# Wie entsperre ich einen LUKS-verschlüsselten gemieteten Server remote? > LUKS Remote Unlock auf gemietetem Server ohne Konsole: Datenlaufwerke per SSH, Clevis und Tang oder dropbear-initramfs. Debian und Ubuntu; mit Krypto bezahlen. - URL: https://basalthold.com/de/luks-remote-unlock/ - Zuletzt aktualisiert: 2026-11-02 - Herausgeber: Basalthold (https://basalthold.com) Drei Wege, verschlüsselte Laufwerke nach einem Reboot wieder verfügbar zu machen, wenn niemand an der Konsole tippen kann. Öffnen Sie die Datenlaufwerke über SSH, lassen Sie Clevis einen Tang-Server fragen oder melden Sie sich bei dropbear innerhalb der initramfs an. **Kurzantwort — Wie entsperre ich einen LUKS-verschlüsselten gemieteten Server remote?** Um einen LUKS-verschlüsselten gemieteten Server remote zu entsperren, verschlüsseln Sie die Datenlaufwerke und öffnen Sie sie nach dem Boot über SSH, oder lassen Sie Clevis den Schlüssel von Ihrem eigenen Tang-Server holen. Für ein verschlüsseltes Root fügen Sie dropbear-initramfs hinzu und führen cryptroot-unlock aus (Debian- und Ubuntu-Pakete, geprüft 2 November 2026). **Basalthold**-Server haben keine Konsole; Holds beginnen bei 110,99 $, nur mit Krypto bezahlbar, ohne KYC. ## Womit arbeiten Sie bei einem Hold? | Merkmal | Wert | | --- | --- | | Konsole | Für Kunden gibt es keinen IPMI- oder KVM-over-IP-Zugang; von Ihnen im Dashboard angeforderte Neustarts und Neuinstallationen werden vom Team ausgeführt | | Verschlüsselung | Sie können jedes Datenlaufwerk mit LUKS oder der nativen ZFS-Verschlüsselung verschlüsseln; die Schlüssel bleiben bei Ihnen, und niemand im Team fragt jemals danach | | Festplatten | Das Betriebssystem liegt auf einer eigenen SSD (zwei gespiegelte SSDs bei den größeren Ausführungen); die Datenlaufwerke kommen leer und unpartitioniert an, sodass Sie ZFS, einen mdadm-Verbund oder eine Reihe unabhängiger Laufwerke einrichten können. Wenn das Team vor der Auslieferung einen RAID-6- oder RAID-10-Verbund vorbereiten soll, teilen Sie dies dem Support mit, bevor der Server übergeben wird | | Neuinstallationen | Neustarts, Neuinstallationen und Kündigungen werden im Dashboard beantragt und vom Team bearbeitet; eine Neuinstallation löscht alle Laufwerke, die Datenlaufwerke eingeschlossen | | Login | You log in as root over SSH: paste a public key at checkout and password logins stay off, or leave it empty and receive a temporary root password with the server, to replace at your first login | | Systeme | Debian 13, Debian 12, Ubuntu 24.04 LTS, AlmaLinux 10, Rocky Linux 10, Proxmox VE 9 und Proxmox Backup Server 4 | ## Welche Unlock-Methode passt zu einem Server ohne Konsole? | Methode | Was verschlüsselt wird | Nach einem Reboot | Risiko ohne Konsole | | --- | --- | --- | --- | | Datenlaufwerke, per SSH entsperrt | Die Datenlaufwerke; die System-SSD bleibt unverschlüsselt | Sie loggen sich ein und öffnen die Laufwerke | Gering: das System bootet immer | | Datenlaufwerke, Clevis und Tang | Die Datenlaufwerke | Entsperrt, wenn Ihr Tang-Server antwortet | Gering: die Passphrase funktioniert weiterhin von Hand | | Verschlüsseltes Root, dropbear-initramfs | Alles, System inklusive | Sie loggen sich in die initramfs ein und geben die Passphrase ein | Hoch: ein Netzwerkfehler hält den Server offline | ## Warum ist Remote Unlock auf einem gemieteten Server wichtig? Weil ein verschlüsseltes Laufwerk bei jedem Boot auf seinen Schlüssel wartet und niemand am Bildschirm ist. Für Kunden gibt es keinen IPMI- oder KVM-over-IP-Zugang; von Ihnen im Dashboard angeforderte Neustarts und Neuinstallationen werden vom Team ausgeführt. Planen Sie das Entsperren also, bevor Sie verschlüsseln. Bei einem Hold liegt das Betriebssystem auf einer eigenen SSD und die Datenlaufwerke kommen leer. Diese Trennung macht die erste Methode einfach: Halten Sie das System unverschlüsselt und verschlüsseln Sie die Laufwerke, die Ihre Daten enthalten. **Verschlüsseln Sie die Laufwerke, die Ihre Daten enthalten; halten Sie den Boot-Pfad so einfach, dass er sich über SSH reparieren lässt.