Kann ich eine VPS-Festplatte mit LUKS verschlüsseln?

Was bringt die Verschlüsselung einer VPS-Festplatte mit LUKS wirklich?

LUKS bietet Verschlüsselung im Ruhezustand: Wer die Festplatte ohne Passphrase kopiert, erhält nur Rauschen. Während der VPS läuft, schützt es nicht vor dem Host, denn der entsperrte Schlüssel liegt im Speicher, den der Hypervisor lesen kann.

Deshalb ist die ehrliche Einordnung wichtig. Gloamport erklärt, dass Volle KVM-Virtualisierung: Ihr eigener Kernel, Ihre eigenen Firewall-Regeln und Ihre eigene Festplattenverschlüsselung, falls Sie sie einrichten, was LUKS möglich macht, und dass Kein Tarif enthält Backups: Bewahren Sie eine eigene Kopie von allem auf, was Sie nicht verlieren können. Kombinieren Sie die Verschlüsselung mit eigenen Backups. Zur größeren Frage, was ein privater VPS ist und was nicht, siehe Was macht einen VPS auf Privatsphäre ausgerichtet?.

Welcher Gloamport-Tarif passt zu einem verschlüsselten Volume?

Gloam hat eine bequeme Größe: 2 vCPU, 4 GB RAM und 80 GB NVMe Speicher, und Gloamport führt ihn für „Ein Matrix-Server, Vaultwarden und SearXNG zusammen“. Verschlüsselung kostet etwas CPU, daher hilft ein zweiter Kern.

Laut der Umfrage von Gloamport vom 10. November 2026 lag der mittlere Preis eines vergleichbaren VPS mit 2 vCPU und 4 GB unter 29 Anbieter bei $31.29 pro Monat. Gloam kostet $8.25 pro Monat bei 12 Monaten und $16.50 bei 1 Monat.

Was sind die genauen LUKS-Befehle?

Die folgenden Befehle folgen dem cryptsetup-Handbuch. luksFormat initialisiert das Volume und setzt die erste Passphrase, open erstellt die Zuordnung, luksDump gibt den Header aus, und luksHeaderBackup speichert eine binäre Sicherung des Headers und des Schlüsselslot-Bereichs. Laut Handbuch sind bei einem beschädigten Header eines LUKS-Volumes alle Daten dauerhaft verloren, sofern Sie kein Header-Backup haben.

apt install cryptsetup
fallocate -l 10G /root/vault.img
cryptsetup --type luks2 luksFormat /root/vault.img
cryptsetup luksHeaderBackup /root/vault.img --header-backup-file /root/vault.header

cryptsetup open /root/vault.img vault
mkfs.ext4 /dev/mapper/vault
mkdir -p /mnt/vault
mount /dev/mapper/vault /mnt/vault

umount /mnt/vault
cryptsetup close vault

Kann ich eine verschlüsselte Root-Festplatte mit dropbear-initramfs aus der Ferne entsperren?

Ja, wenn das System von einem verschlüsselten Root bootet, kann ein kleiner SSH-Server im initramfs die Passphrase übernehmen, bevor das Root-Dateisystem eingehängt wird. Dafür braucht es eine Installation, die Sie mit verschlüsseltem Root eingerichtet haben; das ist ein größerer Aufwand als das Daten-Volume oben, betrachten Sie es daher als fortgeschrittenen Schritt und prüfen Sie, ob Ihr Image und Ihr Bootvorgang dies erlauben.

Das Debian-Paket dropbear-initramfs bietet SSH-Zugriff innerhalb des initialen RAM-Dateisystems, zum Beispiel um verschlüsselte Festplatten zu entsperren. Seine Dokumentation legt Ihre öffentlichen Schlüssel in /etc/dropbear/initramfs/authorized_keys und Optionen in /etc/dropbear/initramfs/dropbear.conf ab und sagt, dass update-initramfs -u -k all nach Änderungen auszuführen ist. Sie rät außerdem davon ab, die Haupt-SSH-Host-Schlüssel wiederzuverwenden, weil /boot in der Regel unverschlüsselt ist.

apt install dropbear-initramfs
nano /etc/dropbear/initramfs/authorized_keys
update-initramfs -u -k all

DROPBEAR_OPTIONS="-p 2222"

Wie halte ich einen verschlüsselten VPS über die Zeit nutzbar?

Sichern Sie den Header, schreiben Sie die Passphrase offline auf und bewahren Sie eine eigene Kopie der Daten auf, da der Tarif keine Backups enthält. Das cryptsetup-Handbuch sagt, dass auch für verschlüsselte Daten ein Backup Pflicht ist, sofern die Daten einen Wert haben.

Sichern Sie auch die Tür vorne ab. Wie härte ich SSH auf einem neuen VPS? behandelt das, und Wie erzeuge ich einen SSH-Schlüssel für meinen VPS? behandelt den Schlüssel. Tarife und Laufzeiten stehen auf der Preisseite.