.24.16. In S3, dem Dateispeicher von AWS, gelangen ein Bucket, ein Upload und eine Auflistung. Eine SQS-Warteschlange nahm eine Nachricht an und gab sie zurück. In DynamoDB, der Key-Value-Datenbank von AWS, scheiterte ein sofortiger Schreibzugriff auf eine neue Tabelle mit ResourceNotFoundException, weil die Tabelle noch CREATING war. Nach aws dynamodb wait table-exists klappten Schreiben und Lesen. Der ganze Lauf dauerte 7 Sekunden, und der Container belegte 174 MiB Arbeitsspeicher.

Die Rechte waren die Schwachstelle. Eine Bucket-Richtlinie, die alles verbot, blockierte einen Download tatsächlich mit einem 403-Fehler. Dann legte der Test aber einen IAM-Nutzer ohne angehängte Richtlinien an. Mit dessen Schlüsseln gelangen alle drei Aufrufe:

$ aws sqs list-queues
https://sqs.us-east-1.amazonaws.com/000000000000/taw
$ aws s3 mb s3://nobody-bucket
make_bucket: nobody-bucket
$ aws dynamodb delete-table --table-name taw
DELETING

Vor genau dieser Lücke warnt AWS. Der Emulator wertet IAM- und ressourcenbasierte Richtlinien nicht so aus wie AWS, berichtet Help Net Security. Deshalb rät AWS davon ab, ihn für Sicherheitstests zu nutzen. Ein Neustart löschte außerdem alles, wie die Dokumentation sagt: Nach docker restart war die Bucket-Liste leer.

AWS Emulator gegen den kostenlosen Plan von LocalStack

LocalStack ist ein weiteres Werkzeug, das AWS-Dienste lokal ausführt. Sein kostenloser Plan hat Bedingungen, die AWS Emulator nicht hat. Die Tabelle stützt sich auf LocalStacks Preisseite und AWS' eigene Seiten.

	AWS Emulator	LocalStack Hobby (kostenlos)
Preis	Kostenlos, keine Servicegebühr	Kostenlos
Anmeldung	Im Test nicht nötig	Konto erforderlich
Kommerzielle Nutzung	Keine Grenze genannt; der Code ist CC0	Nicht erlaubt: "für Hobbyisten und andere nicht kommerzielle Nutzung"
Günstigster Bezahlplan	Keiner genannt	Base, 39 $ pro Lizenz und Monat bei jährlicher Zahlung, oder 45 $ monatlich

Was das für Entwickler bedeutet

AWS Emulator ist ein schneller, kostenloser Ort, um Anwendungstests laufen zu lassen und Coding-Agenten AWS-Aufrufe probieren zu lassen. Um zu prüfen, wer was darf, ist er der falsche Ort.

• Testen Sie Rechte weiter im echten AWS. Hier löschte ein Nutzer ohne Rechte eine Tabelle. Prüfen Sie IAM-Rollen und Richtlinien in einem Sandbox-Konto bei AWS.
• Binden Sie ihn an localhost. Nutzen Sie in Docker -p 127.0.0.1:9297:9297, wie es AWS' Leitfaden sagt. Sonst kann ihn jeder in Ihrem Netzwerk aufrufen.
• Schalten Sie die Telemetrie bei Bedarf ab. Fügen Sie --telemetry off hinzu oder setzen Sie EMULATOR_TELEMETRY=off. Sie ist standardmäßig an, sendet laut Help Net Security aber keine Anfragen, Antworten oder Ressourcendaten.
• Legen Sie Testdaten bei jedem Lauf neu an. Alles liegt im Arbeitsspeicher und ist nach einem Neustart weg.
• Warten Sie auf Ressourcen, wie es echter Code tun sollte. Tests, die in eine noch nicht fertige DynamoDB-Tabelle schreiben, scheitern hier.
• Prüfen Sie die Treue, bevor Sie sich auf einen Dienst verlassen. AWS veröffentlicht mit jedem Release auf GitHub Treuewerte pro Dienst.

Teams, die LocalStack nur für AWS-Tests im Beruf bezahlen, haben jetzt eine kostenlose Alternative zum Vergleich. Der Haken ist derselbe, den AWS nennt: Bestandene Tests hier sagen nichts über Ihre Rechte aus.