Pentesting KVM vServer für Scanning & Scraping

Q: Was ist ein Pentesting KVM?

Ein KVM-Server für Security-Arbeit: Web-Scraping und zmap-/masscan-Scanning sind ausdrücklich erlaubt, mit vollem Root-Zugriff, fertigen OS-Templates und einem isolierten Netzsegment. Du darfst nur Systeme testen, die dir gehören oder für die du eine schriftliche Genehmigung hast. Angriffe auf Dritte sind niemals erlaubt.

Q: Kann ich Kali Linux betreiben?

Ja, über Docker. Im Bestellformular gibt es kein Kali-Image, also installierst du Debian aus einer Vorlage und startest Kalis offiziellen Container kalilinux/kali-rolling; die Tools fügst du mit dem Paket kali-linux-headless hinzu. Für ein Tool, das einen Bildschirm braucht, kommt ein Xfce-Desktop über xrdp dazu. Die Schritte auf dieser Seite zeigen die Befehle.

Q: Wie viel RAM brauchen Kalis Tools?

Kalis eigene Dokumentation nennt etwa 512 MB RAM und 2 GB Platte für eine Installation auf der Kommandozeile und 2 GB RAM mit 20 GB Platte, sobald der Xfce-Desktop dazukommt. Grafische Web-Testtools wollen deutlich mehr. Starte mit dem Tarif, den deine Tools brauchen, und rüste RAM oder Platte später im Panel nach.

Q: Nullroutet ihr mich wegen eines masscan-Sweeps?

Nein. Scan-Volumen ist auf dieser Linie die Arbeitslast, kein Missbrauch. Aus dem isolierten Segment heraus sind zmap und masscan ausdrücklich erlaubt. Wir greifen nur ein, wenn ein Sweep die Plattform für andere Kunden beeinträchtigt, und kommen mit den Flow-Daten zu dir, bevor wir etwas anfassen, das warten kann.

Q: Prüft ihr meinen Traffic?

Nein. Paketinhalte, Verkehrsdaten und Informationen auf Anwendungsebene werden weder geprüft noch gespeichert (AGB, § 12), und was auf deinem Server liegt, überwachen wir nicht aktiv. Die Überwachung beschränkt sich auf Missbrauchssignale auf Netzwerkebene und auf Meldungen Dritter (Acceptable Use Policy, § 08).

Q: Was sagt ihr jemandem, der Abuse meldet?

Dass der Traffic von autorisierten Tests eines unserer Kunden stammt. Die Meldung leiten wir zur Beantwortung an dich weiter. Eine Beschwerde allein beendet keinen Dienst. Ohne Diskussion handeln wir bei dem, was die AUP überall verbietet (Malware, Phishing, Betrug, Spam), und bei rechtmäßigen Anordnungen von Behörden.

Q: Kann ich einen PTR setzen, der meine Forschung ausweist?

Ja, Reverse DNS setzt du selbst im Panel, und es ist das Billigste, was du gegen Beschwerdeaufkommen tun kannst. Zeig auf einen Hostnamen, hinter dem eine Seite und eine Kontaktadresse stehen: Ein Scan, der sich erklärt, sammelt einen Bruchteil der Meldungen eines anonymen.

Q: Kann ich ihn nur laufen lassen, solange ein Auftrag offen ist?

Kannst du, es kostet aber gleich viel. Die Tarife sind monatlich vorausbezahlt und nicht stundenweise abgerechnet, also bringt es nichts, den Server nur während eines Auftrags laufen zu lassen. Installiere die Vorlage zwischen den Aufträgen neu, damit jeder auf einer leeren Platte beginnt, oder behalte die Maschine und mach vor dem nächsten Auftrag einen Snapshot.

Q: Gibt es bei einem Pentesting KVM eine Rückerstattung?

Nur im Rahmen des gesetzlichen Widerrufsrechts: Als Verbraucher kannst du binnen 14 Tagen nach der Bestellung widerrufen und bekommst den ungenutzten Anteil als Guthaben zurück; die bis dahin genutzte Zeit zahlst du anteilig (AGB, § 07). Darüber hinaus erstatten wir keine Zahlungen; Kulanz gibt es nur als Guthaben, nach unserem Ermessen. Starte also mit dem Einstiegstarif und rüste im Panel auf, wenn ein Auftrag mehr braucht, statt groß zu bestellen und auf Geld zurück zu hoffen.

Q: Welche Zahlungsmethoden akzeptiert ihr?

Wir akzeptieren Karte, PayPal oder Krypto (Bitcoin, Ethereum, USDT, Litecoin, Monero und mehr), zum selben Preis für jede Zahlungsart. Dienste sind vorausbezahlt, ohne Vertrag und jederzeit kündbar.

