RAM-only-VPN-Server: Diskless-Boot, was ein Neustart löscht und was erhalten bleibt

Ein RAM-only-VPN-Server läuft ohne jede Festplatte: Betriebssystem, VPN-Software, Schlüssel und Sitzungszustand existieren nur im flüchtigen Speicher, sodass alles seit dem Booten Geschriebene verloren geht, wenn die Stromversorgung abbricht. Eine im ausgeschalteten Zustand beschlagnahmte Maschine ist für die Forensik daher wertlos. Das Design verhindert weder logs, die im Speicher gehalten oder an andere Systeme weitergeleitet werden, noch kann es eine No-Logs-Richtlinie ersetzen.

Wie ein festplattenloser Server bootet und läuft

RAM ist flüchtig: Er benötigt eine konstante Stromversorgung, anders als eine Festplatte oder SSD. Ein festplattenloser Server baut sich bei jedem Boot neu auf: Die Hardware lädt ein signiertes, schreibgeschütztes Systemabbild über das Netzwerk (PXE oder iPXE von einem Provisioning-Host) oder liest es von einem schreibgeschützten lokalen Medium, und die Signatur wird geprüft, bevor irgendetwas ausgeführt wird.

Temporäre Dateien, Daemon-Zustände und logs landen in einem Speicherdateisystem, typischerweise einer OverlayFS-Schicht über dem schreibgeschützten Abbild, und verschwinden beim nächsten Neustart. Zwei Einstellungen entscheiden, ob das Design hält. Swap muss deaktiviert sein, sonst lagert der Kernel Speicher auf eine Festplatte aus, die gar nicht existieren dürfte. Die Systemprotokollierung muss im Speicher bleiben oder abgeschaltet werden; eine Standardkonfiguration von journald oder rsyslog, die auf eine Festplatte schreibt, unterläuft den ganzen Sinn. Jeder Knoten bootet dasselbe Abbild, sodass Konfigurationsdrift entfällt, und ein Update bedeutet, ein neues Abbild zu erstellen und die gesamte Flotte neu zu starten.

Was ein Neustart oder eine Beschlagnahme hinterlässt

Ein beschlagnahmter, ausgeschalteter Server ist leere Hardware ohne etwas, das sich abbilden ließe. Verstreute Dateien, die ein falsch konfigurierter Festplatten-Server schreibt, finden nirgendwo einen Ablageort. Ein Eindringling, der Code auf einem laufenden Knoten platziert, verliert ihn beim nächsten Neustart; um dauerhaft zu bleiben, müsste er die Quelle der Abbilder und deren Build-Pipeline kompromittieren.

Die Beschlagnahme von zwei Windscribe-Servern in der Ukraine im Juni 2021 zeigt den entgegengesetzten Fall: Die Maschinen liefen auf unverschlüsselten Festplatten, und eine davon enthielt einen privaten OpenVPN-Server-Schlüssel, mit dem ein Angreifer unter engen Bedingungen einen Server imitieren konnte. Das Risiko war eine Server-Imitation, nicht gespeicherte Nutzeraktivität, dennoch stellte der Anbieter danach auf RAM-only-Maschinen um.

Während ein Server läuft, sind eine Maschine mit verschlüsselter Festplatte und eine RAM-only-Maschine gleichermaßen jedem mit Live-Zugriff ausgesetzt: Die verschlüsselte Festplatte wird ohnehin entschlüsselt, und der Speicher ist lesbar. Der Unterschied zeigt sich nach einem Einbruch: Auf einer Festplatte platzierter Code überlebt Neustarts, auf einem RAM-only-Knoten ist er beim Neustart verschwunden. Manche Anbieter bleiben bei verschlüsselten Festplatten, weil Diagnose und Updates einfacher sind.

