Wie Sie den richtigen Standort für Ihren Offshore-Server wählen

Jede Server-Bereitstellung stellt Ihnen gegen Ende dieselbe Frage, über die fast niemand nachdenkt: Wo soll diese Maschine physisch stehen? Die meisten wählen einfach das Nächstgelegene oder das, was ganz oben in der Liste steht, und machen weiter. Dabei ist das die einzige Entscheidung auf der Seite, die sich später nicht mehr rückgängig machen lässt, ohne einen laufenden Dienst auf eine neue Maschine zu kopieren — und es ist zugleich die Entscheidung, die bestimmt, wer Ihren Anbieter zur Herausgabe zwingen kann, welche Aufzeichnungen über Sie überhaupt existieren, und wie weit eine Beschwerde reisen muss, bevor jemand darauf antworten muss. Das verdient mehr als zwei Sekunden. Im Folgenden geht es darum, wie Sie diese Frage ehrlich durchdenken — einschließlich der Teile, die die Offshore-Hosting-Branche gerne auslässt.

Rechtsprechung ist ein Reibungsregler, kein Schutzschild

Die wichtigste Korrektur, bevor Sie Länder vergleichen: Ein Standort stellt Ihren Server nicht außerhalb des Gesetzes. Er ändert, welches Recht gilt, wen man überzeugen muss, und wie lange das dauert. Das sind gewaltige praktische Unterschiede — aber keine Immunität. Ein Host in einer privatsphärefreundlichen Rechtsprechung ist nicht verpflichtet, auf eine automatisierte Beschwerde-E-Mail eines ausländischen Rechteinhabers zu reagieren — das ist real und zählt. Derselbe Host wird trotzdem einer gültigen Anordnung eines Gerichts nachkommen, das tatsächlich Zuständigkeit über ihn hat.

Betrachten Sie das Marketing durch diesen Filter, und das meiste davon löst sich sauber auf. „DMCA-ignoriert" bedeutet, dass das US-amerikanische Notice-and-Takedown-Verfahren einen Anbieter außerhalb der US-Rechtsprechung nicht bindet — das ist schlicht eine Beschreibung davon, wie territoriales Recht funktioniert; die Mechanik erklären wir in Offshore- und DMCA-entspanntes Hosting erklärt. „Bulletproof" bedeutet etwas völlig anderes und meistens Ärger — das Thema von Offshore-Hosting im Vergleich zu Bulletproof-Hosting. Was Sie in praktisch jedem legitimen Fall eigentlich suchen, ist Reibung: genug rechtlicher Abstand, damit automatisierte Beschwerden und spekulatives Fishing sich nicht in einen sofortigen Takedown übersetzen — ohne so zu tun, als läge irgendetwas im öffentlichen Internet außer Reichweite.

Die fünf Fragen, die ein Standort tatsächlich beantwortet

Entfernen Sie die Flaggen-Symbolik und die Marketing-Texte, und übrig bleibt: Eine Region beantwortet fünf getrennte Fragen. Die meisten schlechten Entscheidungen entstehen daraus, dass man sie miteinander vermischt — denn ein Land kann bei der einen glänzen und bei der anderen durchfallen.

• Wer den Betreiber zwingen kann. Ein Hosting-Unternehmen ist den Gerichten des Landes unterstellt, in dem es tätig ist. Jede andere Behörde der Welt muss dafür ein Rechtshilfeverfahren durchlaufen, ein lokales Gericht bemühen oder eine Anfrage stellen, die der Betreiber frei ablehnen kann. Genau darum geht es bei „Offshore" eigentlich.
• Welche Aufzeichnungen überhaupt existieren. Zwang fördert immer nur zutage, was jemand bereits gespeichert hat. Eine Rechtsprechung ohne pauschale Vorratsdatenspeicherungspflicht erlaubt einem Anbieter, rechtmäßig nur minimale Logs zu führen — und keine Anordnung kann einen Datensatz herausziehen, der nie geschrieben wurde.
• Wer sonst noch vorgelagert ist. Ihr Host sitzt hinter Transitanbietern, einer IP-Zuteilung und — falls Sie einen nutzen — einem Domain-Registrar, jeweils in ihrer eigenen Rechtsprechung. Ein Beschwerdeführer, der beim Host abblitzt, geht häufig einfach eine Ebene höher in der Kette.
• Wie weit die Pakete reisen. Physik kümmert sich nicht um Ihr Threat-Modell. Jeder Kilometer zwischen Ihrem Server und den Menschen, die ihn nutzen, ist Latenz, die Sie bei jeder einzelnen Anfrage bezahlen — für immer.
• Was das lokale Recht selbst verbietet. Ein Land außerhalb der Reichweite Ihres Gegners kann eigene Inhalts- und Überwachungsregeln haben, die strenger sind als die, denen Sie entkommen wollten. Abstand zu einem Rechtssystem bedeutet Nähe zu einem anderen.