Sweeps mit zmap oder masscan und ein Crawler, der wirklich crawlt, sind hier die erwartete Last und kein Vorfall: Die Ranges sind für diesen Traffic vorgesehen, und das Missbrauchsverfahren ist darum herum geschrieben. Was wir im Gegenzug verlangen, ist die Autorisierung: eigene Systeme oder ein unterschriebener Scope von dem, dem sie gehören.

AMD EPYC
ECC-Speicher
NVMe-Storage
Scanning erlaubt

Ab6,99 €/Mon.

Tarif wählen Vertrieb kontaktieren

PENTEST KVM 5

am häufigsten gewählte Konfiguration

Gehostet in den Niederlanden

CPU: 6 Cores · AMD EPYC
Arbeitsspeicher: 12 GB ECC
Speicher: 120 GB
Netzwerk: 5 Gbit/s · Fair Use
Standort: Niederlande

29,99 €/Mon.

PENTEST KVM 5 deployen

Voller Root-ZugriffDDoS-geschütztVNC-Konsole

01Tarife

Tarife für Pentesting-VPS

Vorausbezahlt, jederzeit kündbar. Wähle Standort und Laufzeit, die Preise aktualisieren sich sofort.

AMD EPYC · Niederlande

PENTEST KVM 1

Stufe 1 von 9

6,99 €/Mon.

CPU: 1 Core
RAM: 2 GB ECC
DISK: 20 GB
NET: 200 Mbit/s

PENTEST KVM 2

Stufe 2 von 9

12,99 €/Mon.

CPU: 2 Cores
RAM: 4 GB ECC
DISK: 40 GB
NET: 1 Gbit/s

PENTEST KVM 3

Stufe 3 von 9

19,99 €/Mon.

CPU: 3 Cores
RAM: 6 GB ECC
DISK: 60 GB
NET: 1 Gbit/s

PENTEST KVM 4

Stufe 4 von 9

26,99 €/Mon.

CPU: 4 Cores
RAM: 8 GB ECC
DISK: 80 GB
NET: 2 Gbit/s

PENTEST KVM 5

Am häufigsten gewählte Stufe

39,99 €/Mon.

CPU: 6 Cores
RAM: 12 GB ECC
DISK: 120 GB
NET: 5 Gbit/s

PENTEST KVM 6

Stufe 6 von 9

52,99 €/Mon.

CPU: 8 Cores
RAM: 16 GB ECC
DISK: 150 GB
NET: 10 Gbit/s

PENTEST KVM 7

Stufe 7 von 9

92,99 €/Mon.

CPU: 10 Cores
RAM: 20 GB ECC
DISK: 200 GB
NET: 10 Gbit/s

PENTEST KVM 8

Stufe 8 von 9

105,99 €/Mon.

CPU: 12 Cores
RAM: 24 GB ECC
DISK: 240 GB
NET: 10 Gbit/s

PENTEST KVM 9

Stufe 9 von 9

132,99 €/Mon.

CPU: 14 Cores
RAM: 28 GB ECC
DISK: 280 GB
NET: 10 Gbit/s

Brauchst du eine andere Konfiguration? Individuelles Angebot anfragen.

02Leistung

Für Security-Arbeit geschrieben

Das Missbrauchsverfahren dieser Linie geht davon aus, dass der Traffic gewollt ist. Eine Beschwerde erreicht dich mit einer Rückfrage statt mit einer Sperrmitteilung, und Menge allein ist nie der Grund, warum ein Port still wird.

Die Plattform darunter

Worauf jeder Tarif dieser Linie wirklich läuft

AMD EPYC
Server-Kerne von AMD mit ECC-Speicher
Beide Regionen

vCores pro Tarif: 1 – 14
Arbeitsspeicher: ECC
Storage: Replizierter Enterprise-NVMe
Virtualisierung: KVM · voller Root-Zugriff

Pentesting KVM läuft in Frankfurt und Amsterdam auf AMD EPYC mit ECC-Speicher, in denselben neun vCore-Stufen wie Hi-CPU KVM.

Breite Sweeps sind erlaubt

zmap, masscan und ein kompletter internetweiter Lauf liegen aus diesen Ranges innerhalb der Richtlinie, sofern du die Ziele anfassen darfst.

Scraper sind kein Vorfall

Collectors und Crawler laufen so schnell, wie das Ziel es verträgt; hier null-routet niemand einen Kunden, weil er eine Seite zu oft gefragt hat.

Vom Rest getrennt

Diese Linie hat ihren eigenen IP-Bereich, damit der Ruf eines Nachbarn nie dein Problem ist und deiner nie seines.

Pro Auftrag eine frische Maschine

Root, VNC und Template-Neuinstallation: für das Scope-Fenster eine Maschine aufsetzen und sie nach Abnahme des Berichts auf null zurücksetzen.

