Was ist KVM?

KVM exponiert die Virtualisierungserweiterungen der CPU über ein Kernel-Modul; ein Userspace-Gerätemodell (QEMU, üblicherweise mit paravirtualen virtio-Treibern für Disk- und Netzwerkgeschwindigkeit kombiniert) assembliert den Rest der virtuellen Maschine. Der Gast bootet seinen eigenen Bootloader und Kernel genau wie physische Hardware. Die Aufgabe des Hosts reduziert sich auf das Planen von vCPUs und das Vermitteln von I/O — er interpretiert keine Syscalls des Gastes, weil der Gast dafür seinen eigenen Kernel hat. Hardware-Funktionen werden ebenfalls nützlich durchgereicht: ein KVM-Gast kann seine eigenen iptables/nftables verwenden, Kernel-Module laden, Dateisysteme mounten und alles ausführen, was die virtuelle Hardware unterstützt.

Container teilen den Host-Kernel. Das macht sie leicht — nahezu null Overhead, schneller Start, dichte Packung — und das ist genau das Problem in einer Multi-Mieter-Umgebung:

• Isolation. Ein Container-Escape ist nur einen Kernel-Bug entfernt, und jeder Mieter teilt die Angriffsfläche dieses einen Kernels. Ein KVM-Escape muss eine hardware-erzwungene VM-Grenze überwinden — eine weit seltenere Klasse von Schwachstellen.
• Freiheit. Container laufen nur das, was der Host-Kernel erlaubt: keine benutzerdefinierten Kernel, kein WireGuard-Modul, das der Host nicht geladen hat, kein FreeBSD, kein Windows, oft kein Docker-in-Container. Ein KVM-Gast betreibt WireGuard, verschachteltes Docker, benutzerdefinierte sysctls, jedes Betriebssystem aus unseren zehn Templates.
• Ehrliche Ressourcen. Die OpenVZ-Geschichte ist voll von überbuchtem „Burst-RAM" und Shared-Kernel-Abrechnungstricks. KVM-Speicher und vCPUs sind der VM zugewiesen; Überzeichnung ist auf Host-Ebene noch möglich, aber der Pro-Gast-Vertrag ist viel schwerer zu verschleiern.

Container sind ausgezeichnete Technologie, wenn Sie den Host kontrollieren (dafür ist Docker da, auf Ihrer eigenen VM). Als Produkt, das an Fremde verkauft wird, ist der geteilte Kernel ein Kompromiss, den Privacy-bewusste Nutzer ablehnen sollten.

Drei Gründe machen KVM zum Standard für Privacy-Hosting. Funktionen auf Kernel-Ebene: VPNs (WireGuard/OpenVPN), Tor mit gehärteten sysctls, benutzerdefinierte Firewalls und Festplattenverschlüsselung wollen alle Kernel-Kontrolle, die ein Container nicht bieten kann. Stärkere Mieter-Isolation: Ihr Speicher und Ihre Prozesse befinden sich hinter einer Hardware-Grenze, nicht einem Namespace, was wichtig ist, wenn Sie Ihre Nachbarn nicht überprüfen können. Betriebssystemwahl: Vollständige Virtualisierung läuft Debian, Alpine, FreeBSD oder irgendetwas anderes — nützlich, wenn Ihr Bedrohungsmodell den Stack vorschreibt. Fügen Sie vollständige Festplattenverschlüsselung innerhalb des Gastes hinzu, und die Sichtbarkeit des Host-Operators schrumpft auf Chiffretext und Traffic-Muster.

KVM benennt den Hypervisor, nicht die Qualität des Deployments. Noch prüfenswert: Speichertyp (KVM auf rotierenden Disks ist trotzdem langsam — siehe NVMe vs. SSD); virtio-Treiber (der De-facto-Standard; ihre Abwesenheit signalisiert einen veralteten Stack); dedizierte vs. geteilte vCPU-Richtlinie; und ob die IP dediziert und sauber ist. Jeder Plan hier ist KVM auf NVMe-RAID10 mit virtio, vollem Root und einer dedizierten sauberen IPv4 — das Faktenblatt gibt das überprüfbar an.