Eine gute Wahl ist die, die bei den Fragen gut abschneidet, die für Ihre konkrete Arbeitslast zählen, und die eine schlechte Note bei den übrigen bewusst in Kauf nimmt. Es gibt keine Region, die bei allen fünf gewinnt, und jeder Anbieter, der etwas anderes behauptet, will Ihnen etwas verkaufen.

Vorratsdatenspeicherung: das Gesetz, das entscheidet, was es überhaupt herauszugeben gibt

Das ist der folgenreichste und zugleich am wenigsten diskutierte Faktor. Überwachungsdebatten drehen sich um Zugriff, aber Zugriff kommt erst nach der Speicherung — eine Anordnung erzwingt die Herausgabe existierender Aufzeichnungen, sie erschafft keine. Die Frage, die sich bei einer Rechtsprechung wirklich lohnt, lautet also nicht „Kann man Daten verlangen?", sondern „Ist mein Anbieter gesetzlich verpflichtet, überhaupt erst Daten über mich zu erzeugen?".

• Pauschale Vorratsdatenspeicherungspflichten in Europa sind weit schwächer als ihr Ruf. Die EU-weite Richtlinie, die eine flächendeckende Speicherung vorschrieb, wurde 2014 vom Europäischen Gerichtshof gekippt, und nationale Gesetze, die sie seither nachzubilden versuchten, wurden wiederholt für unvereinbar mit EU-Recht erklärt. Mehrere Mitgliedstaaten haben derzeit überhaupt keine durchsetzbare allgemeine Speicherpflicht.
• Rumänien ist das klarste Beispiel und ein echter Grund, warum Bucharest in der Privacy-Hosting-Szene immer wieder auftaucht. Das rumänische Verfassungsgericht kippte das nationale Gesetz zur Vorratsdatenspeicherung, kippte anschließend auch den Ersatz dafür — mit der Begründung, dass eine unterschiedslose Speicherung mit dem verfassungsrechtlich geschützten Recht auf Privatsphäre unvereinbar ist.
• Speicherpflichten richten sich meist an Telekommunikations- und Zugangsanbieter, nicht an Hosting-Unternehmen. Diese Unterscheidung zählt in vielen Fällen mehr als das Land selbst: Eine Pflicht, die für den Betreiber geschrieben wurde, der Abonnenten mit dem Internet verbindet, reicht oft nicht bis zu einem Unternehmen, das Ihnen eine virtuelle Maschine vermietet.
• Was der Anbieter freiwillig aufbewahrt, ist die andere Hälfte — und das ist reine Richtlinie, kein Gesetz. Zwei Hosts im selben Land können völlig unterschiedlich antworten, und der, der neunzig Tage lang alles aufbewahrt, ist schlechter für Sie als eine strengere Rechtsprechung mit einem Anbieter, der minimal protokolliert.
• Zahlungsdaten sind die Speicherfrage, die die meisten Leute tatsächlich erwischt. Ein Host mit makelloser Server-Log-Hygiene, der zugleich Ihre Kartennummer und Rechnungsadresse speichert, hat eine vollständige Identitätsakte über Sie — und die überlebt den Server um Jahre.