03Plattform

Was du tatsächlich bekommst

Autorisierte Tests und ihre Grenze

Scannen und Scrapen sind erlaubt, Angriffe auf Dritte nicht, und der ganze Unterschied ist eine schriftliche Erlaubnis, die du auf Nachfrage vorlegen könntest. Malware, Phishing, Betrug und Massenmail liegen auf dieser Linie genauso außerhalb der Richtlinie wie überall sonst, und einer rechtmäßigen behördlichen Anordnung wird gefolgt statt widersprochen.

Was eine Beschwerde wirklich kostet

Eine Meldung bekommt die wahrheitsgemäße Antwort (autorisierte Tests eines Kunden von uns) und kommt danach zur Stellungnahme zu dir, statt sich in eine Sperre zu verwandeln. Ein PTR im Panel, der Projekt und Kontaktadresse nennt, verkürzt dieses Gespräch; ein Sweep von einem anonymen Host sammelt deutlich mehr Meldungen ein als einer, der sich erklärt.

AMD EPYC, 1 bis 14 vCores

Das ist die Hi-CPU-Plattform auf scanfreundlichen Ranges: AMD EPYC mit ECC-Speicher, in neun Stufen. Ein masscan-Lauf stößt an Port und Verbindungstabelle, lange bevor ihm die Kerne ausgehen. Deshalb steht die Linie auf dieser Staffel und nicht auf der mit 32 vCores.

Platz für das Gesammelte

20 bis 280 GB Enterprise-NVMe auf einem replizierten Cluster: Scan-Ausgaben, Paketmitschnitte und gescrapte Korpora liegen auf mehr als einem Node, und ein Snapshot vor dem Tooling-Wechsel ist ein Klick. Die Ergebnisse nach Abschluss eines Auftrags von der Maschine zu holen, bleibt trotzdem deine Aufgabe.

Da, wenn der Scope beginnt, weg, wenn er endet

Ausgerollt wird automatisch, zu jeder Uhrzeit, damit eine Instanz genau so lange existiert wie das Scope-Fenster und keinen Tag länger. Zwischen zwei Aufträgen aus einem Template neu installieren, und der nächste Kunde beginnt auf einer Maschine, auf der nichts vom letzten liegt.

Techniker, die einen Scope gelesen haben

Erreichbar auf Telegram, Discord oder per Mail, zu jeder Uhrzeit, und wer antwortet, weiß, warum eine Maschine auf einer Verbindungstabelle voller halboffener Sockets sitzt. Bring die Scope-Frage vor dem Lauf statt nach der ersten Beschwerde. Eine zweite Meinung kostet eine Nachricht und kann den Auftrag retten.

04Betriebssysteme

Dein Stack, dein Image

Fertige Templates für gängige Linux-Distributionen und Windows Server, jederzeit mit einem Klick neu installierbar.

Ubuntu
LTS-Versionen, die Standardwahl
Debian
Stabil und schlank für Server, die einfach laufen
CentOS
CentOS Stream, RHEL-kompatibel
Rocky Linux
Enterprise Linux, RHEL-kompatibel
Windows Server
Remote Desktop als Administrator

Demnächst

AlmaLinux
Fedora
Arch Linux
openSUSE

05Anwendungsfälle

Was Kunden damit betreiben

Typische Workloads, die unsere Kunden auf dieser Linie betreiben.

Web-Scraping
zmap-Scanning
masscan-Sweeps
Penetrationstests
Red Teaming
Sicherheitsforschung
OSINT-Sammlung
Crawler

Teste nur, was dir gehört oder wofür du eine schriftliche Erlaubnis hast. Angriffe auf Dritte sind nie erlaubt, und ebenso wenig alles, was die Plattform überall verbietet: Malware, Phishing, Betrug und Massenmail. Beide Listen stehen in unseren Nutzungsbedingungen.

06Kali-Tools

Kali-Linux-Tools auf einem Pentesting KVM

Im Bestellformular gibt es keine Kali-Vorlage. Der Weg, den Kalis eigene Dokumentation für Container beschreibt, funktioniert auf jedem Tarif: Debian aus unseren Vorlagen, Kalis Tools in Docker und ein Desktop über xrdp, wenn ein Tool einen braucht.

01
Debian aus der Vorlage
Bestelle einen beliebigen Tarif mit Debian 13 oder 12, melde dich als root an und installiere Docker aus Debians eigenen Paketen. Zwischen zwei Aufträgen installierst du die Vorlage neu, und der nächste Kunde beginnt auf einer leeren Platte.
02
Kalis Tools im Container
Starte das offizielle Image kalilinux/kali-rolling. Es kommt ohne Kalis Standard-Tools, also fügst du sie im Container mit dem Paket kali-linux-headless hinzu, oder nur die Pakete, die dein Auftrag braucht.
03
Ein Desktop über xrdp
Manche Tools wollen einen Bildschirm. Installiere Xfce und xrdp auf dem Server, melde dich per Remote Desktop als normaler Benutzer an und öffne Port 3389 nur für deine eigene Adresse.

