[Startseite](https://servhidden.com/de) / [Datenschutz-Hosting-Leitfäden](https://servhidden.com/de/guides) / Full-Disk-Verschlüsselung auf dem VPS: LUKS-Einrichtung und was sie schützt Betrieb # Full-Disk-Verschlüsselung auf einem VPS Festplattenverschlüsselung beantwortet eine Frage gut und mehrere andere gar nicht. Hier erfahren Sie, wie man LUKS auf einem gemieteten Server einrichtet — ein verschlüsseltes Datenvolume, vollständige Root-Verschlüsselung mit Fernentsperrung über dropbear, oder Bare Metal, verschlüsselt bei der Installation — und wie Sie erkennen, welche Ihrer Bedrohungen es tatsächlich beseitigt. [Anleitung lesen](#guide-body) [FAQ](#guide-faq) ## Auf dieser Seite - [Anleitung](#guide-body) - [FAQ](#guide-faq) - [Verwandte Anleitungen](#guide-related) - [Empfohlene Seiten](#guide-cta) Kein KYC Nur Krypto Keine Logs DMCA ignoriert Voller Root-Zugriff NVMe SSD 20 Min. Lesezeit Aktualisiert Aug 2026 Auf dieser Seite [01Wovor Verschlüsselung ruhender Daten tatsächlich schützt](#wovor-verschlüsselung-ruhender-daten-tatsächlich-schützt) [02Warum ein VPS kein Laptop ist](#warum-ein-vps-kein-laptop-ist) [03Die drei Konstellationen, die sich lohnen](#die-drei-konstellationen-die-sich-lohnen) [04Ein Datenvolume auf einem laufenden VPS verschlüsseln](#ein-datenvolume-auf-einem-laufenden-vps-verschlüsseln) [05Vollständige Root-Verschlüsselung mit Fernentsperrung über SSH](#vollständige-root-verschlüsselung-mit-fernentsperrung-über-s) [06Die zwei Einstellungen, die zählen, und die Falle beim kleinen VPS](#die-zwei-einstellungen-die-zählen-und-die-falle-beim-kleinen) [07Swap, Logs, Snapshots — die Teile, die man vergisst](#swap-logs-snapshots-die-teile-die-man-vergisst) [08Wo der Schlüssel lebt, ist das ganze Design](#wo-der-schlüssel-lebt-ist-das-ganze-design) [09Was Ihr Anbieter sehen kann, und wo die Jurisdiktion übernimmt](#was-ihr-anbieter-sehen-kann-und-wo-die-jurisdiktion-übernimm) [10Neun Fehler, die Verschlüsselung zur Dekoration machen](#neun-fehler-die-verschlüsselung-zur-dekoration-machen) [11Lohnt sich das also auf einem VPS?](#lohnt-sich-das-also-auf-einem-vps) [FAQHäufige Fragen](#guide-faq) [→Empfohlene Seiten](#guide-cta) Full-Disk-Verschlüsselung beantwortet genau eine Frage: Was bekommt ein Angreifer in die Hand, wenn er Ihren Speicher besitzt und die Maschine ausgeschaltet ist? Jede andere Frage, die Sie haben könnten — was der Anbieter sehen kann, was passiert, wenn ein laufender Server beschlagnahmt wird, ob Ihre Backups sicher sind — hat eine andere Antwort, und wer sie alle in einen Topf wirft, endet mit einer Verschlüsselung, die gar nichts schützt. Diese Unterscheidung verdient es, unverblümt ausgesprochen zu werden, denn „LUKS-verschlüsselt" steht auf jeder Privacy-Hosting-Seite dieser Branche, [unsere eingeschlossen](https://servhidden.com/de/anonymous-hosting). Es ist eine echte Schutzmaßnahme, kostet im Betrieb fast nichts und ist zugleich die im Hosting am meisten überstrapazierte Schutzmaßnahme. Dieser Leitfaden behandelt, was Verschlüsselung ruhender Daten auf einem gemieteten Server tatsächlich verhindert, die drei Konstellationen, die sich lohnen, samt den Befehlen für jede, die zwei Einstellungen, die auf einem kleinen VPS wirklich zählen, sowie die Handvoll Fehler, die aus der ganzen Übung Dekoration macht. ## Wovor Verschlüsselung ruhender Daten tatsächlich schützt Verschlüsselung ruhender Daten bedeutet, dass die Bytes auf dem Speichermedium Chiffretext sind, solange das Volume geschlossen ist. Das ist eine eng gefasste Aussage, und ihr Wert hängt von einer einzigen Variable ab: wo sich der Schlüssel befindet, wenn der Angreifer eintrifft. | Situation | Hilft LUKS? | | --- | --- | | Ein Laufwerk wird ausgemustert, im Rahmen der Garantie zurückgegeben oder am Ende seiner Lebensdauer weiterverkauft | **Ja** — der Lehrbuchfall, und weit häufiger als jeder dramatische | | Die Maschine wird ausgeschaltet beschlagnahmt, oder der Speicher wird aus dem Rack gezogen | **Ja**, sofern der Schlüssel nicht auf der Maschine liegt | | Der Anbieter kopiert Ihre virtuelle Festplatte, während der Server läuft | Die Kopie ist Chiffretext — aber der Schlüssel liegt im RAM desselben physischen Hosts | | Ein Angreifer auf Hypervisor-Ebene liest den Arbeitsspeicher des Gasts aus | **Nein.** Der Schlüssel eines entsperrten Volumes liegt im Kernel-Speicher | | Jemand erlangt Root auf Ihrem laufenden Server | **Nein.** Das Dateisystem ist gemountet; er liest es genau wie Sie | | Ihre Backups verlassen die Maschine im Klartext | **Nein.** Das wird an der Quelle gelöst, nicht am Ziel | | Sie werden angewiesen, die Passphrase herauszugeben | Keine technische Frage — weiter unten behandelt | Lesen Sie das als Definition, nicht als Enttäuschung. Die Klasse von Risiken durch ein entwendetes Laufwerk auszuschließen, ist eine Stunde Arbeit wert — gerade weil es die Klasse ist, gegen die Sie sonst kein Mittel haben, und die eintritt, ohne dass irgendjemand Sie gezielt ins Visier nimmt: Hardware fällt aus und wird zurückgeschickt, Arrays werden ausgemustert, Volumes werden dem nächsten Mieter neu zugewiesen. Verschlüsselung macht all das zu einem Nicht-Ereignis. Verschlüsselung ruhender Daten beantwortet eine Frage gut: was ein geschlossenes Volume für denjenigen wert ist, der es in der Hand hält. Wo der Schlüssel lebt, entscheidet über alles andere. ## Warum ein VPS kein Laptop ist Bei einem Laptop liegt das Design auf der Hand. Sie tippen beim Start eine Passphrase ein, der Schlüssel existiert nur im RAM, solange die Maschine wach ist, und mit dem Herunterfahren ist die Geschichte zu Ende. Bei einem Server sitzt niemand an der Konsole. Irgendetwas muss den Schlüssel bei jedem Start liefern, und jeder Kandidat für dieses „Irgendetwas" tauscht Verfügbarkeit gegen Schutz: - **Ein Mensch tippt ihn ein.** Die stärkste Variante, weil der Schlüssel niemals auf der Maschine ruht — aber der Server kommt nach einem Neustart nicht ohne Sie zurück, und Sie brauchen einen Weg hinein, bevor das Betriebssystem überhaupt existiert. - **Die Maschine hält ihn selbst.** Bequem, und in den meisten selbstgebauten Setups selbstzerstörerisch: Eine Schlüsseldatei auf derselben virtuellen Festplatte bedeutet, dass jeder, der die Festplatte hat, auch den Schlüssel hat. - **Eine andere Maschine gibt ihn heraus.** Netzwerkgebundene Entsperrung, meist Clevis mit einem Tang-Server. Der Server entsperrt sich nur, solange er einen Host erreichen kann, den Sie kontrollieren — eine echt nützliche Eigenschaft, und eine Verlagerung von Vertrauen, keine Beseitigung. Es gibt einen zweiten Unterschied, den die meisten Leitfäden übergehen. Auf einem VPS liegen /boot und das initramfs im Klartext, sie befinden sich auf Speicher, den letztlich der Anbieter kontrolliert, und es gibt keine Boot-Kette, die Sie überprüfen können — kein TPM, das Ihnen gehört, kein Measured Boot, nichts zu bezeugen. Ein Anbieter, der Ihre Passphrase haben wollte, könnte das initramfs verändern und sie beim nächsten Entsperren mitschneiden. Das ist keine Beschreibung dessen, was wir tun; es ist eine Beschreibung dessen, was die Architektur zulässt, und das ist die einzige ehrliche Art, über einen gemieteten Computer nachzudenken. Unser [Vergleich zwischen VPS und dediziertem Server](https://servhidden.com/de/guides/vps-vs-dedicated-for-privacy) geht dieselbe Vertrauensgrenze von der Hardware-Seite aus durch, und [unsere ehrliche Antwort zur Offshore-Anonymität](https://servhidden.com/de/guides/is-offshore-hosting-truly-anonymous) wendet dieselbe Disziplin auf das Marketing dazu an. ## Die drei Konstellationen, die sich lohnen Es gibt nicht das eine richtige Setup — es gibt dasjenige, dessen Fehlermodus Sie ertragen können. Diese drei decken im Grunde jeden realen Fall ab. | Konstellation | Was sie abdeckt | Kosten eines Neustarts | Aussperrungsrisiko | | --- | --- | --- | --- | | **1.