Die Eyes-Allianzen, ohne das Marketing

Jede Offshore-Hosting-Seite zitiert die Five, Nine und Fourteen Eyes, meist als simple Sperrliste. Die Sache dahinter ist real: ein geheimdienstliches Kooperationsabkommen, das ursprünglich zwischen den USA, dem Vereinigten Königreich, Kanada, Australien und Neuseeland bestand, um Dänemark, Frankreich, die Niederlande und Norwegen erweitert wurde und ein weiteres Mal um Deutschland, Belgien, Italien, Spanien und Schweden. Es lohnt sich, davon zu wissen. Es wird aber auch routinemäßig auf das falsche Problem angewendet.

Diese Abkommen betreffen die Fernmeldeaufklärung zwischen staatlichen Stellen. Für die gewöhnlichen Bedrohungen eines normalen Servers sind sie so gut wie irrelevant — eine Urheberrechtsbeschwerde, die Missbrauchsmeldung eines Mitbewerbers, eine zivilrechtliche Vorladung, ein Hosting-Anbieter, der unter Druck einknickt. Die Bündnismitgliedschaft als einzige Variable zu behandeln, führt zu wirklich schlechten Entscheidungen — die Niederlande sind das Standardbeispiel dafür: Sie sind Nine-Eyes-Mitglied und zugleich einer der besten Hosting-Standorte der Welt, mit exzellenter Anbindung, einem ausgereiften Rechtssystem, das ein echtes rechtliches Verfahren statt einer Formular-E-Mail verlangt, und einem starken Datenschutzrecht. Amsterdam wegen einer Wikipedia-Liste auszuschließen, während man Speicherrecht, Anbieterrichtlinie und die eigene Zahlungsspur ignoriert, heißt, den unwichtigsten Faktor der Gleichung zu optimieren.

Die Allianzen zählen, wenn Ihr Gegner ein staatlicher Geheimdienst ist — dann ist Ihre Hosting-Wahl nur ein kleiner Teil eines viel größeren Problems, und ein Ratgeber ist nicht das, was Sie brauchen. Für alle anderen ist die Rangfolge, die reale Ergebnisse tatsächlich vorhersagt: was der Anbieter über Sie weiß, wozu ihn das lokale Recht bei der Speicherung zwingt, wie schwer es für eine ausländische Partei ist, überhaupt etwas zu erzwingen — und erst danach, welche Verträge die Regierung unterzeichnet hat.

Die acht Privacy-Tier-Regionen im Einzelnen

Unser Netzwerk betreibt 14 Regionen, acht davon stufen wir als Privacy-Tier ein. Dieses Label ist kein Versprechen rechtlicher Immunität — es bedeutet, dass die Region ein Rechtsumfeld mit ordentlichem Verfahren, ein Netzwerk, das bei einer automatisierten Meldung nicht sofort einknickt, und eine Infrastruktur vereint, die wir selbst betreiben statt weiterzuverkaufen. Hier ist der ehrliche Charakter jeder einzelnen, samt Nachteil.