Wo der Schutz endet

RAM-only begrenzt, was auf der eigenen Hardware des Servers verbleibt; es hat keinen Einfluss darauf, was die Software aufzeichnet oder versendet. Ein Verbindungs-Logger kann Aufzeichnungen über Wochen zwischen zwei Neustarts im Speicher halten. Der Server kann Verbindungsdaten in Echtzeit an eine separate Maschine mit Festplatte streamen. Ein laufender Knoten kann von einem Administrator kopiert werden, über den Hardware-Management-Controller oder auf Grund einer gerichtlichen Anordnung, die dem Rechenzentrum zugestellt wird, bevor jemand den Netzschalter berührt. Konto-, Zahlungs- und Support-Daten liegen ohnehin auf den zentralen Systemen des Anbieters, außerhalb der VPN-Flotte.

Der Speicher wird nicht sofort geleert. Halderman et al. zeigten in der Cold-Boot-Studie von 2008, dass DRAM bei Raumtemperatur seinen Inhalt noch Sekunden nach dem Abschalten weitgehend behält und bei Kühlung deutlich länger – genug, um Verschlüsselungsschlüssel zu extrahieren. Der Angriff erfordert physischen Zugriff wenige Augenblicke nach dem Abschalten, liegt also für Rechenzentrumsserver am Rand des Bedrohungsmodells.

Wie Sie die RAM-only-Angabe eines Anbieters prüfen

Prüfen Sie zuerst den Umfang des Audits. Deckt ein Bericht nur die Datenschutzerklärung ab und nennt die Serverarchitektur nie, bestätigt er nichts über den festplattenlosen Betrieb; der Glossar-Eintrag zu No-Logs-Audits erklärt, was solche Berichte belegen können und was nicht. Achten Sie auf technische Dokumentation des Boot-Modells: signierte Abbilder, deaktivierter Swap, Protokollierung im Speicher. Bewerten Sie Einschränkungen wie „wo möglich“ als teilweise Umsetzung und werten Sie eine etwaige Vorgeschichte von Beschlagnahmen oder gerichtlichen Anfragen, die keine Daten erbracht haben, entsprechend.

RAM-only-Server und eine No-Logs-Richtlinie

Eine No-Logs-Richtlinie entscheidet, was der Anbieter erhebt; RAM-only entscheidet, wie lange alles, was auf einem VPN-Server gespeichert ist, überdauern kann. RAM-only stützt ein No-Logs-Versprechen gegen Beschlagnahmen und versehentliche Reste, kann es aber nicht beweisen, denn logs können weiterhin im Speicher liegen oder an eine andere Maschine gesendet werden. Im Hauptranking von 371 Diensten geben 24 RAM-only-Server an, 3 teilweise, 3 erklären, sie nicht zu nutzen, und 347 veröffentlichen diese Information nicht. Eine Kurzliste finden Sie im RAM-only-VPN-Ranking.

FAQ

Beschreibt „RAM-only“ die VPN-App auf meinem Smartphone?

Nein. Der Begriff betrifft, wo die Server des Anbieters ihre Daten halten, und sagt nichts über die App oder das Smartphone aus.

Lassen sich Daten aus dem RAM nach dem Stromausfall wiederherstellen?

Für Sekunden, mit gekühlten Chips manchmal länger. Der Angriff erfordert physischen Zugriff wenige Augenblicke nach dem Abschalten und wurde bisher meist unter Laborbedingungen demonstriert.

Ist eine verschlüsselte Festplatte so sicher wie ein RAM-only-Server?

Gegen die Beschlagnahme eines ausgeschalteten Servers: im Wesentlichen ja. Während der Server läuft, sind beide gleichermaßen exponiert. Bei eingeschleuster malware schneidet die verschlüsselte Festplatte schlechter ab, weil der Code dort einen Neustart überlebt.

RAM-only-Server in Kürze

Ein festplattenloser VPN-Server bootet ein signiertes, schreibgeschütztes Abbild, schreibt Laufzeitdaten nach tmpfs, hält Swap deaktiviert und die Protokollierung im Speicher und vergisst beim Neustart alles. Er vereitelt Beschlagnahmen im ausgeschalteten Zustand, verstreute Dateien und persistente malware, doch Live-Protokollierung und Weiterleitung bleiben möglich – kombinieren Sie die Angabe daher mit einer auditierten No-Logs-Richtlinie.