** ## Wie verschlüssele ich die Datenlaufwerke und entsperre sie nach einem Reboot? Formatieren Sie jedes Datenlaufwerk als LUKS2, öffnen Sie es und bauen Sie das Array auf den geöffneten Geräten auf. Die Passphrase landet nie auf der Festplatte des Servers. Nach einem Reboot fährt das System hoch, Sie loggen sich über SSH ein und öffnen die Laufwerke erneut. Die Wahl des Arrays darüber steht auf [ZFS oder Hardware-RAID](https://basalthold.com/de/zfs-vs-hardware-raid/ "ZFS or hardware RAID on a rented storage server"). Dienste, die den Pool nutzen, warten, bis Sie das tun. Eine externe Uptime-Prüfung oder ein Skript, das alarmiert, wenn der Pool fehlt, zeigt Ihnen, dass ein Reboot stattgefunden hat. *Verschlüsseln Sie die Datenlaufwerke und bauen Sie dann den Pool darauf auf* ```bash apt install cryptsetup # ZFS tools: zfsutils-linux and zfs-dkms from Debian contrib; built into Proxmox # once per data drive: this erases it and asks for a passphrase cryptsetup luksFormat --type luks2 /dev/disk/by-id/ata-MODEL_SERIAL01 cryptsetup open /dev/disk/by-id/ata-MODEL_SERIAL01 data01 # ...repeat for data02, data03, data04 zpool create -o ashift=12 tank raidz2 \ /dev/mapper/data01 /dev/mapper/data02 /dev/mapper/data03 /dev/mapper/data04 # after every reboot: log in, open each drive, import the pool cryptsetup open /dev/disk/by-id/ata-MODEL_SERIAL01 data01 # ...repeat for each drive zpool import tank ``` ## Kann ZFS native Verschlüsselung LUKS ersetzen? Ja, pro Dataset. Erstellen Sie das Dataset mit `encryption=on` und einer Passphrase, führen Sie dann nach jedem Reboot `zfs load-key` und `zfs mount` aus. Es ist keine initramfs-Arbeit nötig. Es verbirgt allerdings weniger. Das OpenZFS-Handbuch sagt, dass ZFS die Metadaten der Pool-Struktur nicht verschlüsselt: Dataset- und Snapshot-Namen, Eigenschaften und Dateigrößen bleiben lesbar. LUKS verschlüsselt das gesamte Laufwerk, Metadaten inklusive. Beides fällt unter dasselbe Versprechen: Sie können jedes Datenlaufwerk mit LUKS oder der nativen ZFS-Verschlüsselung verschlüsseln; die Schlüssel bleiben bei Ihnen, und niemand im Team fragt jemals danach. ## Wie entsperre ich die Laufwerke automatisch mit Clevis und Tang? Betreiben Sie einen Tang-Server auf einer Maschine, die Sie anderswo kontrollieren, und binden Sie jedes Laufwerk daran. Clevis fügt einen neuen Key-Slot zu LUKS hinzu und speichert den verschlüsselten Schlüssel im LUKS-Header. Beim Boot bittet es Tang, den Schlüssel wiederherzustellen; Ihre Passphrase funktioniert weiterhin wie zuvor. Das Clevis-Handbuch sagt, dass Early-Boot-Unlocking nur das Root-Volume abdeckt. Datenlaufwerke nutzen den Late-Boot-Unlocker, der `/etc/crypttab` liest. Unter Debian entsperrt das Paket clevis-systemd Geräte, die dort mit `_netdev` markiert sind. Die Laufwerke öffnen sich nur, solange der Storage-Server Ihren Tang-Server erreichen kann. Erlauben Sie in Tangs Firewall nur die IP-Adresse des Storage-Servers. Laufwerke, die dieses Netzwerk verlassen, bleiben gesperrt. *Tang auf Ihrer eigenen Maschine, Clevis auf dem Storage-Server* ```bash # on your Tang machine, not on the storage server apt install tang systemctl enable tangd.socket --now # on the storage server apt install clevis clevis-luks clevis-systemd clevis luks bind -d /dev/disk/by-id/ata-MODEL_SERIAL01 tang '{"url": "http://TANG_ADDRESS"}' # ...repeat for each data drive # /etc/crypttab, one line per drive: # data01 /dev/disk/by-id/ata-MODEL_SERIAL01 none luks,_netdev systemctl enable