• Amsterdam, Niederlande. Der am besten angebundene Standort auf der Liste und die richtige Standardwahl für die meisten europäischen Zielgruppen. Exzellentes Peering, ein Rechtssystem, das ein echtes Verfahren verlangt, starkes Datenschutzrecht — dem die Nine-Eyes-Mitgliedschaft und ein gut organisiertes Rechteinhaber-Ökosystem gegenüberstehen, das genau weiß, wie man ordentlich einreicht.
• Bucharest, Rumänien. Ungewöhnlich starke verfassungsrechtliche Privatsphäre-Rechtsprechung, nachdem die Gerichte zweimal Gesetze zur Vorratsdatenspeicherung gekippt haben, EU-Infrastruktur auf hohem Niveau zu spürbar niedrigeren Kosten, und gute Latenz in ganz Ost- und Mitteleuropa. Beim Peering liegt es eine Stufe unter Amsterdam und Frankfurt.
• Zurich, Schweiz. Außerhalb der EU, mit einer tief verwurzelten Rechtskultur der Privatsphäre und einer hohen Hürde für ausländische Anfragen, die formale Kanäle durchlaufen müssen, statt per E-Mail einzutreffen. Es ist kein rechtsfreier Raum — die Schweizer Behörden arbeiten bei gültigen internationalen Anfragen mit —, und es ist der teuerste Ort auf der Liste.
• Reykjavík, Island. Ein wirklich eigenständiges Umfeld für freie Meinungsäußerung, keine Bindung an den Five-Eyes-Kern, kühles Klima und billiger Erdwärmestrom. Der Preis dafür ist die Geografie: Jedes Paket durchquert ein Seekabel, rechnen Sie also mit einem spürbaren Latenz-Aufschlag von überall, was nicht der Nordatlantik ist.
• Helsinki, Finnland. Politisch stabil, außerhalb der Fourteen Eyes, exzellente Infrastruktur und der kürzeste Sprung ins baltische und russischsprachige Internet. Finnland hat seine geheimdienstlichen Befugnisse in den letzten Jahren tatsächlich ausgeweitet — die Lage ist also stark, aber nicht absolut.
• Luxembourg. Eine kleine Rechtsprechung mit einer langen institutionellen Tradition der Vertraulichkeit und einer der privatsphäre-bewussteren Aufsichtsbehörden der EU, die einen unverhältnismäßig großen Anteil der europäischen Finanzinfrastruktur beherbergt. Die Kapazität ist im Vergleich zu den großen Hubs begrenzt, und der Preis spiegelt das wider.
• Kuala Lumpur, Malaysia. Wirklich außerhalb der europäischen und amerikanischen Rechtssphäre — genau das ist der Sinn der Sache — mit guter Anbindung nach Südostasien. Dem stehen Malaysias eigene Inhalts- und Kommunikationsgesetze gegenüber, die keineswegs freizügig sind, und eine Latenz nach Europa oder Amerika, die Sie spüren werden.
• Moscow, Russland. Faktisch unerreichbar für westliche zivilrechtliche Verfahren, was für manche Workloads genau die Anforderung ist. Zugleich gehört es zu den Ländern mit den anspruchsvollsten heimischen Daten- und Überwachungsgesetzen überhaupt — das ist also ein klarer Tausch der einen rechtlichen Angreifbarkeit gegen eine andere, größere, und kein allgemeines Privatsphäre-Upgrade.

Wenn Sie einen Standardwert wollen und keinen bestimmten Grund haben, davon abzuweichen: Amsterdam für europäische Zielgruppen, Bucharest, wenn Sie Abstand von der westeuropäischen Rechteinhaber-Maschinerie wollen, ohne auf EU-Infrastruktur zu verzichten, Zurich, wenn eine hohe verfahrensrechtliche Hürde Priorität hat, und Kuala Lumpur, wenn es darum geht, komplett außerhalb des euro-amerikanischen Systems zu stehen. Reykjavík ist eine bewusste Entscheidung, die Sie mit dem Latenzbudget offen vor Augen treffen.

Die sechs Standard-Regionen — und wann sie die richtige Antwort sind

Die anderen sechs — Frankfurt, Paris, London, New York, Singapore und Tokyo — sind gewöhnliche, gut angebundene Standorte in gewöhnlichen Rechtsprechungen. Es gibt sie, weil sehr viele Workloads überhaupt keine gegnerische Dimension haben und schlicht besser bedient sind, wenn sie nah an ihren Nutzern liegen.