** Verschlüsseltes Datenvolume, von Hand nach dem Start geöffnet | Die Daten, die zählen — Datenbank, Mail-Speicher, Dokumente, Schlüssel | Server kommt von allein zurück; der Tresor wartet auf Sie | Sehr gering | | **2.** Vollständiges Root-LUKS mit Fernentsperrung über dropbear | Alles: Systemprotokolle, Konfiguration, Swap, der ganze Rest | Jeder Neustart braucht Sie, über SSH, bevor der Bootvorgang abgeschlossen ist | Real — eine defekte Netzwerkkonfiguration im initramfs legt die Maschine lahm | | **3.** Bare Metal bei der Installation verschlüsselt, Passphrase über IPMI eingegeben | Alles, ohne Hypervisor unter dem Schlüssel | Jeder Neustart braucht Sie, an der Out-of-Band-Konsole | Gering — IPMI ist ein unabhängiger Weg hinein | Beginnen Sie mit der ersten, sofern Sie keinen besonderen Grund dagegen haben. Sie liefert den Großteil des Schutzes bei einem Bruchteil des Betriebsrisikos und besitzt die eine Eigenschaft, die den beiden anderen fehlt: Nichts daran kann verhindern, dass der Server wieder online geht. Konstellation drei ist die einzige, bei der die Passphrase eine Tatsache ist, an die der Anbieter nicht herankommt, statt ein Versprechen, das der Anbieter gibt — weshalb unsere [dedizierten Server](https://servhidden.com/de/dedicated) LUKS bei der Installation einrichten, mit einer Passphrase, die wir nie zu Gesicht bekommen. ## Ein Datenvolume auf einem laufenden VPS verschlüsseln Das ist die Konstellation, zu der Sie zuerst greifen sollten. Nichts wird neu installiert, am Bootvorgang ändert sich nichts, und wenn Ihnen ein Fehler unterläuft, ist das schlimmste Ergebnis eine Container-Datei, die Sie wegwerfen. Fünfzehn Minuten auf einem laufenden Debian- oder Ubuntu-Server. - **Das Werkzeug installieren.** apt install cryptsetup. Wenn Ihr Plan Ihnen ein zweites Block-Gerät gegeben hat, verwenden Sie es direkt und überspringen Sie den nächsten Schritt. - **Einen Container anlegen.** Auf einem VPS mit nur einer Festplatte ist eine Datei der praktische Weg: fallocate -l 40G /var/lib/vault.img. Sie verhält sich wie eine Festplatte und kann später vergrößert werden. - **Als LUKS2 formatieren.** cryptsetup luksFormat --type luks2 /var/lib/vault.img. Übernehmen Sie die Standardwerte für die Chiffre; der Abschnitt weiter unten behandelt den einen Parameter, an dem es sich auf einem kleinen Server lohnt zu drehen. - **Öffnen und ein Dateisystem anlegen.** cryptsetup open /var/lib/vault.img vault liefert Ihnen /dev/mapper/vault; dann mkfs.ext4 /dev/mapper/vault und mount /dev/mapper/vault /srv/vault. - **Die Daten, die zählen, verschieben und dann Dienste darauf zeigen lassen.** Ein Bind-Mount oder ein rsync bei gestopptem Dienst ist meist sauberer als Symlinks — Datenbanken mögen es besonders wenig, wenn man sie herumverfolgt. - **Den LUKS-Header sichern.** cryptsetup luksHeaderBackup /var/lib/vault.img --header-backup-file vault-header.bin, dann diese Datei vom Server wegbewegen. Ein paar beschädigte Kilobyte am Anfang des Containers zerstören jedes Byte dahinter, dauerhaft, und das ist die einzige Versicherung, die es dafür gibt. - **Schließen und beweisen, dass Sie wieder hineinkommen.** umount /srv/vault && cryptsetup close vault, dann öffnen Sie ihn erneut anhand Ihrer Notizen statt aus dem Gedächtnis. Tun Sie das, bevor irgendetwas Wertvolles darin liegt. Nach einem Neustart bleibt der Tresor verschlossen, bis Sie sich anmelden und ihn öffnen. Das ist keine Einschränkung, die man wegkonstruieren sollte — das ist der ganze Sinn der Sache. Ein Volume, das sich selbst öffnet, ist ein Volume, dessen Schlüssel auf der Maschine liegt. **Die Migrationsfalle.** Klartext in einen verschlüsselten Tresor zu kopieren, schreibt ihn nicht dort weg, wo er herkam. Auf virtualisiertem Speicher ist shred von Natur aus unzuverlässig — die Schicht, die Sie überschreiben, ist nicht die Schicht, die die Daten speichert. Wenn das Material wirklich sensibel ist, beginnen Sie verschlüsselt auf einem frischen Server, statt auf dem alten nachträglich in Verschlüsselung zu migrieren. ## Vollständige Root-Verschlüsselung mit Fernentsperrung über SSH Wenn die Anforderung lautet, dass *nichts* Lesbares eine Beschlagnahmung im ausgeschalteten Zustand übersteht — Logs, Shell-Verlauf, Paketlisten, die Form dessen, was Sie betreiben —, muss auch das Root-Dateisystem in den Container. Das Problem wird dann, eine Passphrase in eine Maschine zu bekommen, die noch nicht gebootet hat, und die Antwort ist ein winziger SSH-Server, der im initramfs lebt. - **Von Anfang an verschlüsselt installieren.** Booten Sie den Distributions-Installer über den [Upload einer benutzerdefinierten ISO](https://servhidden.com/de/vps) und wählen Sie geführte Partitionierung mit verschlüsseltem LVM. Ein laufendes Root-Dateisystem nachträglich zu konvertieren ist möglich, aber das Risiko nicht wert. - **Den Pre-Boot-SSH-Server hinzufügen.** apt install dropbear-initramfs, dann Ihren öffentlichen Schlüssel in /etc/dropbear/initramfs/authorized_keys eintragen. Das ist ein eigener Schlüsselsatz, getrennt von Ihrem normalen SSH — verwenden Sie einen dedizierten Schlüssel. - **Absichern.** Setzen Sie in /etc/dropbear/initramfs/dropbear.conf DROPBEAR_OPTIONS="-I 180 -j -k -p 2222 -s": keine Passwort-Logins, keine Portweiterleitung, ein eigener Port, und ein Idle-Timeout, damit eine hängende Sitzung den Bootvorgang nicht offenhält. - **Dem initramfs ein Netzwerk geben.** Fügen Sie einen statischen ip=-Parameter zu GRUB_CMDLINE_LINUX in /etc/default/grub hinzu — die Form lautet ip=address::gateway:netmask::interface:off. Sich an dieser Stelle auf DHCP zu verlassen ist der Weg, auf dem Menschen ausgesperrt enden. - **Neu bauen und neu starten.** update-initramfs -u && update-grub, dann neu starten und mit ssh -p 2222 root@your-server verbinden und cryptroot-unlock ausführen. Ihr Client wird vor einem unbekannten Host-Schlüssel warnen: Das initramfs hat seinen eigenen, das ist zu erwarten, und es lohnt sich, ihn in einem separaten known_hosts-Eintrag zu pinnen. - **Den Fehlerpfad testen, bevor Sie sich darauf verlassen.** Installieren Sie ein Kernel-Update, starten Sie neu, entsperren Sie erneut. Kernel-Upgrades erzeugen das initramfs neu, und genau dann zeigt sich eine Fehlkonfiguration. **Setzen Sie das nicht ohne Out-of-Band-Konsole ein.