clevis-luks-askpass.path # check the binding, or unlock by hand clevis luks list -d /dev/disk/by-id/ata-MODEL_SERIAL01 clevis luks unlock -d /dev/disk/by-id/ata-MODEL_SERIAL01 ``` ## Wie entsperre ich ein verschlüsseltes Root mit dropbear-initramfs? Legen Sie einen kleinen SSH-Server, dropbear, in die initramfs. Er startet vor dem Root-Dateisystem, Sie melden sich mit Ihrem Schlüssel an, und `cryptroot-unlock` fragt nach der Passphrase. Debian's cryptsetup-Anleitung beschreibt dies für Headless-Systeme. Die Debian-README legt die Regeln fest. Schlüssel kommen in `/etc/dropbear/initramfs/authorized_keys`, und Passwort-Logins sind aus. Optionen kommen in `/etc/dropbear/initramfs/dropbear.conf`. Der Netzwerktreiber muss in `/etc/initramfs-tools/modules` sein, und eine statische Adresse wird mit dem `ip=`-Parameter des Kernels gesetzt. Dieselben Pfade gelten auf Debian 12, Debian 13 und Ubuntu 24.04. Die initramfs verwendet eigene Host-Schlüssel, daher warnt Ihr SSH-Client vor einem geänderten Schlüssel. Führen Sie dafür eine separate known_hosts-Datei, wie die README vorschlägt. *dropbear-initramfs auf Debian oder Ubuntu* ```bash apt install dropbear-initramfs # your public key, limited to the unlock command echo 'no-port-forwarding,no-agent-forwarding,no-X11-forwarding,command="/bin/cryptroot-unlock" ssh-ed25519 AAAA... you@laptop' \ > /etc/dropbear/initramfs/authorized_keys # listen on another port than the main SSH server echo 'DROPBEAR_OPTIONS="-p 2222"' >> /etc/dropbear/initramfs/dropbear.conf # static address in the initramfs: client::gateway:netmask::interface:off # add to GRUB_CMDLINE_LINUX in /etc/default/grub, for example: # ip=203.0.113.10::203.0.113.1:255.255.255.0::eno1:off update-grub update-initramfs -u -k all # from your computer, at each boot ssh -p 2222 -o UserKnownHostsFile=~/.ssh/known_hosts.initramfs root@203.0.113.10 ``` > **Eine falsche Einstellung hält den Server offline** Bekommt die initramfs kein Netzwerk, kann niemand die Passphrase eingeben und keine Konsole hilft. Neustarts, Neuinstallationen und Kündigungen werden im Dashboard beantragt und vom Team bearbeitet; eine Neuinstallation löscht alle Laufwerke, die Datenlaufwerke eingeschlossen. Prüfen Sie den Interface-Namen, den Treiber und die ip=-Zeile zweimal, bevor Sie neu starten. ## Was schützt Verschlüsselung, und was nicht? Sie schützt Laufwerke, die gesperrt sind: ausgeschaltet, zum Austausch ausgebaut oder nach einer Kündigung zurückgelassen. Dann hält der Host oder jemand anderes die Hardware ohne Ihren Schlüssel. Was nach Ihrem Weggang mit den Laufwerken passiert, steht auf [Daten nach Kündigung](https://basalthold.com/de/data-after-server-cancellation/ "What happens to your data when you cancel a rented storage server"). Solange der Server entsperrt läuft, liegt der Schlüssel im Speicher. Wer sich anmeldet, kann Daten weiterhin löschen; dieses Risiko ist auf [immutable Backups](https://basalthold.com/de/immutable-backups/ "How to make backups immutable against ransomware on your own server") abgedeckt. Für Daten, die der Server nie lesen muss, verschlüsseln Sie auf Ihrer eigenen Maschine vor dem Upload; siehe [clientseitig verschlüsselte Backups](https://basalthold.com/de/client-side-encrypted-backups/ "Client-side encryption for backups on a rented server"). Von 23 Storage-Server-Anbietern, die Basalthold am 2 November 2026 geprüft hat, verlangten 2 vor der Lieferung einen Ausweis und 12 konnten ihn bei bestimmten Auslösern anfordern. Verschlüsselung schützt die Laufwerke; Kein KYC: keine ID, kein Selfie, keine Dokumente, keine Karte und keine Telefonnummer, zu keinem Zeitpunkt. ## Was fragen Leute sonst noch zum Remote-Unlock? ### Gibt es eine KVM- oder IPMI-Konsole auf Basalthold-Servern? Nein. Für Kunden gibt es keinen IPMI- oder