• Die Arbeitslast ist latenzgebunden und das Publikum regional. Eine Anwendung, die Japan von Tokyo aus bedient, ist schlicht besser als dieselbe Anwendung von Island aus — daran ändert auch die ausgefeilteste Rechtsprechungstheorie nichts.
• Der Inhalt ist vollkommen unauffällig. Eine Firmenwebsite, ein internes Tool, eine Staging-Umgebung oder ein Privatprojekt zieht keine Beschwerden an — Reibung gegen Beschwerden zu erkaufen, kauft dann schlicht nichts.
• Sie brauchen das bestmögliche Peering. Frankfurt und New York sitzen direkt auf zwei der größten Internetknoten der Welt, und bei Workloads mit hohem Egress-Aufkommen ist das ein messbarer Unterschied.
• Die Privatsphäre, die Sie brauchen, liegt auf der Konto-Ebene, nicht auf der Landkarte. Die Zahlung aus einem Krypto-Guthaben ohne verknüpfte Identität gibt Ihnen in Frankfurt dieselbe Anonymität wie in Reykjavík — bei der Rechtsprechung geht es darum, Zwang zu widerstehen, nicht darum, ob Ihr Name auf der Maschine steht.
• Es ist nur ein Knoten unter mehreren. Multi-Region-Deployments kombinieren routinemäßig eine Privacy-Tier-Basis für die Daten mit Standard-Tier-Edges für die Reichweite — das ist eine sinnvolle Architektur, kein Kompromiss.

Dieser letzte Punkt verdient einen genaueren Blick, denn er ist der häufigste Fehler in die andere Richtung. Manche wählen eine weit entfernte Privacy-Tier-Region für eine Arbeitslast ohne jedes Threat-Modell, zahlen die Latenz jahrelang jeden Tag und gewinnen nichts, was sie nicht auch mit einer Zahlung in Monero von einer Wegwerf-E-Mail aus in Frankfurt gehabt hätten. Privatsphäre auf der Konto-Ebene und Reibung auf der Rechtsprechungs-Ebene sind unabhängige Anschaffungen, und die meisten Menschen brauchen nur die erste.

Latenz ist ein echter Kostenfaktor — zahlen Sie ihn nicht umsonst

Entfernung ist der einzige Faktor in dieser ganzen Diskussion, der keine Interpretationssache ist. Licht in Glasfaser legt etwa zweihundert Kilometer pro Millisekunde zurück, und reale Routen verlaufen nie geradlinig — als grobe Faustregel gilt daher etwa eine Millisekunde Umlaufzeit pro hundert Kilometer Entfernung, zuzüglich dessen, was der Weg an Vermittlung und Umwegen noch draufschlägt.

• Innerhalb einer Region — Amsterdam nach Frankfurt, Zurich nach Paris — bewegen Sie sich im einstelligen Millisekundenbereich, und der Standort ist aus Performance-Sicht praktisch kostenlos.
• Quer durch Europa sind es etwa zehn bis vierzig Millisekunden. Bucharest und Helsinki bedienen Westeuropa völlig ausreichend; dieser Bereich ist für die meisten Anwendungen nicht spürbar.
• Von Island zum europäischen Festland kommt eine Seekabel-Strecke hinzu, meist im Bereich von zwanzig bis vierzig Millisekunden, und die transatlantische Strecke ist noch deutlich länger.
• Von Europa nach Südostasien ist die große Strecke, üblicherweise hundertfünfzig Millisekunden oder mehr pro Richtung. Bei einem gesprächigen Protokoll summiert sich das zu etwas, das Nutzer als kaputt beschreiben.
• Interaktive Workloads leiden am meisten. Ein Remote-Desktop, eine SSH-Sitzung oder eine Datenbank mit vielen kleinen Umlaufzeiten verstärkt Latenz direkt, während Massenübertragungen und Batch-Jobs sie kaum bemerken.

