AWS-Alternative ohne KYC: der Umzug weg von den Hyperscalern

Warum Teams AWS, DigitalOcean, Hetzner und Vultr verlassen

Die Suchanfragen nach einer AWS-Alternative ohne KYC stammen überwiegend von Leuten, die bereits etwas in Produktion haben. Das ist wichtig, weil es die Frage verschiebt: nicht mehr welche Cloud ist am günstigsten, sondern was geht kaputt, wenn ich umziehe. Drei Auslöser erklären die meisten Fälle. Der erste ist eine nachträgliche Identitätsanfrage — ein Konto, das ein Jahr lang klaglos abgerechnet hat, wird plötzlich eingeschränkt, bis ein Dokument hochgeladen wird. Der zweite ist die Rechnung: Compute war kalkuliert, Egress nicht. Der dritte ist leiser und kommt meist zuletzt — die Erkenntnis, dass ein Firmen-Cloud-Konto ein dauerhaftes, für Vorladungen zugängliches Protokoll darüber ist, wer was betreibt.

Die vier Namen in der Überschrift sind nicht gleichwertig. AWS, DigitalOcean und Vultr sind US-Unternehmen mit US-Firmenstruktur; Hetzner ist deutsch und preislich aggressiv genug, dass man den Papierkram in Kauf nimmt. Gemeinsam ist ihnen nicht eine bestimmte Richtlinie, sondern eine Fähigkeit: Jeder hält ein verifiziertes Zahlungsmittel vor und behält sich vor, nach eigenem Ermessen weitere Nachweise zu einem bereits aufgebauten Konto zu verlangen. Die Alternative ist keine freundlichere Richtlinie — es ist ein Anbieter, der dieses Material von vornherein nie erhebt, was den Kern unserer No-KYC-Position ausmacht.

Was jeder Hyperscaler prüft, bevor Sie eine Instanz starten können

Es hilft, die Prüfebene in Schichten zu zerlegen, denn keine ID erforderlich stimmt meist, ist aber meist irrelevant. Schicht eins ist die E-Mail-Adresse und zunehmend eine Telefonnummer, die eine SMS empfangen muss — schon zwei Identifikatoren, die die meisten Menschen überall wiederverwenden. Schicht zwei ist die Zahlungskarte, und das ist die Schicht, die die eigentliche Arbeit leistet: Die Karte wurde von einer Bank ausgestellt, die eine vollständige Identitätsprüfung durchgeführt hat, sodass der Anbieter eine verifizierte rechtliche Identität übernimmt, ohne je selbst ein Dokument zu verlangen. Schicht drei, selektiv aktiviert, ist die Dokumentenanfrage — Ausweis, Selfie, Kontoauszug —, meist ausgelöst durch einen Risikowert, den Sie nie zu sehen bekommen.

Deshalb ändert es fast nichts, eine amerikanische Cloud mit einer Privacy-Coin zu bezahlen, die auf einer kartengebundenen Börse gekauft wurde: Die Identität wurde bereits auf Schicht zwei festgestellt, bevor überhaupt Krypto ins Spiel kam. KYC aus dem Hosting zu entfernen bedeutet, die Kreditbeziehung zu entfernen, die es erfordert — nicht die Zahlungsschiene auszutauschen, die obendrauf montiert ist. Der Guide zu einem VPS ohne ID-Verifizierung behandelt die Kontoseite im Detail, und Hosting anonym bezahlen behandelt die Finanzierungsseite, einschließlich der Glieder in der Kette, die Menschen verraten. Das Glossar definiert die auf dieser Seite verwendeten Begriffe.

Postpaid-Karten im Vergleich zu einem vorausbezahlten Krypto-Guthaben

Der strukturelle Unterschied zwischen beiden Modellen ist Kredit. Ein Hyperscaler lässt Sie zuerst verbrauchen und rechnet danach ab, wodurch Sie jeweils für einen Monat zum Schuldner werden — und niemand räumt einer anonymen Gegenpartei Kredit ein. Identitätsprüfung ist kein Anbau an postpaid Abrechnung; sie ist das, was postpaid Abrechnung überhaupt erst möglich macht. Kehrt man die Richtung um, verschwindet die Anforderung. Ein Guthaben im Voraus trägt kein Kreditrisiko, es gibt also nichts zu prüfen und keinen Grund, zu wissen, wer Sie sind. Das ist der eigentliche Mechanismus hinter einem Cloud-Server ohne Identitätsprüfung, und es lohnt sich, ihn zu verstehen, bevor er wie Marketing klingt.

