No-KYC-VPS-Hosting, erklärt.
Was es ist, was es nicht ist und wie man die echten erkennt.

Know Your Customer. Der Satz von Identitätsverifizierungsverfahren, der ursprünglich in der Finanzdienstleistungsregulierung kodifiziert wurde — Name, Adresse, staatlich ausgestelltes Identitätsdokument, manchmal ein „Selfie mit Ausweis”-Lebendigkeitsprüfung, manchmal eine Versorgerrechnung für den Adressnachweis. Die Finanzdienstleistungspflicht ist real und gilt für Banken, Börsen und Geldtransferunternehmen. KYC hat sich durch Konvention statt durch Gesetz auf viele angrenzende Unternehmen ausgebreitet; Hosting-Unternehmen sind eine solche angrenzende Klasse, und ein kleiner Teil des Hosting-Marktes hat bewusst entschieden, es nicht anzuwenden.

In jeder Jurisdiktion, in der NordBastion tätig ist — Schweden, Finnland, Norwegen, Island — ja, klar. Ein Hosting-Unternehmen ist kein reguliertes Finanzinstitut; die rechtliche Verpflichtung, seine Kunden einem KYC zu unterziehen, gilt nicht. Was der Hoster möglicherweise tun muss, ist auf rechtmäßige rechtliche Forderungen zu einem bestimmten Server zu reagieren, aber in der Praxis gilt: Je weniger Daten der Hoster über seinen Kunden von vornherein hält, desto weniger gibt es weiterzugeben. KYC-frei ist daher kein regulatorisches Schlupfloch; es ist eine bewusste Datensparsamkeits-Haltung innerhalb eines Regulierungsrahmens, der sie erlaubt.

Drei Gründe, in grob absteigender Reihenfolge der Wichtigkeit. (1) Rückbuchungsschutz: kartengestützte Hosts werden mit Betrugsrückbuchungen in nicht-trivialen Raten konfrontiert, und die Verifizierung des Karteninhabers reduziert dieses Risiko. (2) Missbrauchsabwicklungsgeschwindigkeit: wenn ein Server anfängt zu spammen oder illegale Inhalte zu hosten, beschleunigt das Wissen um den rechtlichen Eigentümer die Abwicklung. (3) Beschaffungslegitimität: Unternehmenskunden erwarten, nach ihrer Identität gefragt zu werden, weil ihre eigene Compliance dies erfordert. Ein datenschutzorientierter, krypto-bezahlter Host hat andere Antworten auf alle drei (keine Karten-Rückbuchungen, harte Grenzen in der Acceptable-Use-Policy, bewusstes Selbst-Ausschluss aus dem Unternehmens-Beschaffungs-Segment), weshalb No-KYC im kleinen Maßstab tragfähig ist, nicht im großen.

Ein No-KYC-Hoster hat generell keine Möglichkeit zur Kontowiederherstellung über das Passwort und (falls aktiviert) 2FA hinaus. Es gibt keinen Pfad „Identität verifizieren, um Passwort zurückzusetzen”, weil keine Identität gespeichert ist. Das bedeutet: Zugangsdaten verlieren = Konto verlieren. Kunden sollten das Passwort genauso behandeln wie die Seed-Phrase eines Krypto-Wallets — auf Papier aufschreiben, offline aufbewahren, akzeptieren, dass es keinen Fallback gibt. Der Kompromiss ist real und ist der Preis der Datensparsamkeit.

Vier Fragen. (1) Den Registrierungsablauf lesen, bevor Sie bezahlen — fordert ein Feld einen Dokumenten-Upload, eine Telefonnummer oder einen gesetzlichen Namen? (2) Die Nutzungsbedingungen lesen — listet es die Grenzen der akzeptablen Nutzung explizit auf, oder versteckt es sich hinter vagen Auffangklauseln? (3) Die Datenschutzerklärung lesen — sagt es, was gesammelt wird UND was abgelehnt wird, oder nur was gesammelt wird? (4) Nach einem veröffentlichten Warrant Canary suchen — sein Fehlen ist bezeichnend. Ein Hoster, der (1) nein, (2) explizit, (3) beide Listen, (4) ja antwortet, leistet die Arbeit. Ein Hoster, der bei einem der vier versagt, verkauft die Marke und nicht die Substanz.

Nein. Jeder seriöse No-KYC-Hoster hat mindestens eine harte Grenze, explizit geschrieben. NordBastions Nutzungsrichtlinie nennt genau eine — sexueller Missbrauch von Kindern — und skizziert eine kleine Reihe von operativen Fehlverhaltenskategorien (Massen-Spam, absichtliches DDoS-Staging usw.), die zur Sperrung eines Kunden führen. Der Punkt von No-KYC ist, die routinemäßige Datenerfassung zu verweigern, nicht das Urteil des Betreibers aufzugeben.

Einige Länder haben diese Anforderung; die meisten nicht. Die Frage aus Kundensicht lautet nicht „Ist der Host verpflichtet, mich nach dem Recht meines Landes zu verifizieren?”, sondern „Ist der Host verpflichtet, mich nach dem Recht des Landes des Hosts zu verifizieren?” — weil der Host derjenige ist, der die Regel anwendet. NordBastion ist in Estland registriert und betreibt Server aus Schweden, Finnland, Norwegen und Island; keines dieser Länder schreibt Hosting-Anbietern eine Kunden-Identitätsverifizierung vor. Wenn Ihr eigenes Land Regeln hat, die unabhängig davon für Sie gelten, wer Sie hostet, ist das ein separates Problem, das der Host nicht lösen kann.

Das können Sie. Viele Kunden tun es — eine neue Adresse von Tutanota, Proton, Cock.li oder einem datenschutzfreundlichen Anbieter, nur für das NordBastion-Konto und sonst nichts verwendet. Das Konto wird nicht weniger wiederherstellbar, weil die E-Mail gefälscht ist; die E-Mail ist nur der Passwort-Zurücksetz-Kanal. Wenn das Konto kritische Workloads hält, behandeln Sie die E-Mail wie eine Cold-Storage-Zugangsdaten — eine separate Identität, die niemand sonst in das Panel kompromittieren kann.