** Kommt dropbear nicht hoch, kann SSH Ihnen nicht helfen — der einzige Weg zurück ist eine Konsole, die funktioniert, bevor das Betriebssystem es tut. Jeder ServHidden-VPS bietet VNC-Konsolenzugriff, und jeder dedizierte Server hat volles IPMI/KVM, sodass der Wiederherstellungsweg existiert. Bei einem Anbieter ohne diesen ist Konstellation eins die einzig verantwortbare Wahl. ## Die zwei Einstellungen, die zählen, und die Falle beim kleinen VPS LUKS2 verwendet standardmäßig AES-XTS mit einem 512-Bit-Schlüssel und Argon2id-Schlüsselableitung. Beides ist richtig. Die Chiffre von Hand nachzujustieren ist ein Weg, gleichzeitig langsamer und schwächer zu werden, und das Internet ist voller kopierter Befehlszeilen, die genau das tun. Zwei Dinge verdienen jedoch Ihre Aufmerksamkeit. ### Performance ist kein Thema — bis sie es ist Prüfen Sie Hardwarebeschleunigung mit grep -m1 -o aes /proc/cpuinfo und messen Sie mit cryptsetup benchmark. Auf jeder CPU mit AES-NI — und das ist jeder Node, den wir betreiben — bewegt AES-XTS mehrere Gigabyte pro Sekunde und Kern, komfortabel über dem, was eine einzelne virtuelle Festplatte liefert, sodass die spürbaren Kosten bei starker I/O-Last wenige Prozent CPU und ein kleiner Latenzanstieg sind. Ohne AES-NI kehrt sich das Bild um, und Verschlüsselung wird zum Flaschenhals; das ist der einzige Fall, in dem eine andere Chiffre eine echte Entscheidung ist und kein Cargo-Kult. ### Der Argon2id-Speicher ist es, der zubeißt Argon2id ist bewusst speicherhungrig, und cryptsetup kalibriert ihn beim Formatieren anhand des RAM der Maschine, auf der Sie gerade formatieren. Formatieren Sie ein Volume auf einer 32-GB-Workstation und verschieben Sie es auf einen 1-GB-VPS, kann das Entsperren komplett fehlschlagen, weil der von der Schlüsselableitung verlangte Speicher schlicht nicht vorhanden ist — noch schlimmer innerhalb eines initramfs, wo weit weniger verfügbar ist als in einem laufenden System. Pinnen Sie ihn auf kleinen Instanzen fest: cryptsetup luksFormat --type luks2 --pbkdf argon2id --pbkdf-memory 262144 /dev/vdb deckelt ihn bei 256 MB. Weniger ist eine echte Verringerung der Widerstandsfähigkeit gegen Offline-Brute-Force, gleichen Sie das also mit einer längeren Passphrase aus. Ein optionales Flag verdient eine bewusste Entscheidung statt Copy-Paste: --allow-discards reicht TRIM an das darunterliegende Gerät durch, was gut für SSD-Verschleiß und die Dauerleistung ist, aber auch offenbart, wie viel des Volumes in Benutzung ist und ungefähr wo. Standardmäßig ist es aus. Schalten Sie es ein, im Wissen, was es preisgibt. ## Swap, Logs, Snapshots — die Teile, die man vergisst Ein verschlüsselter Tresor, um den herum Klartext sickert, ist der häufigste Fehler von allen, und er bleibt unsichtbar, bis jemand genau hinsieht. - **Swap.** Alles im Arbeitsspeicher kann auf die Festplatte ausgelagert werden, einschließlich des Materials, das Sie sorgfältig in den Tresor gelegt haben. Deaktivieren Sie Swap entweder ganz, oder geben Sie ihm bei jedem Start einen zufälligen Schlüssel mit einer /etc/crypttab-Zeile wie swap /dev/vdb1 /dev/urandom swap,cipher=aes-xts-plain64,size=256. - **Alles, was dorthin schreibt, wo Sie nicht hingesehen haben.** /var/log, /tmp, das Datenverzeichnis der Datenbank, /var/lib/docker, Shell-Verlauf, systemd-Journale. /srv/vault zu verschlüsseln, während PostgreSQL nach /var/lib/postgresql schreibt, erreicht genau gar nichts. Erst aufzählen, dann verschlüsseln. - **Snapshots.** Ein Snapshot eines verschlüsselten Volumes auf Blockebene ist Chiffretext und daher unbedenklich. Ein Snapshot, der den Speicherzustand erfasst, ist ein völlig anderes Objekt und kann den Schlüssel enthalten. Wissen Sie, welche Art Ihr Anbieter-Panel erstellt, bevor Sie es verwenden. - **Backups.** Das Ziel ist der falsche Ort, um das zu lösen. Werkzeuge wie restic und BorgBackup verschlüsseln an der Quelle mit einem Schlüssel, den das Ziel nie zu sehen bekommt — weshalb ein [Backup-Server](https://servhidden.com/de/use-cases/backup-server-hosting) eine gewöhnliche Maschine in einer anderen Jurisdiktion sein kann statt einer vertrauenswürdigen. - **Der Klartext, den Sie bereits irgendwohin geschickt haben.** Verschlüsselung ruhender Daten wirkt nicht rückwirkend. Alles, was bereits kopiert, gemailt oder anderswohin synchronisiert wurde, liegt außerhalb der Grenze, die Sie jetzt ziehen. ## Wo der Schlüssel lebt, ist das ganze Design Jede Konstellation oben ist im Grunde eine Aussage über die Verwahrung des Schlüssels. Es gibt vier Optionen, und sie sind nicht gleichwertig: - **In Ihrem Kopf, bei jedem Start eingetippt.** Maximaler Schutz, maximale Betriebsreibung. Die Maschine kann ohne Sie schlicht nicht gelesen werden. - **In einer Datei auf der verschlüsselten Maschine.** Schützt gegen einen naiven Weiterverkauf der Festplatte und gegen nichts sonst. Liegt diese Datei auf dem Klartext-/boot, schützt sie vor gar nichts — der mit Abstand häufigste Fehler bei selbstgehosteter Verschlüsselung. - **Auf einer Maschine, die Sie kontrollieren, über das Netzwerk geholt.** Clevis, gebunden an einen Tang-Server: clevis luks bind -d /dev/vdb tang '{"url":"https://tang.example.net"}'. Der Server startet unbeaufsichtigt, solange er sein Zuhause erreichen kann, und verweigert die Entsperrung überall sonst. Ausgezeichnet für Flotten ohne Konsole, und es macht den Tang-Host zu dem Ding, das verteidigt werden muss. - **In einem TPM.** Sinnvoll auf Hardware, die Ihnen gehört. Auf einem VPS wird das virtuelle TPM vom selben Hypervisor bereitgestellt, den Sie eigentlich ausschließen wollen — es löst also Bequemlichkeit, nicht Vertrauen. Ein Test klärt die meisten Designs: **Wenn die Maschine ohne Sie einen Login-Prompt erreichen kann, liegt der Schlüssel auf der Maschine.** Das kann ein durchaus vernünftiger Kompromiss sein — viele Workloads wollen unbeaufsichtigte Neustarts mehr als Widerstandsfähigkeit gegen einen entschlossenen Angreifer. Treffen Sie die Wahl bewusst, und beschreiben Sie das Ergebnis nicht als etwas, das es nicht ist. ## Was Ihr Anbieter sehen kann, und wo die Jurisdiktion übernimmt Auf einem VPS sitzt ein Hypervisor unter Ihnen. Wir lesen den Arbeitsspeicher des Gasts nicht, und wir führen weder Traffic-, Verbindungs- noch DNS-Logs, keine Konsolen-Spur — aber das sind Richtlinien, und die ehrliche Einordnung ist, dass ein VPS Sie bittet, sich darauf zu verlassen. Bei Bare Metal gibt es keinen Hypervisor zwischen Ihnen und dem Silizium: Full-Disk-Verschlüsselung, bei der Installation eingerichtet mit einer Passphrase, die wir nie erhalten, ist eine physische Eigenschaft der Maschine statt einer Zusicherung von uns. Dieser Unterschied, nicht die Wahl der Chiffre, ist es, zwischen dem Sie wirklich wählen. Deshalb sind Verschlüsselung und Jurisdiktion zwei Hälften einer Antwort. Verschlüsselung entscheidet, was eine Kopie Ihrer Festplatte wert ist; die Jurisdiktion entscheidet, wer die Maschine zur Herausgabe zwingen kann, über welches Verfahren und wie schnell. Wir betreiben Server in sieben — Island, der Schweiz, Panama, Rumänien, Moldau, den Niederlanden und Russland —, und die Überlegungen zur Wahl zwischen ihnen stehen in unserem [Jurisdiktions-Leitfaden](https://servhidden.com/de/guides/choosing-an-offshore-jurisdiction), oder in kürzerer Form über den [Jurisdiktions-Selektor](https://servhidden.com/de/jurisdiction-selector) und die [Standorte-Seite](https://servhidden.com/de/locations). Der Teil, den Verschlüsselung nicht berühren kann, ist die Zwangsoffenlegung, denn sie zielt auf Sie, nicht auf die Hardware. Das Vereinigte Königreich, Frankreich und Australien gehören zu den Ländern, deren Recht eine Person zwingen kann, einen Entschlüsselungsschlüssel herauszugeben, oder eine Strafe für die Weigerung vorsieht. Diese Gefährdung folgt dem Ort, an dem *Sie* sich befinden, nicht dem Ort des Servers, und keine Konfiguration auf der Maschine ändert das. Sich ohne Identitätsdokumente anzumelden begrenzt von vornherein, wie viel Papierspur überhaupt entsteht — der praktische, unglamouröse Grund, warum [No-KYC-Hosting](https://servhidden.com/de/no-kyc-hosting) und Verschlüsselung im selben Gespräch landen — aber es ist kein Schutz vor einem Gericht, das Ihren Namen bereits kennt. ## Neun Fehler, die Verschlüsselung zur Dekoration machen - **Automatisches Entsperren aus einer Schlüsseldatei auf derselben Festplatte.