In der Praxis: Ein Konto ist ein Benutzername und ein Passwort, mit acht bei der Registrierung ausgestellten Wiederherstellungscodes und ohne jede E-Mail im gesamten Ablauf. Sie laden zwischen $30.00 und $5,000.00 pro Vorgang auf, in einer von 8 Coins und Netzwerkvarianten über 7 Währungen hinweg, mit Monero und Bitcoin an erster Stelle. Deployments und Verlängerungen belasten dieses Guthaben dann intern — keine Rechnung, keine Wartezeit auf eine Bestätigung, ein VPS online in etwa 15 min. Ungenutztes Guthaben ist innerhalb von 30 Tagen nach der Aufladung, die es finanziert hat, in Krypto rückerstattbar, abzüglich Netzwerkgebühren. Die vollständige Mechanik, einschließlich der Bonusstaffel bei größeren Aufladungen, steht in Vorausbezahltes Guthaben, erklärt; die Monero-Anleitung zeigt eine Aufladung von Anfang bis Ende.

Egress, Bandbreite und die Rechnung, die niemand vorhersieht

Nach Verbrauch abgerechneter Egress ist der Posten, der am häufigsten die Suche auslöst, die Sie hierher geführt hat. Compute lässt sich leicht kalkulieren — Instanzstunden mal Tarif —, während Egress eine Funktion davon ist, wie beliebt Ihr Angebot am Ende wird, und genau das ist die Zahl, die sich nicht vorhersagen lässt. Drumherum liegen die Nebenzähler: Transfer zwischen Zonen, Kapazitätseinheiten des Load-Balancers, Gateway-Stunden und Pro-Gigabyte-Gebühren, um die eigenen Backups wieder herauszuholen. Ein Monat unerwarteten Erfolgs kommt als Rechnung statt als Engpass an, und die Architektur wird am Ende vom Preisblatt geformt.

Unsere Antwort ist eine pauschale. Jeder VPS-Plan liefert einen ungemessenen Port — 1 Gbps über die gesamte Reihe, 2 Gbps beim größten Plan — und der monatliche Preis ist der gesamte Preis. Es gibt kein Transferkontingent, das man sprengen könnte, und keine Pro-Gigabyte-Gebühr beim Ausgang, weshalb Medien, Backup-Ziele, Mirrors und VPN-Exits meist zuerst umziehen. Die 1.5 Tbps L3/4-Abwehr ist Standard und kein gesondert abgerechnetes Add-on. Ungemessen heißt nicht unbeaufsichtigt, und alles andere zu behaupten wäre unehrlich: Die Nutzungsrichtlinie gilt weiterhin, und Spam, Malware-Command-and-Control und CSAM werden bei Entdeckung sofort entfernt.

Gerichtsbarkeit: Wer nach dem Wechsel von den US-Clouds noch an Ihre Daten kommt

Der Wechsel weg von einer US-Cloud ändert, welchem Rechtssystem Ihre Infrastruktur untersteht, und das ist meist ein größerer Effekt als der Preis. Ein in den USA eingetragener Anbieter ist über US-Verfahren erreichbar, ganz gleich, welche Flagge über dem Rechenzentrum weht, denn die Konzernmutter ist der Hebelpunkt, nicht das Rack. Einen Host außerhalb dieser Struktur zu wählen, verlagert die Frage auf andere Gerichte mit anderen Maßstäben dafür, was eine Anordnung enthalten muss, bevor jemand danach handelt. Das ist eine echte Veränderung, kein Fluchtweg: Irgendjemand hat immer die Zuständigkeit, und Sie entscheiden nur, wer das ist.

Es stehen 6 Regionen zur Auswahl. Bukarest und Amsterdam werden zum Grundtarif abgerechnet und bieten die stärkste europäische Anbindung; Zürich, Reykjavík, Kuala Lumpur und Panama-Stadt erhalten jeweils einen im Konfigurator live angezeigten Regionsaufschlag und bieten jeweils etwas anderes — gesetzlichen Datenschutz, einen Rahmen für Pressefreiheit, Asien-Pazifik-Latenz außerhalb der Five Eyes, oder kein Gesetz zur Vorratsdatenspeicherung. Die Abwägungen werden Region für Region in welchen Offshore-Standort sollten Sie wählen? und rechtlich in Offshore-Hosting-Gerichtsbarkeiten im Vergleich ausgearbeitet. Unsere eigene Position bleibt unverändert: DMCA-Hinweise werden weder bearbeitet noch beantwortet — die DMCA ist ein US-Gesetz ohne Wirkung in unseren Rechtsräumen, und wir handeln nur aufgrund einer bindenden Anordnung eines Gerichts, das für den betreffenden Server zuständig ist. Was dieser Satz abdeckt und was nicht, wird in was 'DMCA-ignoriertes Hosting' wirklich bedeutet erläutert.