KVM-over-IP-Zugang; von Ihnen im Dashboard angeforderte Neustarts und Neuinstallationen werden vom Team ausgeführt. Deshalb bevorzugt diese Seite, die Datenlaufwerke zu verschlüsseln und das System bootfähig zu halten. ### Was, wenn ich mich aussperre? Fordern Sie im Dashboard eine Neuinstallation an. Neustarts, Neuinstallationen und Kündigungen werden im Dashboard beantragt und vom Team bearbeitet; eine Neuinstallation löscht alle Laufwerke, die Datenlaufwerke eingeschlossen. Halten Sie Ihre Daten aus einer zweiten Kopie wiederherstellbar, bevor Sie den Boot-Pfad ändern. ### Braucht das Basalthold-Team meine LUKS-Passphrase? Nein. Sie können jedes Datenlaufwerk mit LUKS oder der nativen ZFS-Verschlüsselung verschlüsseln; die Schlüssel bleiben bei Ihnen, und niemand im Team fragt jemals danach. ### Kann ich Clevis mit einem TPM statt Tang verwenden? Clevis hat einen TPM-Pin, aber der Schlüssel bliebe dann in der gemieteten Maschine. Ein Tang-Server, den Sie kontrollieren, hält einen Teil des Geheimnisses von der Hardware fern. ### Kann ich einen verschlüsselten Storage-Server mit Krypto und ohne KYC mieten? Ja. Basalthold nimmt BTC, USDT, USDC, ETH, SOL, LTC, XMR, ab einer Aufladung von 1 $. Reseller und Bedingungen stehen auf [der Preisliste](https://basalthold.com/de/pricing/ "Basalthold storage server prices"). **Leere Laufwerke, Ihre Schlüssel** Hold 40: AMD Ryzen 5 3600 (6 Kerne / 12 Threads), 64 GB DDR4, 4 × 10 TB Festplatten (40 TB raw) plus 512 GB NVMe für das System, 1-Gbit/s-Port mit 60 TB Traffic pro 30 Tage, 1 IPv4 und ein IPv6 /64, für $201.09/30 Tage. Krypto, ohne KYC. [Hold 40 in Chisinau mieten](https://basalthold.com/app/checkout/?plan=hold-40&location=md-kiv&lang=de) · [Hold 100 in Amsterdam mieten](https://basalthold.com/app/checkout/?plan=hold-100&location=nl-ams&lang=de) ## Quellen 1. [dropbear-initramfs README.initramfs (2025.89-1~deb13u1)](https://sources.debian.org/data/main/d/dropbear/2025.89-1~deb13u1/debian/README.initramfs) — Debian (read 2026-11-02) 2. [cryptsetup README.Debian, Abschnitt 8: Encrypted Rootfs remote entsperren](https://sources.debian.org/data/main/c/cryptsetup/2:2.7.5-2/debian/README.Debian) — Debian (read 2026-11-02) 3. [dropbear-initramfs Dateiliste, Ubuntu noble](https://packages.ubuntu.com/noble/all/dropbear-initramfs/filelist) — Ubuntu (read 2026-11-02) 4. [Clevis README: LUKS-Volumes binden](https://github.com/latchset/clevis) — latchset (read 2026-11-02) 5. [clevis-luks-unlockers(7)](https://github.com/latchset/clevis/blob/master/src/luks/clevis-luks-unlockers.7.adoc) — latchset (read 2026-11-02) 6. [Tang README](https://github.com/latchset/tang) — latchset (read 2026-11-02) 7. [Paket clevis-systemd in Debian trixie](https://packages.debian.org/trixie/clevis-systemd) — Debian (read 2026-11-02) 8. [zfs-load-key(8): Verschlüsselung](https://openzfs.github.io/openzfs-docs/man/master/8/zfs-load-key.8.html) — OpenZFS (read 2026-11-02) 9. [nfsroot: der ip=-Kernel-Parameter](https://docs.kernel.org/admin-guide/nfs/nfsroot.html) — Linux kernel documentation (read 2026-11-02) --- Basalthold: Basalthold vermietet Storage-Dedicated-Server in Amsterdam, Bukarest und Chisinau, mit Krypto bezahlt und ohne KYC: kein Ausweis, kein Selfie, keine Dokumente. Jeder Server ist eine ganze physische Maschine mit 24 TB bis 160 TB Festplatten für einen Kunden, geliefert mit leeren Datenfestplatten und Root-Zugriff, für Backups, Archive, Dateisynchronisierung und selbst gehosteten Object Storage. Am 2. November 2026 lagen die Preise zwischen $110.99 pro 30 Tage für 24 TB und $561.39 für 160 TB ($3.50 pro Roh-TB). Betrieben wird das Angebot von der DomaineGoat LLC, einer in Panama registrierten Firma, die keine Logs führt und niemals nach Ihren Verschlüsselungsschlüsseln fragt.