** Die Mehrheit der „verschlüsselten" Server, und das Äquivalent dazu, den Schlüssel im Schloss stecken zu lassen. - **Ein Volume verschlüsseln, das die sensiblen Daten nie erreichen.** Der Tresor ist leer, und die Datenbank ist nicht darin. - **Den LUKS-Header nie sichern.** Ein beschädigter Sektor am Anfang des Containers, und jedes Byte dahinter ist für immer verloren. - **Den Entsperrpfad nie testen.** Dann erzeugt ein Kernel-Upgrade das initramfs neu, und der nächste Neustart wird zu einer Rettungsaktion. - **Auf einer großen Maschine formatieren und auf einer kleinen entsperren.** Argon2id verlangt Speicher, den der VPS nicht bereitstellen kann, und das Volume öffnet sich nicht. - **Eine Passphrase wie ein Login-Passwort wählen.** Nichts begrenzt die Rate eines Offline-Angriffs außer der Schlüsselableitungsfunktion. Länge ist es, was Zeit erkauft. - **Klartext in Verschlüsselung migrieren und annehmen, das Original sei weg.** Auf virtualisiertem Speicher löscht Überschreiben nicht zuverlässig. - **Die Passphrase über denselben Kanal senden, über den die Maschine administriert wird.** [Server-OpSec](https://servhidden.com/de/guides/server-opsec-staying-anonymous) behandelt das dadurch entstehende Korrelationsproblem. - **Die Verschlüsselung des Anbieters mit der eigenen verwechseln.** „Die gesamte Infrastruktur ist im Ruhezustand verschlüsselt" — unsere eingeschlossen — schützt die Infrastruktur. Nur ein Schlüssel, den Sie selbst halten, schützt Sie vor der Infrastruktur. ## Lohnt sich das also auf einem VPS? Ja, mit kalibrierten Erwartungen. Für eine Stunde Arbeit und keine messbaren laufenden Kosten entfernt ein verschlüsseltes Datenvolume eine ganze Klasse von Risiken, gegen die Sie sonst kein Mittel haben — und entfernt sie dauerhaft: ausgemusterte Hardware, neu zugewiesener Speicher, eine ausgeschaltete Maschine in fremder Obhut. Tun Sie das auf jedem Server, der irgendetwas Wichtiges enthält, gleich nach der [Checkliste für die erste Stunde](https://servhidden.com/de/guides/first-hour-vps-hardening-checklist). Was es nicht tut, ist einen gemieteten Computer zu Ihrem Computer zu machen. Wenn Ihr Bedrohungsmodell den Anbieter selbst als Angreifer einschließt, behebt keine Chiffre das — die Antwort ist [dedizierte Hardware](https://servhidden.com/de/dedicated), bei der der Schlüssel über IPMI eingegeben wird und nie durch einen Hypervisor läuft, eine bewusst gewählte Jurisdiktion, und die Disziplin, auf keinen Server zu legen, was dort nicht sein muss. Die Schutzmaßnahme dem tatsächlichen Bedrohungsmodell anzupassen, ist der Unterschied zwischen Privatsphäre und ihrem bloßen Anschein. FAQ ## Einen Server verschlüsseln — häufige Fragen ### 01 Schützt Full-Disk-Verschlüsselung meinen VPS vor dem Hosting-Anbieter? Nicht, solange der Server läuft. Sobald Sie das Volume entsperren, liegt der Schlüssel im Kernel-Speicher des physischen Hosts, und ein Angreifer auf Hypervisor-Ebene kann auf den Arbeitsspeicher zugreifen. Wovor Verschlüsselung tatsächlich schützt, ist jeder, der Ihren Speicher besitzt, während er geschlossen ist: ausgemusterte oder weiterverkaufte Laufwerke, ein neu zugewiesenes Volume, eine ausgeschaltet beschlagnahmte Maschine. Wenn Ihr Bedrohungsmodell den Anbieter wirklich einschließt, lautet die Antwort: dedizierter Bare-Metal-Server, verschlüsselt bei der Installation, mit einer Passphrase, die der Anbieter nie erhält – nicht eine andere Chiffre auf einem VPS. ### 02 Kann ich einen bestehenden VPS verschlüsseln, ohne ihn neu zu installieren? Sie können Ihre Daten verschlüsseln, ohne neu zu installieren: Legen Sie mit fallocate eine LUKS-Containerdatei an, formatieren Sie sie mit cryptsetup luksFormat, öffnen Sie sie, legen Sie ein Dateisystem darauf an und verschieben Sie Ihre Datenbank, Ihren Mail-Speicher und Ihre Schlüssel hinein. Das dauert etwa fünfzehn Minuten und bringt keine Ausfallzeit mit sich außer dem Neustart der betroffenen Dienste. Das Root-Dateisystem an Ort und Stelle zu verschlüsseln ist eine andere Sache – das ist möglich, aber heikel, und eine Neuinstallation von einer benutzerdefinierten ISO mit verschlüsseltem LVM ist sowohl schneller als auch sicherer. ### 03 Wie funktioniert die Fernentsperrung, wenn niemand an der Konsole sitzt? Ein kleiner SSH-Server, dropbear, ist im initramfs eingebettet und startet, bevor das verschlüsselte Root geöffnet wird. Sie installieren dropbear-initramfs, fügen einen öffentlichen Schlüssel hinzu, geben dem initramfs eine statische IP, bauen es neu, und bei jedem Start verbinden Sie sich über den dropbear-Port und führen cryptroot-unlock aus. Die Passphrase wird von Ihnen eingetippt und niemals auf dem Server gespeichert. Setzen Sie es nicht ohne Out-of-Band-Konsole ein – VNC bei einem VPS, IPMI bei einem dedizierten Server –, denn wenn dropbear nicht hochkommt, kann SSH Sie nicht retten. ### 04 Bremst LUKS einen Server aus? Auf jeder CPU mit AES-NI-Hardwarebeschleunigung praktisch nicht. AES-XTS läuft mit mehreren Gigabyte pro Sekunde und Kern, was über dem liegt, was eine einzelne virtuelle Festplatte liefert, sodass die praktischen Kosten bei starker I/O-Last wenige Prozent CPU und ein kleiner Latenzanstieg sind. Führen Sie cryptsetup benchmark auf Ihrer eigenen Maschine aus, um echte Zahlen zu sehen. Ohne AES-NI wird der Overhead erheblich, und das ist die einzige Situation, in der eine andere Chiffre eine Überlegung wert ist. ### 05 Was passiert, wenn ich die Passphrase verliere? Die Daten sind weg. Es gibt keinen Wiederherstellungsmechanismus, kein Zurücksetzen durch den Anbieter und keine Hintertür – genau das war die Eigenschaft, die Sie gekauft haben. Zwei Dinge verringern das Risiko: LUKS2 unterstützt mehrere Key-Slots, fügen Sie also eine zweite lange Passphrase oder eine Schlüsseldatei hinzu, die anderswo aufbewahrt wird, und sichern Sie den LUKS-Header mit cryptsetup luksHeaderBackup und bewahren Sie ihn abseits des Servers auf. Ein beschädigter Header zerstört das Volume ebenso gründlich wie eine vergessene Passphrase. ### 06 Ist Festplattenverschlüsselung legal, und kann ich gezwungen werden, den Schlüssel herauszugeben? Festplattenverschlüsselung zu nutzen ist in allen sieben Jurisdiktionen, in denen wir tätig sind, legal, und es ist gängige Praxis, kein verdächtiger Akt. Zwangsoffenlegung ist eine andere Frage und folgt der Person, nicht der Hardware: Das Vereinigte Königreich, Frankreich und Australien gehören zu den Ländern, deren Recht jemanden zwingen kann, einen Entschlüsselungsschlüssel herauszugeben, oder eine Strafe für die Weigerung vorsieht. Das bestimmt sich danach, wo Sie sich befinden und welches Gericht Zugriff auf Sie hat, und keine Serverkonfiguration ändert das. ### 07 Hilft Verschlüsselung, wenn der Server beschlagnahmt wird, während er läuft? Nein. Bei einem laufenden Server ist das Volume gemountet und der Schlüssel im Arbeitsspeicher, sodass jeder mit Zugriff das Dateisystem genau wie Sie liest – und Geräte werden aus genau diesem Grund normalerweise eingeschaltet mitgenommen. Verschlüsselung ruhender Daten ist Schutz für ein geschlossenes Volume. Wenn plötzlicher Verlust der Verfügungsgewalt Teil Ihres Bedrohungsmodells ist, hilft es, weniger auf der Maschine zu halten, Backups anderswo und an der Quelle verschlüsselt aufzubewahren und eine Jurisdiktion zu wählen, in der der Rechtsweg zur Maschine langsam und eng begrenzt ist. ### 08 Ist eine LUKS-Containerdatei so sicher wie die Verschlüsselung eines ganzen Block-Geräts? Kryptografisch ja – derselbe LUKS2-Header, dieselbe Chiffre und Schlüsselableitung gelten so oder so, und der Container verhält sich nach dem Öffnen wie ein Block-Gerät. Eine separate Festplatte ist geringfügig aufgeräumter und vermeidet Fragmentierung auf dem Dateisystem des Hosts, aber auf einem VPS mit nur einer Festplatte ist die Container-Datei der Standardansatz und gibt nichts Wichtiges preis. Was die Sicherheit verändert, ist nicht das Container-Format, sondern wo der Schlüssel lebt und welche Daten Sie tatsächlich hineinlegen. Verwandte Anleitungen ## Weiterlesen [### Wie Sie im Jahr 2026 die richtige Offshore-Hosting-Jurisdiktion wählen Kauf Ein praktischer Entscheidungsrahmen für die Wahl einer Offshore-Jurisdiktion: Datenspeicherungspflicht, MLAT-Exposition, DMCA-Haltung, Reaktionsgeschwindigkeit der Gerichte und reale Durchsetzung — Land für Land. 6-Fragen-FAQ](https://servhidden.com/de/guides/choosing-an-offshore-jurisdiction) [### VPS vs. Dedizierter Server für datenschutzkritische Workloads Kauf Wann ein VPS ausreicht, wann geteilte Mieterschaft zum Risiko wird und wann Bare Metal die einzig ehrliche Antwort ist. Hardware-Isolation, Hypervisor-Risiko und Kosten vs. Bedrohungsmodell. 6-Fragen-FAQ](https://servhidden.com/de/guides/vps-vs-dedicated-for-privacy) [### Selbst gehostetes VPN auf einem No-KYC-VPS: WireGuard vs. OpenVPN Betrieb Warum ein selbst gehostetes VPN kommerziellen Anbietern überlegen ist und wie WireGuard und OpenVPN im Jahr 2026 wirklich bei Datenschutz, Performance und Betriebsrisiko abschneiden. 6-Fragen-FAQ](https://servhidden.com/de/guides/self-hosted-vpn-wireguard-vs-openvpn) [### RTX 4090 vs H100 SXM5 für KI-Inferenz (und wo RTX 5090 passt) Kauf Kaufentscheidungs-Leitfaden: welche NVIDIA-GPU für selbst gehostete LLM-, Bild-, Video-, Sprach- und Fine-Tuning-Workloads im Jahr 2026. RTX 4090 vs RTX 5090 vs H100 SXM5 vs Dual H100 — VRAM, Durchsatz, $/Token, wann jede gewinnt. 6-Fragen-FAQ](https://servhidden.com/de/guides/rtx-4090-vs-h100-for-ai-inference) [### Offshore Windows RDP für MT4 / MT5 / cTrader Forex-Trading Betrieb Vollständiger Leitfaden: Warum ein Windows-RDP für Forex-Trading, wie man eine latenzarme Offshore-Jurisdiktion wählt, MT4 / MT5 / cTrader / Expert-Advisor-Setup, Latenz zu Broker-Servern und der No-KYC-Checkout-Pfad. 6-Fragen-FAQ](https://servhidden.com/de/guides/offshore-windows-rdp-for-forex-trading) [### DMCA-Ignored Hosting erklärt: Was es 2026 wirklich bedeutet Kauf Was „DMCA ignored“ Hosting wirklich bringt, welche Jurisdiktionen das tatsächlich unterstützen, welche Workloads es brauchen — und welche Copyright-Fallen der Begriff nicht abdeckt. 6-Fragen-FAQ](https://servhidden.com/de/guides/dmca-ignored-hosting-explained) [### Anonyme Domain-Registrierung mit Krypto: WHOIS-Datenschutz 2026 Datenschutz Ein praktischer Guide 2026 zur Domain-Registrierung ohne Identitätsoffenbarung: WHOIS-Regime nach TLD, Registrar-Wahl, Coin-Wahl und operative Hygiene. 6-Fragen-FAQ](https://servhidden.com/de/guides/anonymous-domain-registration-with-crypto) [### Krypto-Zahlungen für Hosting: Monero vs. Bitcoin vs. USDT Datenschutz Wie die Wahl der Zahlungswährung beeinflusst, was Ihr Hoster über Sie erfährt. Datenschutz, Gebühren, Abwicklung und Chain-Analyse-Exposition für XMR, BTC und USDT — mit einer klaren Empfehlung. 6-Fragen-FAQ](https://servhidden.com/de/guides/crypto-payments-monero-vs-bitcoin-vs-usdt) [### Ist Offshore-Hosting wirklich anonym? Eine ehrliche Antwort Datenschutz Offshore-Hosting ohne KYC entfernt die Identität, die ein normaler Hoster erfasst – aber „anonym" hängt von der Zahlung, der Protokollierung des Anbieters und Ihrer eigenen Opsec ab. Hier erfahren Sie, was wirklich nachverfolgbar ist. 6-Fragen-FAQ](https://servhidden.com/de/guides/is-offshore-hosting-truly-anonymous) [### Die erste Stunde VPS-Härtung: Eine Checkliste Betrieb Eine konkrete, geordnete Checkliste, um einen neuen VPS in unter einer Stunde abzusichern: SSH-Schlüssel, eine Firewall, fail2ban, automatische Updates und die Reduzierung der Angriffsfläche, die die meisten opportunistischen Angriffe stoppt. 6-Fragen-FAQ](https://servhidden.com/de/guides/first-hour-vps-hardening-checklist) [### Was ist No-KYC-Hosting? Definition, Rechtslage und Funktionsweise Datenschutz Mit No-KYC-Hosting können Sie einen Server mieten, ohne jegliche Identitätsprüfung — kein Name, keine E-Mail, kein Ausweis. Hier erfahren Sie genau, was das bedeutet, wie es technisch funktioniert, ob es legal ist und wie Sie einen seriösen Anbieter erkennen. 6-Fragen-FAQ](https://servhidden.com/de/guides/what-is-no-kyc-hosting) [### Ist Offshore-Hosting legal? Die ehrliche Antwort für 2026 Kauf Offshore-Hosting ist legal – für Sie und für den Anbieter. Hier erfahren Sie, was der Begriff wirklich bedeutet, wo die rechtliche Grenze tatsächlich liegt, welche Mythen Sie getrost vergessen können und wie Sie es verantwortungsvoll nutzen. 6-Fragen-FAQ](https://servhidden.com/de/guides/is-offshore-hosting-legal) [### Hosting mit Monero (XMR) bezahlen – Schritt für Schritt Datenschutz Eine Schritt-für-Schritt-Anleitung zur Bezahlung eines VPS oder dedizierten Servers mit Monero (XMR): warum XMR die privateste Zahlungsmethode ist, wie man es erwirbt und wie der Bezahlvorgang abläuft – vom Rechnungsstellung bis zum laufenden Server in wenigen Minuten. 6-Fragen-FAQ](https://servhidden.com/de/guides/how-to-pay-for-hosting-with-monero) [### Wie man eine Website anonym hostet — Ein praktischer Leitfaden 2026 Datenschutz Ein praktischer, mehrschichtiger Leitfaden zum Hosten einer Website ohne zugeordnete Identität: Konto, Zahlung, Domain, Jurisdiction, Verbindung und Inhalt — jede Schicht ausführlich erklärt. 6-Fragen-FAQ](https://servhidden.com/de/guides/how-to-host-a-website-anonymously) [### WireGuard VPN auf einem VPS einrichten — Schritt-für-Schritt-Anleitung Betrieb Bauen Sie Ihr eigenes privates VPN auf einem VPS mit WireGuard: warum ein selbst gehostetes VPN kommerziellen Angeboten überlegen ist, die vollständige Einrichtung von der Installation bis zum verbundenen Client und wie Sie es absichern. 6-Fragen-FAQ](https://servhidden.com/de/guides/how-to-set-up-wireguard-vpn-on-a-vps) [### LLM auf einem GPU-Server selbst hosten — Leitfaden 2026 Betrieb Betreiben Sie Ihr eigenes Large Language Model auf einem gemieteten GPU-Server: Warum Self-Hosting einer API überlegen ist, welche GPU und welches Modell sich eignen, die Einrichtung mit Ollama oder vLLM und was es kostet. 6-Fragen-FAQ](https://servhidden.com/de/guides/self-host-an-llm-on-a-gpu-server) [### Bulletproof Hosting vs. Offshore Hosting — Was ist der Unterschied? Kauf Bulletproof Hosting und Offshore Hosting werden ständig verwechselt — dabei sind es nicht dasselbe. Hier ist der echte Unterschied, warum er wichtig ist und welches der beiden Sie tatsächlich brauchen. 