VPS ohne Identitätsprüfung: was dich erwartet

Was No-KYC tatsächlich entfernt

Herkömmliche Hoster sammeln ein Dossier, bevor sie dir einen Server verkaufen: bürgerlicher Name, Rechnungsadresse, Telefon, eine Karte (die ihr eigenes KYC mit sich bringt) und oft eine „Betrugsprüfung“, die im Stillen einen ID-Upload bedeutet. Jeder Punkt existiert für ihre Zahlungsschienen und ihre Compliance-Haltung, nicht für den Betrieb deiner Workload — ein Hypervisor muss deinen Namen nicht kennen, um eine VM zu starten.

No-KYC-Hosting entfernt das Dossier und behält den Hypervisor. Bei der Anmeldung hier ist das gesamte Formular ein Handle — irgendein Pseudonym — und ein Passwort. Keine E-Mail, kein Telefon, kein Name, keine Adresse, keine Karte, kein „Verifizierungslevel“, das später freigeschaltet wird. Die Zahlung erfolgt ausschließlich per Krypto auf ein Prepaid-Guthaben, sodass nie ein Kartenprozessor oder Abrechnungsprofil in die Beziehung gerät.

Sei anderswo mit dem Etikett vorsichtig: Zahlreiche Anbieter werben mit „anonymem VPS“, verlangen aber eine funktionierende E-Mail, protokollieren sie für immer und behalten sich das Recht vor, „im Verdachtsfall“ Dokumente zu fordern. Der Prüfstein ist, was das Anmeldeformular und die Datenschutzrichtlinie tatsächlich sagen, nicht die Marketingseite.

Der Anmeldeablauf, konkret

Hier ist der gesamte Ablauf, nichts ausgelassen. Du wählst ein Handle — 3 bis 63 Zeichen, Buchstaben, Ziffern, Punkte, Bindestriche, Unterstriche; ein Wegwerf-Pseudonym ist in Ordnung und die meisten Nutzer wählen eines. Du legst ein Passwort von mindestens 12 Zeichen fest, das als argon2id-Hash gespeichert wird. Du setzt ein Häkchen, mit dem du die Nutzungsrichtlinie akzeptierst. Das ist die Kontoerstellung, fertig, in unter einer Minute.

Unmittelbar danach gibt das Konto acht einmalige Wiederherstellungscodes in der Form XXXX-XXXX-XXXX aus und zeigt sie genau einmal an, mit einer Download-Schaltfläche. Das ist dein Mechanismus zum Zurücksetzen des Passworts — mehr dazu unten. Optional aktivierst du die TOTP-Zwei-Faktor-Authentifizierung auf der Kontoseite: Standard-RFC-6238-Codes, die mit jeder Authenticator-App funktionieren, ohne dass eine Telefonnummer beteiligt ist.

Von dort führt der Weg zu einem Server: Lade das Guthaben mit Krypto auf (zwischen $30.00 und $5,000.00 pro Aufladung), wähle einen Tarif und eine der 6 Regionen und stelle bereit — online in etwa 15 min bei einem VPS, 2–12 h bei dedizierter Hardware. An keiner Stelle erscheint ein Verifizierungsschritt, denn keiner existiert im Code.

Wiederherstellungscodes statt E-Mail-Resets

Der E-Mail-Reset-Link ist die Standard-Kontowiederherstellung des Internets — und sein standardmäßiges Identitätsleck. Eine hinterlegte E-Mail verknüpft das Konto mit einem Postfach, das Postfach mit einem IP-Verlauf und meist über die eigene Wiederherstellungskette des Mailanbieters mit einer Telefonnummer. Ein Hoster, der keine E-Mail vorhält, kann keine Reset-Links versenden, also muss etwas sie ersetzen.

Wiederherstellungscodes sind dieser Ersatz. Jeder der acht Codes ist eine einmalige Anmeldeinformation: Einen davon zusammen mit deinem Handle zu verbrauchen, lässt dich ein neues Passwort setzen. Sie werden serverseitig nur als SHA-256-Hashes gespeichert, sodass eine Kopie unseres Speichers sie nicht preisgibt. Verbrauchte Codes sind tot; du kannst jederzeit von der Kontoseite einen frischen Satz neu erzeugen (was den alten Satz ungültig macht), und das solltest du, nachdem du einige verbraucht hast.

Behandle die Codes wie Bargeld. Sinnvolle Aufbewahrung: ein Eintrag im Passwortmanager, eine verschlüsselte Datei oder Papier an einem sicheren Ort — idealerweise zwei davon. Der Fehlermodus, den du respektieren musst, ist total: Verlierst du das Passwort und alle acht Codes, ist das Konto per Design nicht wiederherstellbar. Es gibt keinen Support-Kanal, der das übergehen kann, denn ein Umgehungspfad für dich ist ein Umgehungspfad für einen Identitätsdieb, und wir haben keine Identität hinterlegt, um dich zu unterscheiden. Diese harte Kante ist der Preis für die Eigenschaft, derentwegen du gekommen bist.

Was ein No-KYC-Hoster dennoch vorhält

No-KYC ist nicht No-Data, und ein Anbieter, der behauptet, überhaupt nichts vorzuhalten, lügt oder ist kaputt. Die ehrliche Bestandsaufnahme hier, gespiegelt auf der No-KYC-Richtlinienseite: dein Handle, der argon2id-Passwort-Hash, gehashte Wiederherstellungscodes, das Guthaben und sein Transaktionsbuch, die Spezifikationen dessen, was du bestellt hast (Tarif, Region, OS, Laufzeit), und Webserver-Zugriffsprotokolle, die nach 14 Tagen rotiert werden. Bestellungen erfassen außerdem die IP, die sie erstellt hat — weshalb der konsequente Rat lautet, von der ersten Kontaktaufnahme an Tor oder ein VPN zu nutzen, damit selbst die kurzlebigen Betriebsdaten sauber sind.

