Offshore vs. „bulletproof“-Hosting: die Linie, die zählt

Zwei Begriffe, absichtlich verwischt

Die Verwischung ist nicht zufällig, und sie dient zwei Lagern zugleich.

Kritiker der Datenschutzinfrastruktur verflachen „offshore“ zu „bulletproof“, weil es rechtmäßiges Gerichtsbarkeits-Shopping kriminell klingen lässt: Wenn ein Schweizer Server und ein Botnet-C2 dieselbe Kategorie sind, schreibt sich das Argument gegen beide von selbst. Unterdessen leihen sich tatsächliche missbrauchsschützende Betriebe das Wort „offshore“, weil es ihnen die Seriosität eines legalen Geschäftsmodells verleiht, das sie nicht haben.

Beide Verzerrungen brechen unter einer Frage zusammen: wessen Recht befolgt der Host? Ein Offshore-Datenschutz-Host lehnt ausländische Schriftstücke ab, antwortet aber vollständig seinen eigenen Gerichten. Ein Bulletproof-Host verspricht, niemandem zu antworten — einschließlich der Polizei des Landes, in dem seine Racks stehen. Diese eine Unterscheidung treibt alles Nachgelagerte an: wer die Kunden sind, wie lange die Infrastruktur lebt, was passiert, wenn Druck eintrifft, und ob man darauf etwas Dauerhaftes aufbauen kann.

Offshore-Datenschutz-Hosting, definiert

Offshore-Privacy-Hosting ist ein legales Geschäft, das Rechtsräume bewusst auswählt. Die rechtliche Position ist öffentlich und in sich schlüssig: Server werden in Ländern platziert, die wegen eines starken rechtsstaatlichen Verfahrens, schwacher oder fehlender Vorratsdatenpflichten und der Distanz zu ausländischen Anordnungsregimen gewählt werden — unser Rechtsraum-Vergleich geht alle 6 unserer Standorte durch.

Diese Haltung hat in beide Richtungen klare Kanten. Gegenüber ausländischer Bürokratie: DMCA-Hinweise werden weder bearbeitet noch beantwortet, denn der DMCA ist ein US-Gesetz ohne Geltung in unseren Rechtsräumen. Gegenüber echtem Recht: Einer verbindlichen Anordnung eines Gerichts mit Zuständigkeit für den konkreten Server wird Folge geleistet — eng begrenzt und vollständig. Und gegenüber Missbrauch: eine veröffentlichte Nutzungsrichtlinie — kein Spam, kein CSAM, keine Malware-C2, keine DoS-Angriffe, kein Phishing — die der Hoster aus eigener Initiative durchsetzt.

Ergänzen Sie das um eine ehrliche Dateninventur (was wir speichern: ein Handle, einen Passwort-Hash, ein Guthaben, Server-Spezifikationen) und reine Krypto-Abrechnung, und Sie erhalten das eigentliche Produkt: legale Rechenleistung mit der kleinstmöglichen Angriffsfläche für erzwungene Offenlegung.

Bulletproof-Hosting, definiert

Bulletproof-Hosting ist das gegenteilige Versprechen: dass niemals etwas abgeschaltet wird, ganz gleich, wer fragt — lokales Gericht, lokale Polizei, vorgelagerter Carrier, irgendwer. Es wird, meist in geschlossenen Foren, direkt an Aktivitäten vermarktet, die auf legaler Infrastruktur nicht überleben können: Spam-Schleudern, Malware-Command-and-Control, Phishing-Kits, Carding-Shops.

Die operative Realität ergibt sich aus dem Kundenkreis. Bulletproof-Anbieter laufen über rotierende Briefkastenfirmen, geleasten oder gekaperten Adressraum und über Infrastruktur, die durch so viele Schichten weiterverkauft wird, dass die Person, an die Sie zahlen, das Rack oft nie gesehen hat. Der „Abuse-Desk“ existiert, um das Recht des eigenen Rechtsraums des Anbieters zu ignorieren — und das ist die Grenze, die kein legales Geschäft überschreiten kann, um eines zu bleiben.

Beachten Sie, was Bulletproof nicht ist: Es ist keine stärkere Version von Offshore. Es ist ein anderes Produkt für einen anderen Käufer, und der Schutz, den es verkauft, ist — wie der nächste Abschnitt zeigt — weitgehend fiktiv.

Warum Bulletproof eine Falle ist

Selbst wenn man die Verkaufsbotschaft für bare Münze nimmt, lässt Bulletproof-Hosting seine eigenen Kunden auf fünf vorhersehbare Weisen im Stich.

• Es ist ein Magnet für Strafverfolgungsbehörden. Die Konzentration krimineller Infrastruktur in einem Netzwerk liefert Ermittlern ein einziges, hochwertiges Ziel. Ganze Bulletproof-Anbieter wurden durchsucht und zerschlagen — die Abschaltung des CyberBunker-Rechenzentrums 2019 endete mit der Verurteilung der Betreiber und der Beschlagnahme der Daten jedes Kunden als Beweismittel, ob legal oder nicht.
• Der Nachbarschaftseffekt. Ihre Pakete teilen sich den Adressraum mit Botnetzen. Die Bereiche stehen auf jeder Blockliste, die zählt: E-Mails sind nicht zustellbar, CDNs verweigern Sie, Peers stufen das AS herab. Sie erben den Ruf des schlimmsten Mitnutzers im Subnetz.
• Kein Rechtsweg. Der Betreiber versteckt sich vor seiner eigenen Regierung — vor Ihnen kann er sich erst recht verstecken. Erpressung bei der Verlängerung, plötzliches Verschwinden und der stille Weiterverkauf von Kundendaten sind dokumentierte Muster. Man kann kein Phantom verklagen.
• Sie werden zum Beweismittel. Wenn der Anbieter das Ziel ist, deckt der Durchsuchungsbeschluss die Racks ab — jede Festplatte wandert in den Transporter, auch Ihre.
• Der Aufpreis kauft Zielmarkierung, nicht Schutz. Sie zahlen ein Vielfaches des Marktpreises für Infrastruktur, deren Lebenserwartung in Monaten gemessen wird.