6-Fragen-FAQ](https://servhidden.com/de/guides/bulletproof-vs-offshore-hosting) [### VPS mit Bitcoin kaufen — Schritt für Schritt (2026) Kauf Eine verständliche Anleitung zum Kauf eines VPS mit Bitcoin: BTC beschaffen, einen Tarif wählen, die Rechnung bezahlen und was Sie erhalten — einen laufenden Server ohne Kreditkarte und ohne hinterlegten Namen. 6-Fragen-FAQ](https://servhidden.com/de/guides/how-to-buy-a-vps-with-bitcoin) [### Die besten Länder für DMCA-ignorierten Hosting im Jahr 2026 Kauf Wo Sie hosten, wenn Ihre Server außerhalb der Reichweite US-amerikanischer Takedown-Mechanismen liegen sollen: die Rechtsordnungen, die funktionieren, was DMCA-ignoriert wirklich bedeutet und wie Sie die richtige Wahl treffen. 6-Fragen-FAQ](https://servhidden.com/de/guides/best-countries-for-dmca-ignored-hosting) [### Tor Hidden Service hosten (.onion-Website) — Anleitung 2026 Betrieb Einen Tor-Onion-Dienst auf einem VPS einrichten: was ein Hidden Service ist, warum er die stärkste Form des anonymen Hostings darstellt, die vollständige Einrichtung und wie man ihn wirklich anonym hält. 6-Fragen-FAQ](https://servhidden.com/de/guides/how-to-host-a-tor-hidden-service) [### Offshore-Mailserver einrichten — Private E-Mails selbst hosten in 2026 Betrieb Betreiben Sie Ihren eigenen privaten Mailserver auf einem Offshore-VPS: Warum E-Mails selbst hosten, was Sie dafür brauchen, die realistische Einrichtung mit einem All-in-One-Mailstack und wie Sie die Zustellbarkeit sicherstellen. 6-Fragen-FAQ](https://servhidden.com/de/guides/offshore-mail-server-setup) [### Krypto-Node-Hosting-Leitfaden — Blockchain-Node auf einem VPS betreiben Betrieb Wie man einen Blockchain-Node auf einem Server hostet: warum man einen eigenen Node betreiben sollte, wie man den Server für Bitcoin, Ethereum, Monero und weitere Ketten dimensioniert, die Einrichtung und wie man ihn privat hält. 6-Fragen-FAQ](https://servhidden.com/de/guides/crypto-node-hosting-guide) [### GPU-Hosting für Stable Diffusion — Eigenen Bildgenerierungsserver betreiben Betrieb Stable Diffusion auf einem eigenen GPU-Server betreiben: Warum selbst hosten, welche GPU die richtige ist, Einrichtung mit einer Web-Oberfläche und Kostenvergleich mit gehosteten Diensten. 6-Fragen-FAQ](https://servhidden.com/de/guides/gpu-hosting-for-stable-diffusion) [### Server-OpSec — Anonym bleiben, wenn man einen Server betreibt Datenschutz Operative Sicherheit für alle, die einen anonymen Server betreiben: die Fehler, die zur Deanonymisierung führen, die Gewohnheiten, die sie verhindern, und wie man Identitäten konsequent trennt. 6-Fragen-FAQ](https://servhidden.com/de/guides/server-opsec-staying-anonymous) [### Seedbox-Einrichtungsanleitung — Bauen Sie 2026 Ihre eigene private Seedbox Betrieb So bauen Sie Ihre eigene Seedbox auf einem Server: Was eine Seedbox ist, wie Sie sie dimensionieren, einen Torrent-Client mit Web-UI installieren und sie privat und sicher betreiben. 6-Fragen-FAQ](https://servhidden.com/de/guides/seedbox-setup-guide) [### DPI-Zensur mit dem eigenen VPS umgehen (Leitfaden 2026) Datenschutz Ihr VPN funktioniert plötzlich nicht mehr? So umgehen Sie DPI-Zensur mit dem eigenen VPS: was Deep Packet Inspection wirklich erkennt, welches der fünf 2026 relevanten Protokolle welche Sperre aushebelt, und eine vollständige VLESS+REALITY-Anleitung. 6-Fragen-FAQ](https://servhidden.com/de/guides/bypass-dpi-censorship-with-your-own-vps) [### Ursprungsserver-IP verbergen: CDN, Reverse Proxy und was trotzdem leckt Datenschutz Ob ein CDN vor den Offshore-Server gehört: was es verbirgt, welche Abuse-Stelle Sie erben, die sechs Wege, wie eine Ursprungs-IP trotzdem leckt, und wie Sie Ihre eigene prüfen. 8-Fragen-FAQ](https://servhidden.com/de/guides/hiding-your-origin-server-ip) [### VPS-Backup: verschlüsselt, extern und wirklich wiederherstellbar Betrieb Ihr Hoster speichert keine Backups. Was Server wirklich zerstört, restic vs. BorgBackup, die vergessenen Schlüssel – und wie Sie einen Restore testen, bevor es zu spät ist. 8-Fragen-FAQ](https://servhidden.com/de/guides/vps-backup-strategy) [### Matrix-Server selbst hosten: Federation, Metadaten & E2EE-Lücken Betrieb Was ein eigener Matrix-Homeserver wirklich bringt: Synapse vs. Conduit, der unveränderliche server_name, volle Platten und was Federation dennoch preisgibt. 8-Fragen-FAQ](https://servhidden.com/de/guides/self-host-a-matrix-server) [### Website zu Offshore-Hosting migrieren – ohne Ausfallzeit Betrieb Die Reihenfolge, die eine Host-Migration langweilig macht: die DNS-TTL Tage vorher senken, beide Server parallel betreiben, Schreibvorgänge für Minuten statt Stunden einfrieren – und die Spur aus Passive DNS, Certificate Transparency und WHOIS aufräumen, die der Umzug hinterlässt. 8-Fragen-FAQ](https://servhidden.com/de/guides/migrate-website-to-offshore-hosting) [### How to Self-Host a Crypto Payment Gateway with BTCPay Server Betrieb Run your own non-custodial checkout on an offshore VPS: BTCPay Server, a pruned Bitcoin node, Lightning and Monero — how to size the disk, why the private keys must never touch the machine, and where KYC quietly reappears at the cash-out. 8-Fragen-FAQ](https://servhidden.com/de/guides/self-host-a-crypto-payment-gateway) ## Verschlüsseln Sie auf Hardware, die für diesen Zweck gewählt wurde KVM-VPS mit VNC-Konsole und Upload benutzerdefinierter ISOs, oder dedizierte Bare-Metal-Server mit IPMI und LUKS bei der Installation — über sieben Offshore-Jurisdiktionen hinweg, ohne KYC, nur Krypto. Ihre Passphrase, Ihr Schlüssel, keine angehängte Identität. [VPS-Tarife ansehen](https://servhidden.com/de/vps) [Dedizierte Server](https://servhidden.com/de/dedicated) [Offshore-Hosting](https://servhidden.com/de/anonymous-hosting) ## Structured data (JSON-LD) ```json { "@context": "https://schema.org", "@type": "Organization", "@id": "https://servhidden.com/#organization", "name": "ServHidden", "url": "https://servhidden.com", "description": "Offshore-VPS & Dedicated Server in 7 datenschutzfreundlichen Jurisdiktionen. Kein KYC, keine Logs, nur Krypto. Datenschutz durch Architektur.", "logo": { "@type": "ImageObject", "url": "https://servhidden.com/ServHidden.webp", "width": 512, "height": 512 }, "foundingDate": "2025", "areaServed": [ { "@type": "Country", "name": "Iceland" }, { "@type": "Country", "name": "Panama" }, { "@type": "Country", "name": "Moldova" }, { "@type": "Country", "name": "Romania" }, { "@type": "Country", "name": "Switzerland" }, { "@type": "Country", "name": "Netherlands" }, { "@type": "Country", "name": "Russia" } ], "knowsAbout": [ "Offshore hosting", "Offshore VPS", "Bare-metal dedicated servers", "DMCA-ignored hosting", "No KYC hosting", "Cryptocurrency payments", "Privacy engineering", "Token-based authentication", "Anonymous domain name registration", "No-KYC domain registrar", "WHOIS privacy", "Cheap .com domains", "Crypto-paid domain names", "NVIDIA GPU compute", "Windows RDP hosting", "Agentic commerce" ], "contactPoint": { "@type": "ContactPoint", "contactType": "customer support", "url": "https://servhidden.com/contact", "availableLanguage": [ "en", "ru", "zh", "es", "fr", "de", "pt", "ar", "ja", "ko", "hi", "id", "it", "tr", "fa", "vi" ] }, "sameAs": [ "https://servhidden.com/canary", "https://servhidden.com/press" ] } ``` ```json { "@context": "https://schema.org", "@type": "WebSite", "@id": "https://servhidden.com/#website", "url": "https://servhidden.com", "name": "ServHidden", "publisher": { "@id": "https://servhidden.com/#organization" }, "inLanguage": [ "en", "ru", "zh", "es", "fr", "de", "pt", "ar", "ja", "ko", "hi", "id", "it", "tr", "fa", "vi" ] } ``` ```json { "@context": "https://schema.org", "@type": "Article", "headline": "Full-Disk-Verschlüsselung auf dem VPS: LUKS-Einrichtung und was sie schützt", "description": "Festplattenverschlüsselung mit LUKS auf dem VPS: verschlüsselte Datenvolumes, Root-Verschlüsselung mit SSH-Fernentsperrung und die Einstellungen für kleine Server.", "image": "https://servhidden.com/assets/img/guides/full-disk-encryption-on-a-vps.webp?v=1787136235", "author": { "@type": "Organization", "@id": "https://servhidden.com/#editorial", "name": "ServHidden Editorial", "url": "https://servhidden.com/about", "description": "Operator-side editorial team writing about offshore hosting jurisdictions, offshore server architecture, self-hosted privacy stacks and crypto payments.", "knowsAbout": [ "Offshore hosting jurisdictions", "Data retention law", "MLAT and judicial cooperation", "WireGuard and OpenVPN deployment", "Tor relay operation", "Monero and Bitcoin payment privacy", "KVM virtualization and bare-metal hosting", "DMCA-ignored hosting" ], "parentOrganization": { "@id": "https://servhidden.com/#organization" } }, "publisher": { "@id": "https://servhidden.com/#organization" }, "datePublished": "2026-08-19T00:00:00+00:00", "dateModified": "2026-08-19T00:00:00+00:00", "mainEntityOfPage": "https://servhidden.com/guides/full-disk-encryption-on-a-vps", "inLanguage": "de", "keywords": "VPS full disk encryption, encrypt VPS with LUKS, LUKS remote unlock dropbear, encrypted VPS hosting, cryptsetup LUKS2 setup, encryption at rest server, protect data if server is seized, dedicated server disk encryption", "articleSection": "Betrieb", "wordCount": 3974 } ``` ```json { "@context": "https://schema.org", "@type": "FAQPage", "mainEntity": [ { "@type": "Question", "name": "Schützt Full-Disk-Verschlüsselung meinen VPS vor dem Hosting-Anbieter?", "acceptedAnswer": { "@type": "Answer", "text": "Nicht, solange der Server läuft. Sobald Sie das Volume entsperren, liegt der Schlüssel im Kernel-Speicher des physischen Hosts, und ein Angreifer auf Hypervisor-Ebene kann auf den Arbeitsspeicher zugreifen. Wovor Verschlüsselung tatsächlich schützt, ist jeder, der Ihren Speicher besitzt, während er geschlossen ist: ausgemusterte oder weiterverkaufte Laufwerke, ein neu zugewiesenes Volume, eine ausgeschaltet beschlagnahmte Maschine. Wenn Ihr Bedrohungsmodell den Anbieter wirklich einschließt, lautet die Antwort: dedizierter Bare-Metal-Server, verschlüsselt bei der Installation, mit einer Passphrase, die der Anbieter nie erhält – nicht eine andere Chiffre auf einem VPS." } }, { "@type": "Question", "name": "Kann ich einen bestehenden VPS verschlüsseln, ohne ihn neu zu installieren?", "acceptedAnswer": { "@type": "Answer", "text": "Sie können Ihre Daten verschlüsseln, ohne neu zu installieren: Legen Sie mit fallocate eine LUKS-Containerdatei an, formatieren Sie sie mit cryptsetup luksFormat, öffnen Sie sie, legen Sie ein Dateisystem darauf an und verschieben Sie Ihre Datenbank, Ihren Mail-Speicher und Ihre Schlüssel hinein. Das dauert etwa fünfzehn Minuten und bringt keine Ausfallzeit mit sich außer dem Neustart der betroffenen Dienste. Das Root-Dateisystem an Ort und Stelle zu verschlüsseln ist eine andere Sache – das ist möglich, aber heikel, und eine Neuinstallation von einer benutzerdefinierten ISO mit verschlüsseltem LVM ist sowohl schneller als auch sicherer." } }, { "@type": "Question", "name": "Wie funktioniert die Fernentsperrung, wenn niemand an der Konsole sitzt?", "acceptedAnswer": { "@type": "Answer", "text": "Ein kleiner SSH-Server, dropbear, ist im initramfs eingebettet und startet, bevor das verschlüsselte Root geöffnet wird. Sie installieren dropbear-initramfs, fügen einen öffentlichen Schlüssel hinzu, geben dem initramfs eine statische IP, bauen es neu, und bei jedem Start verbinden Sie sich über den dropbear-Port und führen cryptroot-unlock aus. Die Passphrase wird von Ihnen eingetippt und niemals auf dem Server gespeichert. Setzen Sie es nicht ohne Out-of-Band-Konsole ein – VNC bei einem VPS, IPMI bei einem dedizierten Server –, denn wenn dropbear nicht hochkommt, kann SSH Sie nicht retten." } }, { "@type": "Question", "name": "Bremst LUKS einen Server aus?", "acceptedAnswer": { "@type": "Answer", "text": "Auf jeder CPU mit AES-NI-Hardwarebeschleunigung praktisch nicht. AES-XTS läuft mit mehreren Gigabyte pro Sekunde und Kern, was über dem liegt, was eine einzelne virtuelle Festplatte liefert, sodass die praktischen Kosten bei starker I/O-Last wenige Prozent CPU und ein kleiner Latenzanstieg sind. Führen Sie cryptsetup benchmark auf Ihrer eigenen Maschine aus, um echte Zahlen zu sehen. Ohne AES-NI wird der Overhead erheblich, und das ist die einzige Situation, in der eine andere Chiffre eine Überlegung wert ist." } }, { "@type": "Question", "name": "Was passiert, wenn ich die Passphrase verliere?", "acceptedAnswer": { "@type": "Answer", "text": "Die Daten sind weg. Es gibt keinen Wiederherstellungsmechanismus, kein Zurücksetzen durch den Anbieter und keine Hintertür – genau das war die Eigenschaft, die Sie gekauft haben. Zwei Dinge verringern das Risiko: LUKS2 unterstützt mehrere Key-Slots, fügen Sie also eine zweite lange Passphrase oder eine Schlüsseldatei hinzu, die anderswo aufbewahrt wird, und sichern Sie den LUKS-Header mit cryptsetup luksHeaderBackup und bewahren Sie ihn abseits des Servers auf. Ein beschädigter Header zerstört das Volume ebenso gründlich wie eine vergessene Passphrase." } }, { "@type": "Question", "name": "Ist Festplattenverschlüsselung legal, und kann ich gezwungen werden, den Schlüssel herauszugeben?", "acceptedAnswer": { "@type": "Answer", "text": "Festplattenverschlüsselung zu nutzen ist in allen sieben Jurisdiktionen, in denen wir tätig sind, legal, und es ist gängige Praxis, kein verdächtiger Akt. Zwangsoffenlegung ist eine andere Frage und folgt der Person, nicht der Hardware: Das Vereinigte Königreich, Frankreich und Australien gehören zu den Ländern, deren Recht jemanden zwingen kann, einen Entschlüsselungsschlüssel herauszugeben, oder eine Strafe für die Weigerung vorsieht. Das bestimmt sich danach, wo Sie sich befinden und welches Gericht Zugriff auf Sie hat, und keine Serverkonfiguration ändert das." } }, { "@type": "Question", "name": "Hilft Verschlüsselung, wenn der Server beschlagnahmt wird, während er läuft?", "acceptedAnswer": { "@type": "Answer", "text": "Nein. Bei einem laufenden Server ist das Volume gemountet und der Schlüssel im Arbeitsspeicher, sodass jeder mit Zugriff das Dateisystem genau wie Sie liest – und Geräte werden aus genau diesem Grund normalerweise eingeschaltet mitgenommen. Verschlüsselung ruhender Daten ist Schutz für ein geschlossenes Volume. Wenn plötzlicher Verlust der Verfügungsgewalt Teil Ihres Bedrohungsmodells ist, hilft es, weniger auf der Maschine zu halten, Backups anderswo und an der Quelle verschlüsselt aufzubewahren und eine Jurisdiktion zu wählen, in der der Rechtsweg zur Maschine langsam und eng begrenzt ist." } }, { "@type": "Question", "name": "Ist eine LUKS-Containerdatei so sicher wie die Verschlüsselung eines ganzen