Was nirgendwo im System existiert: ein Name, eine Adresse, eine Telefonnummer, eine E-Mail, eine Karte, ein Profil bei einem Zahlungsdienstleister oder Analyse-Tracker, die Sitzungen zusammennähen. Der Unterschied zwischen „hält wenig vor“ und „hält nichts vor“ ist entscheidend, wenn du den schlimmsten Fall modellierst: Eine vollständige Kopie unseres Speichers beschreibt Server und Guthaben, keine Personen.

Kompromisse, die du akzeptierst

No-KYC-Hosting lässt zusammen mit dem Dossier Funktionen fallen. Was es sich bewusst zu akzeptieren lohnt:

• Keine Wiederherstellung als letztes Mittel. Sind Passwort und Codes weg, sind das Konto und sein Guthaben weg. Niemand kann dich zurück verifizieren, weil niemand weiß, wer du bist.
• Keine Rückbuchungen. Krypto ist endgültig. Das Gegengewicht ist die Erstattungsrichtlinie: Ungenutztes Guthaben ist innerhalb von 30 Tagen nach der Aufladung, die es finanziert hat, in Krypto erstattungsfähig, abzüglich Netzwerkgebühren.
• Nur Krypto. Keine Karte, kein PayPal, keine Überweisung. Wenn das ein Hindernis ist, ist dieses Modell nichts für dich.
• Regeln gelten weiterhin. No-KYC ist nicht No-Rules: Spam, CSAM, Malware-C2 und das Starten von Angriffen führen unter der AUP zur Entfernung von Servern, mit oder ohne Identität.

Bei Takedowns ist unsere Haltung jurisdiktionell, nicht rhetorisch: DMCA-Mitteilungen werden weder bearbeitet noch beantwortet — die DMCA ist ein US-Gesetz ohne Geltung in den Rechtsräumen, in denen unsere Hardware steht. Wir handeln auf verbindliche Anordnungen eines Gerichts mit Zuständigkeit über den konkreten Server, und auf nichts Geringeres. Was das je Region bedeutet, steht auf der Standortseite.

Day-Two-Betrieb ohne E-Mail

Der Teil, vor dem dich niemand warnt, ist alles, was E-Mail im Stillen nach der Anmeldung erledigt hat. Es gibt keine Verlängerungserinnerungen, keine „Neue Anmeldung erkannt“-Warnungen, keinen Newsletter — und keine Möglichkeit, sie zu versenden, weil es keine Adresse gibt, an die man senden könnte. Das Panel ersetzt das Postfach: Die Server-Ansicht zeigt jede Box mit ihrer Laufzeit und ihrem Verlängerungsdatum, das Buch listet jede Guthabenbewegung auf, und die Bestellseiten tragen den Bereitstellungsstatus. Mach es dir zur Gewohnheit, rund um den Verlängerungstermin einen dreißigsekündigen Blick ins Panel zu werfen; das ist die gesamte Wartungslast des Modells.

Der Support funktioniert genauso. Tickets werden im Panel geöffnet und dort beantwortet — kein Ticket-per-E-Mail-Thread, der deine Infrastruktur mit den Logs eines Mailanbieters verbindet. Für alles Sensible ist das strikt besser: Das Gespräch lebt im selben pseudonymen Konto wie die Server, um die es geht.

Die Disziplin, die am meisten zählt, ist die Verwahrung der Anmeldeinformationen, denn die Routine verblasst. Wiederherstellungscodes gehören von Tag eins an offline, TOTP sollte aktiviert werden, solange das Konto frisch ist, und wenn du Codes neu erzeugst, nachdem du einige verbraucht hast, stirbt der alte Satz — aktualisiere deine gespeicherte Kopie sofort, nicht „später“. Day-Two-Ausfälle beim No-KYC-Hosting liegen fast nie am Hoster; es sind Nutzer, die feststellen, dass ihre einzigen Anmeldeinformationen in einem Browser-Tab lebten.

So prüfst du jeden No-KYC-Anbieter

Das Etikett ist billig; überprüfe es. Eine Prüfliste, die zehn Minuten dauert:

• Das Anmeldeformular selbst. Fragt es nach einer E-Mail, hält es eine vor. „Optionale“ Felder zählen.
• Zahlungsschienen. Kartenunterstützung bedeutet, dass ein Prozessor mit KYC in der Kette sitzt. Nur Krypto, idealerweise mit Monero an erster Stelle, ist die konsequente Haltung.
• Ein schriftliches Datenverzeichnis. Suche nach einer konkreten Liste dessen, was vorgehalten wird und wie lange, mit Zahlen zur Log-Aufbewahrung. Vages „Wir respektieren Privatsphäre“-Geschwafel ist ein Warnsignal.
• Wiederherstellungsdesign. Wenn es keine E-Mail gibt, was ersetzt die Resets? Ein Anbieter, der darüber nicht nachgedacht hat, wird schlecht improvisieren, wenn du ausgesperrt bist.
• Missbrauchshaltung in Schriftform. Ehrliche Anbieter sagen, was zu deiner Entfernung führt und welchem rechtlichen Verfahren sie folgen. „Alles ignorieren“ ist ein Versprechen, das niemand halten kann; ausschließlich rechtsstaatlich ist eines, das sie halten können.
• Erstattungsbedingungen. Prepaid-Modelle brauchen einen Ausstieg; unserer ist oben und in der FAQ angegeben.

Jeder Anbieter, der bei zwei oder mehr davon durchfällt, verkauft das Wort, nicht die Eigenschaft.