Eine AWS- oder DigitalOcean-Instanz auf einen No-KYC-Plan übertragen

Die meisten Migrationen sind kleiner, als sie sich anfühlen. Eine Allzweck-Instanz ist eine vCPU-Zahl, ein Arbeitsspeicherwert und eine Festplatte, und die No-KYC-VPS-Staffel umfasst Drift, Shelf, Slope, Abyss und Hadal ab $8.00/Monat — die genauen Spezifikationen stehen auf der Plan-Seite und nicht hier, wo sie veralten würden. Zwei Gewohnheiten lohnt es sich, beim Umzug abzulegen. Die erste ist die Dimensionierung nach Instanztyp statt nach Messung: Dedizierte vCPU auf EPYC mit NVMe verhält sich anders als eine Burstable-Instance, die seit Monaten still gedrosselt wird, und der ehrliche Ersatz liegt oft eine Stufe niedriger, als das alte Label nahelegt.

Die zweite ist, Speicher als unendlich zu behandeln. Blockspeicher, den man bei Bedarf terabyteweise anhängt, wird zu einer festen NVMe-Größe pro Plan, sodass ein Workload, dem man das Wuchern erlaubt hat, vor dem Umzug eine reale Zahl braucht. Oberhalb der VPS-Staffel beginnt dedizierte Hardware ab $66.00/Monat und ist der richtige Ort für alles, was auf einer großen Metal-Class-Instanz läuft; sie ist in Bukarest, Amsterdam und Zürich verfügbar, und die Bereitstellung dauert 2–12 h statt Minuten.

Was Sie wirklich aufgeben, wenn Sie einen Hyperscaler verlassen

Dies ist der Abschnitt, den die meisten Migrationsguides auslassen. Sie tauschen eine verwaltete Plattform gegen Root auf einem Server, und der Unterschied ist echte Arbeit. Es gibt keinen Objektspeicherdienst, keine verwaltete relationale Datenbank, keine Serverless-Laufzeit, keine verwaltete Kubernetes-Control-Plane, kein Identitäts- und Zugriffssystem mit Rollenrichtlinien und keine Autoscaling-Gruppe, die um drei Uhr morgens still Instanzen hinzufügt, weil eine Warteschlange zu tief wurde. Alles, was Sie zuvor als Dienst gemietet haben, wird zu etwas, das Sie selbst installieren, überwachen, patchen und sichern. Es gibt 6 Regionen statt Dutzende, ein wirklich globaler Edge-Fußabdruck steht also nicht zur Auswahl. Die Abrechnung erfolgt monatlich und im Voraus statt pro Sekunde, was gleichmäßigen Workloads entgegenkommt und spitzenhafte bestraft.

Es gibt außerdem eine Compliance-Obergrenze, und das sollte man klar aussprechen: Wenn der Auditor eines Kunden einen namentlich genannten Anbieter, eine unterzeichnete Auftragsverarbeitungsvereinbarung und einen Prüfbericht verlangt, wird ein Host, der bewusst keine Identitätsdokumente vorhält, diesen Fragebogen nicht erfüllen — auch dieser hier nicht. Das ist keine Lücke, die wir zu schließen beabsichtigen: Es ist eine direkte Folge des Modells, kein Versehen. Wägen Sie den Kompromiss anhand Ihres eigenen Bedrohungsmodells ab, nicht anhand unseres. Die Vergleichstabelle stellt uns neben zehn andere Privacy-Hoster nach denselben Kriterien, und die FAQ beantwortet die operativen Fragen, die dieser Guide bewusst kurz hält.

Welche Workloads sauber umziehen — und welche bleiben sollten

Sauber umziehen lässt sich alles, was einen Hyperscaler ohnehin nur als Linux-Box mit gutem Netzwerk genutzt hat. VPN-Exits und private Tunnel — siehe eigenes WireGuard aufsetzen — sowie Tor-Relays, selbst gehosteter Mailserver, statische Seiten und CMS-Installationen, Anwendungs- und Game-Backends, CI-Runner, Scraper, Mirrors und alles Egress-Lastige. Keines davon hängt von einem verwalteten Dienst ab, und der pauschale ungemessene Port macht sie meist gleichzeitig günstiger und einfacher.

Was bleiben sollte, ist ebenso klar erkennbar. Alles, was an einen proprietären verwalteten Dienst geschweißt ist, ist eher eine Neuentwicklung als eine Migration, und eine als Umzug getarnte Neuentwicklung ist genau das, woran Migrationen scheitern. Alles wirklich Elastische — Traffic, der planmäßig um eine Größenordnung schwankt — ist genau das, wofür Abrechnung pro Sekunde und Autoscaling-Gruppen gemacht sind. Alles, was einem Compliance-Regime unterliegt, das seine Anbieter namentlich nennt, bleibt dort, wo der Papierkram schon liegt. Ein aufgeteilter Bestand ist ein legitimes Ergebnis, kein Eingeständnis der Niederlage: Ziehen Sie die Offshore-VPS-Workloads um, die davon profitieren, und lassen Sie den Rest genau dort, wo er ist.