Die richtige Region wählen: eine kurze Entscheidungshilfe

1. 01Den tatsächlichen Gegner benennenEin Rechteinhaber-Bot, ein Mitbewerber, der Missbrauchsmeldungen einreicht, ein Zivilkläger, ein neugieriger Arbeitgeber, ein staatlicher Geheimdienst — das verlangt jeweils völlig unterschiedliche Antworten. Wenn die ehrliche Antwort „niemand Bestimmtes" lautet, wollen Sie den Standard-Tier — und haben sich damit gerade eine Menge Latenz gespart.
2. 02Ihre Nutzer auf der Landkarte verortenNicht, wo Sie selbst sind — sondern, woher der Traffic kommt. Das legt das Latenzbudget fest und schließt bei den meisten Workloads mehr Optionen aus als sämtliche rechtlichen Erwägungen zusammen.
3. 03Entscheiden, ob die Arbeitslast interaktiv istRemote-Desktops, SSH-lastige Arbeit und Live-Anwendungen werden von Entfernung bestraft. Nodes, Relays, Backups, Batch-Verarbeitung und Storage sind fast unempfindlich dagegen — deshalb dürfen sie ohne Weiteres weit entfernt liegen.
4. 04Prüfen, was das lokale Recht verbietet — nicht nur, was es erlaubtEine Rechtsprechung außerhalb der Reichweite Ihres Gegners kann Ihre Inhalte auf eine Weise einschränken, wie es Ihr Heimatland nicht tut. Lesen Sie das Zielland als einen Ort mit eigenen Regeln, nicht als Abwesenheit von Regeln.
5. 05Die Kette oberhalb Ihres Hosts verfolgenTransitanbieter und vor allem Ihr Domain-Registrar unterliegen jeweils eigenen Rechtsprechungen mit eigenen Richtlinien. Ein Beschwerdeführer, der bei einem widerstandsfähigen Host abblitzt, hat sehr oft eine Ebene höher Erfolg, und ein Registrar, der einknickt, nimmt Ihren Namen vom Netz — ganz gleich, wo die Festplatte steht.
6. 06Erst die Konto-Ebene klären, dann die LandkarteMelden Sie sich mit einer E-Mail-Adresse an, die nicht mit Ihnen verknüpft ist, zahlen Sie aus einem Krypto-Guthaben, und lassen Sie die Maschine aus Ihrem echten Namen heraus. Das ist billiger, schneller und wirksamer als jede Regionswahl — und genau der Schritt, den die meisten überspringen.
7. 07Zwei Regionen in die engere Wahl nehmen und beide messenEine Privacy-Tier-Kandidatin und eine Komfort-Kandidatin. Stellen Sie in jeder die kleinste Instanz bereit, schicken Sie eine Stunde lang eigenen Traffic dagegen, und lassen Sie die Zahlen entscheiden statt der Landkarte.
8. 08Für den Irrtumsfall planenHalten Sie die Konfiguration reproduzierbar und die Backups portabel, damit eine spätere Meinungsänderung zur Region ein Nachmittag ist und keine Krise. Das ist ohnehin gute Praxis, und es nimmt der Entscheidung den größten Teil ihres Drucks.

Was ein Serverstandort nicht für Sie tun kann

Das Einkaufen nach Rechtsprechung hat eine klar definierte Obergrenze, und wer dagegenläuft, endet schlecht exponiert, während er sich gut geschützt fühlt. Das hier sind die Dinge, die kein Land auf keiner Liste behebt.

• Sie kann keine Zahlungsspur ungeschehen machen. Wurde der Server mit einer Karte auf Ihren echten Namen gekauft, gehört die Maschine in jeder Rechtsprechung der Welt Ihrem echten Namen. Das ist bei der Anmeldung entschieden, lange bevor das Regions-Dropdown auch nur berührt wird.
• Sie kann Ihre Software nicht patchen. Eine verwundbare Anwendung wird in Reykjavík genauso schnell kompromittiert wie in New York, und ein Angreifer reicht keine Formulare ein.
• Sie kann die Domain nicht verstecken. Ein Registrar verwahrt Ihre Identität selbst hinter WHOIS-Privatsphäre, und jedes Zertifikat, das Sie ausstellen, veröffentlicht den exakten Hostnamen in öffentlichen Transparenz-Logs, die jeder durchsuchen kann.
• Sie kann Daten nicht schützen, die Sie anderswohin senden. Analytics, Error-Tracking, ein CDN, ein E-Mail-Relay, ein Zahlungsdienstleister — jeder Einzelne schickt die Daten Ihrer Nutzer in seine eigene Rechtsprechung, und der strengste Serverstandort folgt ihr dort nicht.
• Sie kann Ihre eigenen Verbindungen nicht verbergen. Wenn Sie die Maschine von Ihrer privaten Adresse aus über einfaches SSH administrieren, existieren die Verbindungsmetadaten an beiden Enden — ganz gleich, welche Flagge über dem Rack weht.
• Sie kann illegale Inhalte nicht legal machen. Tatsächlich rechtswidriges Material ist auf jedem seriösen Netzwerk unerwünscht, unserem eingeschlossen, und keine Rechtsprechung ist ein Freibrief dafür.
• Sie kann einen Betreiber nicht ausgleichen, der alles aufbewahrt. Ein Privacy-Tier-Land vor einem Anbieter, der ein Jahr lang jede Anfrage protokolliert, gibt Ihnen eine beruhigend klingende Adresse und keine echte Privatsphäre.