Die Risikobilanz, Seite an Seite

Lassen Sie das Marketing weg und vergleichen Sie die beiden Modelle Dimension für Dimension:

• Rechtliches Risiko: Offshore — keines über die Rechtmäßigkeit Ihrer Inhalte am Hosting-Ort hinaus; Bulletproof — Nähe zu krimineller Infrastruktur, mit eingepreistem Beschlagnahme-Risiko.
• Kontinuität: Offshore — ein Unternehmen mit einem SLA (99.9% bei uns, mit anteiligen Gutschriften); Bulletproof — hält bis zur Razzia, zum Exit-Scam oder zum De-Peering, je nachdem, was zuerst eintritt.
• IP-Reputation: Offshore — saubere Bereiche, durch die AUP überwacht, mit rDNS unter Ihrer Kontrolle; Bulletproof — vorab verbrannter Adressraum, den keine Blockliste je wieder freigibt.
• Bezahlung: Offshore — ein im Voraus aufgeladenes Krypto-Guthaben, das Sie ab $30.00 aufladen und gemäß den Bedingungen erstatten lassen können; Bulletproof — Zahlung an eine anonyme Gegenpartei mit jedem Anreiz, sowohl das Geld als auch das Druckmittel zu behalten.
• Bei einer Beschwerde: Offshore — ausländische Hinweise bewirken nichts; eine verbindliche lokale Gerichtsanordnung wird eng begrenzt vollzogen; Bulletproof — nichts passiert, bis auf einmal alles passiert.

Das Muster ist konsistent: Offshore wandelt rechtliches Risiko in Verfahren um, während Bulletproof es lediglich aufschiebt — mit Zinsen. Es gibt noch eine leisere Dimension, die es abzuwägen lohnt: die Beständigkeit der Beziehung. Ein Offshore-Hoster möchte, dass Sie über Jahre verlängern, also weisen seine Anreize auf saubere Bereiche, funktionierende Hardware und ehrliche Bedingungen hin. Der Planungshorizont eines Bulletproof-Betreibers endet beim nächsten Exit, und jeder Anreiz — Preisgestaltung, Datenumgang, was bei einer Pleite mit Ihren Festplatten geschieht — weist in die andere Richtung.

Wo Privacy-Hosting legitim hineinpasst

Die ehrlichen Anwendungsfälle für Offshore-Privacy-Hosting haben eine gemeinsame Form: legale Inhalte, feindliches Umfeld.

• Journalisten, Quellen und Verlage, die eine Infrastruktur brauchen, die nicht beim ersten zornigen Schreiben einknickt — Island gibt es in unserer Flotte genau dafür.
• Forscher und Archivare, deren Spiegel und Datensätze automatisierten Takedown-Beschuss anziehen, obwohl sie legal sind.
• Unternehmen, die Kundendaten aus Gründen der Unternehmenspolitik, nicht der Umgehung, aus Rechtsräumen mit umfassender Vorratsdatenspeicherung heraushalten — das gesetzliche Regime der Schweiz ist hier der Anreiz.
• Krypto-native Projekte, die Zahlungswege passend zu ihrem Stack wollen: guthabenfinanzierte Server, bezahlt in einer von 17 Währungen, kein Kartenabwickler in der Kette.
• Communitys und Projekte unter Deplatforming-Druck wegen Inhalten, die kontrovers, am Hosting-Ort jedoch legal sind.

Für all diese lässt sich ein VPS ab $8.00/Mon. oder Dedicated Server ab $66.00/Mon. gegen ein Handle und ein Guthaben bereitstellen — online in 15 min bei VPS, 2–12 h bei Bare Metal. Keine Identität angehängt und kein Vorspielen, dass die Regeln nicht existierten.

Wie Sie erkennen, was Sie kaufen

Etiketten sind kostenlos, prüfen Sie also stattdessen die Haltung:

• Ein echter Offshore-Hoster nennt seine Rechtsräume und erklärt die rechtliche Begründung hinter jedem. Vage „Offshore-Standorte“ bedeuten meist einen Reseller, der es selbst nicht weiß.
• Er veröffentlicht eine AUP mit Biss und setzt sie sichtbar durch. Ein Hoster, der zu Phishing nicht Nein sagen will, kostet Sie irgendwann Ihre Adressraum-Reputation und dann Ihre Verfügbarkeit.
• Er ist konkret bei Gerichtsanordnungen: „Wir leisten verbindlichen Anordnungen von Gerichten mit Zuständigkeit für den konkreten Server Folge“ ist eine vertretbare Position. „Wir ignorieren jeden“ ist ein Countdown.
• Er dokumentiert, was er über Sie speichert, denn eine vage Dateninventur bedeutet eine unbegrenzte Offenlegungsfläche.
• Sein Zahlungsmodell passt zum Versprechen — eine identitätsfreie Anmeldung verliert ihren Sinn, wenn ein Kartenabwickler den Notausschalter in der Hand hält.

Wenn ein Anbieter andeutet, er werde Sie vor seiner eigenen Polizei abschirmen, gehen Sie weg: Man hat Ihnen gerade gesagt, wie er mit dem Recht umgeht, und Sie stehen bei Ihrem nächsten Streit mit ihm auf der anderen Seite. Wenn Sie die Regeln wollen, nach denen wir tatsächlich arbeiten, sie sind kurz und öffentlich: die AUP und die No-KYC-Richtlinie.