Debian 13 · 12, als root

# as root on Debian 13 or 12
apt update && apt install -y docker.io
docker run -it kalilinux/kali-rolling
#   inside the container, add Kali's tools:
#   apt update && apt -y install kali-linux-headless

# a graphical desktop over xrdp, when a tool needs a screen:
apt install -y xfce4 xrdp
ufw allow from YOUR.IP.HERE to any port 3389 proto tcp

Größenangaben aus Kalis Installationsdokumentation: etwa 512 MB RAM und 2 GB Platte ohne Desktop und 2 GB RAM mit 20 GB Platte, sobald der Xfce-Desktop dazukommt. Scannen auf der Kommandozeile läuft auf dem Einstiegstarif; mehr RAM rüstest du im Panel nach, bis zu einem Tarif mit 28 GB Speicher.

Was diese Linie erlaubt

Scannen und Scraping sind hier die Arbeitslast; alles, was auf ein System zielt, das du nicht selbst betreibst, braucht eine schriftliche Erlaubnis, und der Rest der Acceptable Use Policy gilt wie auf jeder Linie.

Tätigkeit	Erlaubt	Bedingung
Port- und Host-Scans mit nmap, masscan oder zmap	Ja	Genau dafür ist diese Linie da. Volumen allein beendet keinen Dienst; eine Beschwerde kommt mit einer Frage an dich. Setze einen PTR, der das Projekt und einen Kontakt nennt.
Web-Scraping und Crawler	Ja	In dem Tempo, das das Ziel verträgt; eine Beschwerde geht mit einer Frage an dich und wird nicht zur Sperre.
Web- und Exploit-Werkzeuge	Mit schriftlicher Erlaubnis	Nur gegen Systeme, die dir gehören oder für die du eine schriftliche Erlaubnis hast. Der Auftrag ist der ganze Unterschied.
Alles, was die AUP überall verbietet	Nein	Malware, Phishing, Betrug und Massenmails sind auf dieser Linie wie auf jeder anderen außerhalb der Regeln und beenden den Dienst.

Das isolierte Segment hält den Verkehr dieser Linie von den Bereichen fern, auf denen andere Kunden sitzen; es macht dich nicht anonym und erweitert nicht, was du testen darfst. Siehe die AGB und die Acceptable Use Policy.

07Was erlaubt ist

Was in diesem Tarif erlaubt ist

Die eine KVM-Linie, auf der Scannen zur Richtlinie gehört. Der Rest der Nutzungsrichtlinie gilt hier wie auf jeder anderen Linie.

DMCA-Meldungen

Nach Nutzungsrichtlinie

Eine DMCA-Meldung wird wie jede andere Missbrauchsmeldung nach der Nutzungsrichtlinie bearbeitet. Für eine lockere Takedown-Politik nimm DMCA Ignored KVM oder, auf Bare Metal, DMCA Ignored Dedicated.

Scans

Erlaubt

zmap, masscan und Web-Scraping sind erlaubt, sofern die Systeme dir gehören oder du eine schriftliche Erlaubnis hast. Angriffe auf Dritte sind es nie.

Immer verboten

In jedem Tarif

CSAM, Waffen und Drogen, Malware und Botnets, Phishing und Betrug, Spam (unerwünschte Massen-E-Mails), alles, was den IP-Bereich auf Blacklists bringt, und alles andere, was nach deutschem Recht illegal ist. Jeder dieser Punkte kann den Dienst ohne Vorankündigung und ohne Erstattung beenden.

Erstattungen

Als Guthaben

Als Verbraucher kannst du binnen 14 Tagen widerrufen und bekommst den ungenutzten Anteil als Guthaben auf deinem VMHeaven-Konto zurück. Darüber hinaus keine Erstattungen. Kulanz gibt es nur als Guthaben, nach unserem Ermessen. Guthaben wird nie als Bargeld oder Überweisung ausgezahlt.

Die vollständigen Regeln stehen in unserer Nutzungsrichtlinie; Erstattungen regelt Abschnitt 07 der AGB.

08FAQ

Fragen zum Pentesting

Alles, was du vor dem Deployen wissen musst, und ein Mensch, wenn du mehr brauchst.

Noch Fragen?

Echte Techniker am anderen Ende. Die erste Antwort kommt typischerweise in etwa zwei Stunden.

E-Mail schreiben Discord Telegram

< 2 Std. Typische erste Antwort

24/7/365 Techniker im Dienst

1000+ Betreute Kunden