Schritt für Schritt

1. 01

   Aufnehmen, was der Hyperscaler wirklich für Sie erledigt

   Bevor Sie irgendetwas kalkulieren, listen Sie jeden Dienst im Konto auf, nicht nur die Instanzen. Verwaltete Datenbanken, Objektspeicher-Buckets, Warteschlangen, Zertifikate, DNS-Zonen, geplante Jobs und IAM-Rollen sind die eigentliche Migration; Compute ist der leichte Teil. Alles auf dieser Liste ohne selbst gehostete Entsprechung ist eine Entscheidung, die getroffen werden muss, keine Aufgabe, die man nur einplant.

2. 02

   Konto eröffnen und ein vorausbezahltes Guthaben aufladen

   Die Registrierung besteht aus einem Benutzernamen und einem Passwort — keine E-Mail, kein Telefon, keine Karte. Bewahren Sie die acht Wiederherstellungscodes offline auf, bevor Sie weitermachen: Verlieren Sie das Passwort und alle acht Codes, ist das Konto unwiederbringlich verloren, denn es gibt keinen E-Mail-Reset als Rückfalloption. Laden Sie dann ab $30.00 in der Coin Ihrer Wahl auf.

3. 03

   Den Ersatz dimensionieren und die Region wählen

   Nehmen Sie die gemessenen CPU- und Arbeitsspeicherwerte, nicht die bereitgestellten, und wählen Sie eine Stufe auf der Staffel. Wählen Sie die Region zuerst nach ihrem Rechtsprofil und erst danach nach der Latenz, und lesen Sie den Regionsaufschlag im Konfigurator, bevor Sie sich festlegen. Ein VPS ist in etwa 15 min online; dedizierte Hardware braucht 2–12 h.

4. 04

   Die verwalteten Komponenten neu aufbauen, bevor Sie Daten verschieben

   Bauen Sie die Ersatzkomponenten auf und beweisen Sie, dass sie funktionieren, während der alte Stack noch Traffic bedient: PostgreSQL oder MariaDB anstelle der verwalteten Datenbank, ein Objektspeicher-Server oder einfacher Plattenspeicher anstelle des Buckets, ein Reverse-Proxy anstelle des verwalteten Load Balancers und eine eigene Zertifikatsautomatisierung. Härten Sie die Box dabei ab — SSH nur per Schlüssel, eine Default-Deny-Firewall, unbeaufsichtigte Sicherheitsupdates.

   apt update && apt full-upgrade -y
   apt install -y ufw fail2ban unattended-upgrades
   ufw allow OpenSSH
   ufw enable

5. 05

   Die Daten synchronisieren — und dann noch einmal

   Führen Sie eine erste vollständige Kopie durch, während der alte Dienst noch läuft, dann einen kurzen zweiten Durchgang beim Umschalten, um das Delta zu erfassen. Datenbanken ziehen mit einem Dump und einer Wiederherstellung um, oder mit Replikation, wenn das Downtime-Budget knapp ist. Proben Sie die Wiederherstellung auf der neuen Box, bevor Sie ihr vertrauen — ein ungetestetes Backup ist kein Backup.

   rsync -aHAX --numeric-ids --info=progress2 /srv/ root@newhost:/srv/
   pg_dump -Fc appdb | ssh root@newhost 'pg_restore -d appdb'

6. 06

   Die DNS-TTL senken, dann umschalten

   Senken Sie die TTL jedes Eintrags, den Sie umziehen wollen, mindestens einen Tag vorher auf 300 Sekunden, damit der alte Wert überall aus den Caches abgelaufen ist, bevor Sie umschalten. Ändern Sie die Einträge, beobachten Sie die Logs beider Server, bis der alte still wird, und erhöhen Sie die TTL danach wieder.

   dig +noall +answer example.com A
   dig +noall +answer +trace example.com A

7. 07

   Bewusst stilllegen, nicht sofort

   Geben Sie der Migration einen vollen Abrechnungszyklus, bevor Sie irgendetwas löschen — die alte Instanz ist Ihr Rollback, und sie kostet höchstens einen weiteren Monat. Wenn Sie sicher sind, exportieren Sie, was Sie aufbewahren müssen, löschen Sie die Daten, entfernen Sie die Zahlungsmethode und schließen Sie dann das Konto — in dieser Reihenfolge. Ein geschlossenes Konto löscht nicht die Tatsache, dass es existiert hat, was das eigentliche Argument dafür ist, das nächste gar nicht erst zu eröffnen.