Das Muster in dieser Liste: Rechtsprechung ist eine Ebene unter mehreren — und weder die erste noch die wirksamste. Die Ebenen, die mehr bewirken, der Reihe nach: bei der Anmeldung keine Identität hinterlassen, so bezahlen, dass es sich nicht zu Ihnen zurückverfolgen lässt, die Maschine selbst schwer angreifbar machen, und erst danach entscheiden, wo sie steht. Wenn Sie noch nicht gelesen haben, was No-KYC-Hosting bedeutet, und warum Bitcoin pseudonym statt anonym ist, zählen diese beiden mehr als diese Seite hier — und das Aufladen in Monero ist es, was die On-Chain-Spur schließt, falls Ihnen das wichtig ist.

Fehler, die die Wahl schlechter machen als der Zufall

• Die Wahl rein nach einer Eyes-Allianzen-Liste treffen, was gegen Geheimdienste optimiert, während man das Speicherrecht, die Anbieterrichtlinie und die Zahlungsspur ignoriert, die fast jedes reale Ergebnis entscheiden.
• Für immer hundertachtzig Millisekunden Latenz bezahlen für eine Arbeitslast, über die sich ohnehin nie jemand beschwert hätte.
• Annehmen, dass „Offshore" Unangreifbarkeit bedeutet, und dann feststellen, dass die lokale Aufsichtsbehörde strengere Inhaltsregeln hat als die, denen man entkommen wollte.
• Den Host wunderbar härten und die Domain dann bei einem Mainstream-Registrar auf den eigenen Namen registrieren — das reißt die ganze Frage in einem einzigen Schritt wieder auf.
• Den Ruf eines Landes mit seiner aktuellen Rechtslage verwechseln — gerade Europas Landschaft der Vorratsdatenspeicherung hat sich in beide Richtungen erheblich verändert, und die meisten Artikel darüber sind Jahre veraltet.
• Eine Datenbank weit entfernt von der Anwendung platzieren, die sie abfragt, sodass jeder Seitenaufruf die Umlaufzeit mehrfach bezahlt.
• Eine Rechtsprechung für den Server wählen und die Backups bei einem Anbieter in einer völlig anderen belassen — das macht den Backup-Anbieter still und leise zum schwächsten Glied.
• Einmal entscheiden und nie wieder überprüfen, obwohl sich Gesetze, Kabelrouten und die eigenen Traffic-Muster im Lauf weniger Jahre allesamt ändern.

Erledigen Sie die langweiligen Teile, und die Landkarte wird zu einer viel kleineren Entscheidung, als sie aussieht. Melden Sie sich ohne Identität an, laden Sie das Guthaben in Krypto auf, härten Sie die Box in den ersten zehn Minuten, halten Sie Ihren administrativen Zugriff hinter einem WireGuard-Tunnel, und bewahren Sie die Backups dort auf, wo Sie selbst die Kontrolle haben. Wählen Sie dann die Region aus dem Grund, der tatsächlich auf Ihre Arbeitslast zutrifft — Reibung gegen Beschwerden, Abstand von einem bestimmten Rechtssystem oder schlicht Nähe zu Ihren Nutzern —, und akzeptieren Sie den Tausch, den Sie eingehen, mit offenen Augen. Alle 14 Regionen kosten auf jedem VPS-Plan gleich viel, sodass die einzige Währung, die Sie hier je ausgeben, Latenz ist.