Block-Geräts?", "acceptedAnswer": { "@type": "Answer", "text": "Kryptografisch ja – derselbe LUKS2-Header, dieselbe Chiffre und Schlüsselableitung gelten so oder so, und der Container verhält sich nach dem Öffnen wie ein Block-Gerät. Eine separate Festplatte ist geringfügig aufgeräumter und vermeidet Fragmentierung auf dem Dateisystem des Hosts, aber auf einem VPS mit nur einer Festplatte ist die Container-Datei der Standardansatz und gibt nichts Wichtiges preis. Was die Sicherheit verändert, ist nicht das Container-Format, sondern wo der Schlüssel lebt und welche Daten Sie tatsächlich hineinlegen." } } ] } ``` ```json { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "position": 1, "name": "Startseite", "item": "https://servhidden.com/de/" }, { "@type": "ListItem", "position": 2, "name": "Datenschutz-Hosting-Leitfäden", "item": "https://servhidden.com/de/guides" }, { "@type": "ListItem", "position": 3, "name": "Full-Disk-Verschlüsselung auf dem VPS: LUKS-Einrichtung und was sie schützt", "item": "https://servhidden.com/de/guides/full-disk-encryption-on-a-vps" } ] } ``` ```json { "@context": "https://schema.org", "@type": "HowTo", "name": "Full-Disk-Verschlüsselung auf einem VPS", "description": "Festplattenverschlüsselung mit LUKS auf dem VPS: verschlüsselte Datenvolumes, Root-Verschlüsselung mit SSH-Fernentsperrung und die Einstellungen für kleine Server.", "image": "https://servhidden.com/assets/img/guides/full-disk-encryption-on-a-vps.webp?v=1787136235", "inLanguage": "de", "totalTime": "PT1H", "step": [ { "@type": "HowToStep", "position": 1, "name": "Wovor Verschlüsselung ruhender Daten tatsächlich schützt", "text": "Verschlüsselung ruhender Daten bedeutet, dass die Bytes auf dem Speichermedium Chiffretext sind, solange das Volume geschlossen ist. Das ist eine eng gefasste Aussage, und ihr Wert hängt von einer einzigen Variable ab: wo sich der Schlüssel befindet, wenn der Angreifer eintrifft. SituationHilft L…", "url": "https://servhidden.com/guides/full-disk-encryption-on-a-vps#wovor-verschlüsselung-ruhender-daten-tatsächlich-schützt" }, { "@type": "HowToStep", "position": 2, "name": "Warum ein VPS kein Laptop ist", "text": "Bei einem Laptop liegt das Design auf der Hand. Sie tippen beim Start eine Passphrase ein, der Schlüssel existiert nur im RAM, solange die Maschine wach ist, und mit dem Herunterfahren ist die Geschichte zu Ende. Bei einem Server sitzt niemand an der Konsole. Irgendetwas muss den Schlüssel bei je…", "url": "https://servhidden.com/guides/full-disk-encryption-on-a-vps#warum-ein-vps-kein-laptop-ist" }, { "@type": "HowToStep", "position": 3, "name": "Die drei Konstellationen, die sich lohnen", "text": "Es gibt nicht das eine richtige Setup — es gibt dasjenige, dessen Fehlermodus Sie ertragen können. Diese drei decken im Grunde jeden realen Fall ab. KonstellationWas sie abdecktKosten eines NeustartsAussperrungsrisiko 1. Verschlüsseltes Datenvolume, von Hand nach dem Start geöffnetDie Daten, die …", "url": "https://servhidden.com/guides/full-disk-encryption-on-a-vps#die-drei-konstellationen-die-sich-lohnen" }, { "@type": "HowToStep", "position": 4, "name": "Ein Datenvolume auf einem laufenden VPS verschlüsseln", "text": "Das ist die Konstellation, zu der Sie zuerst greifen sollten. Nichts wird neu installiert, am Bootvorgang ändert sich nichts, und wenn Ihnen ein Fehler unterläuft, ist das schlimmste Ergebnis eine Container-Datei, die Sie wegwerfen. Fünfzehn Minuten auf einem laufenden Debian- oder Ubuntu-Server.…", "url": "https://servhidden.com/guides/full-disk-encryption-on-a-vps#ein-datenvolume-auf-einem-laufenden-vps-verschlüsseln" }, { "@type": "HowToStep", "position": 5, "name": "Vollständige Root-Verschlüsselung mit Fernentsperrung über SSH", "text": "Wenn die Anforderung lautet, dass nichts Lesbares eine Beschlagnahmung im ausgeschalteten Zustand übersteht — Logs, Shell-Verlauf, Paketlisten, die Form dessen, was Sie betreiben —, muss auch das Root-Dateisystem in den Container. Das Problem wird dann, eine Passphrase in eine Maschine zu bekomme…", "url": "https://servhidden.com/guides/full-disk-encryption-on-a-vps#vollständige-root-verschlüsselung-mit-fernentsperrung-über-s" }, { "@type": "HowToStep", "position": 6, "name": "Die zwei Einstellungen, die zählen, und die Falle beim kleinen VPS", "text": "LUKS2 verwendet standardmäßig AES-XTS mit einem 512-Bit-Schlüssel und Argon2id-Schlüsselableitung. Beides ist richtig. Die Chiffre von Hand nachzujustieren ist ein Weg, gleichzeitig langsamer und schwächer zu werden, und das Internet ist voller kopierter Befehlszeilen, die genau das tun. Zwei Din…", "url": "https://servhidden.com/guides/full-disk-encryption-on-a-vps#die-zwei-einstellungen-die-zählen-und-die-falle-beim-kleinen" }, { "@type": "HowToStep", "position": 7, "name": "Swap, Logs, Snapshots — die Teile, die man vergisst", "text": "Ein verschlüsselter Tresor, um den herum Klartext sickert, ist der häufigste Fehler von allen, und er bleibt unsichtbar, bis jemand genau hinsieht. Swap. Alles im Arbeitsspeicher kann auf die Festplatte ausgelagert werden, einschließlich des Materials, das Sie sorgfältig in den Tresor gelegt habe…", "url": "https://servhidden.com/guides/full-disk-encryption-on-a-vps#swap-logs-snapshots-die-teile-die-man-vergisst" }, { "@type": "HowToStep", "position": 8, "name": "Wo der Schlüssel lebt, ist das ganze Design", "text": "Jede Konstellation oben ist im Grunde eine Aussage über die Verwahrung des Schlüssels. Es gibt vier Optionen, und sie sind nicht gleichwertig: In Ihrem Kopf, bei jedem Start eingetippt. Maximaler Schutz, maximale Betriebsreibung. Die Maschine kann ohne Sie schlicht nicht gelesen werden. In einer …", "url": "https://servhidden.com/guides/full-disk-encryption-on-a-vps#wo-der-schlüssel-lebt-ist-das-ganze-design" }, { "@type": "HowToStep", "position": 9, "name": "Was Ihr Anbieter sehen kann, und wo die Jurisdiktion übernimmt", "text": "Auf einem VPS sitzt ein Hypervisor unter Ihnen. Wir lesen den Arbeitsspeicher des Gasts nicht, und wir führen weder Traffic-, Verbindungs- noch DNS-Logs, keine Konsolen-Spur — aber das sind Richtlinien, und die ehrliche Einordnung ist, dass ein VPS Sie bittet, sich darauf zu verlassen. Bei Bare M…", "url": "https://servhidden.com/guides/full-disk-encryption-on-a-vps#was-ihr-anbieter-sehen-kann-und-wo-die-jurisdiktion-übernimm" }, { "@type": "HowToStep", "position": 10, "name": "Neun Fehler, die Verschlüsselung zur Dekoration machen", "text": "Automatisches Entsperren aus einer Schlüsseldatei auf derselben Festplatte. Die Mehrheit der „verschlüsselten\" Server, und das Äquivalent dazu, den Schlüssel im Schloss stecken zu lassen. Ein Volume verschlüsseln, das die sensiblen Daten nie erreichen. Der Tresor ist leer, und die Datenbank ist n…", "url": "https://servhidden.com/guides/full-disk-encryption-on-a-vps#neun-fehler-die-verschlüsselung-zur-dekoration-machen" }, { "@type": "HowToStep", "position": 11, "name": "Lohnt sich das also auf einem VPS?", "text": "Ja, mit kalibrierten Erwartungen. Für eine Stunde Arbeit und keine messbaren laufenden Kosten entfernt ein verschlüsseltes Datenvolume eine ganze Klasse von Risiken, gegen die Sie sonst kein Mittel haben — und entfernt sie dauerhaft: ausgemusterte Hardware, neu zugewiesener Speicher, eine ausgesc…", "url": "https://servhidden.com/guides/full-disk-encryption-on-a-vps#lohnt-sich-das-also-auf-einem-vps" } ] } ```