Den Bug-Bounty-VPS 2026 richtig dimensionieren: echte Preise, Tools und Grenzen

Ein Bug-Bounty-VPS hat eine Aufgabe: deine Recon-Schleife am Laufen zu halten. 2026 sieht diese Schleife meist so aus: passive Subdomain-Suche, HTTP-Probing, ein Crawl, ein Nuclei-Durchlauf und dann Burp auf den Hosts, die interessant wirken. Dafür brauchst du keinen Server für 50 Dollar. Hier liest du, wie du ihn dimensionierst, was drauf gehört und wohin das Geld wirklich fließt.

Wie die Preise wirklich aussehen

Die Spanne „10 bis 25 Dollar“ ist bei manchen Anbietern real und bei anderen Fiktion.

Hetzners Preisliste vom Juni 2026 führt den CX33 mit 4 geteilten vCPU und 8 GB RAM zu 9,99 Dollar im Monat für deutsche oder finnische Rechenzentren, ohne Mehrwertsteuer. Eine Stufe höher kostet der CX43 (8 vCPU, 16 GB) 18,49 Dollar, und der kleinere CX23 (2 vCPU, 4 GB) kostet 6,49 Dollar. Alle drei Zahlen stammen aus Hetzners Mitteilung zur Preisanpassung vom 15. Juni 2026. Contabo liegt in derselben Liga. Sein Cloud VPS 4 bietet 4 vCPU und 8 GB für rund 5,50 Euro im Monat unter einer Fair-Use-Traffic-Regel, einen Preis, den VPSBenchmarks noch Anfang September 2026 zeigte.

Vergleich das mit derselben Konfiguration aus 4 vCPU und 8 GB anderswo. DigitalOcean verlangt dafür 48 Dollar, und Vultrs reguläres Cloud-Compute-Angebot verlangt 40 Dollar. Diese beiden Listenpreise sind der Grund, warum viele annehmen, Recon-Hosting sei teuer. Ist es, wenn du bei den großen US-Marken bleibst. Ist es nicht, wenn du EU-Tarife mit geteilter CPU wählst, wo Hetzner bereits 20 TB ausgehenden Traffic bündelt.

Preise ändern sich, prüf also vor dem Bezahlen die aktuelle Konsole. Hetzner stellt außerdem die primäre IPv4-Adresse als eigene Position in Rechnung, was den Betrag ein paar Dollar über den Instanzpreis hebt, und die Mehrwertsteuer richtet sich danach, wo dein Konto registriert ist.

Warum du überhaupt einen willst

Stell dir einen Hunting-VPS als Rechner vor, der weiterarbeitet, während dein Laptop schläft. Recon-Jobs können Stunden laufen, und deine Heim-IP sollte nicht der Ursprung von 40.000 httpx-Probes sein. Der Server gibt dir außerdem eine saubere Linux-Installation, die du zerstören, neu aufsetzen und per Snapshot sichern kannst.

Er ersetzt nicht Burp auf deinem eigenen Schreibtisch, und er erteilt keine Erlaubnis, irgendetwas zu testen. Scanne nur Hosts, die das Programm schriftlich benannt hat. Wenn die Richtlinie automatische Scanner in der Produktion verbietet, verletzt ein Nuclei-Lauf von einem 10-Dollar-Server diese Richtlinie trotzdem.

Drei Größen, drei Preisbänder

Sparsam, rund 5 bis 10 Dollar im Monat. Zwei vCPU, 4 GB RAM, 40 bis 50 GB SSD und etwa 1 TB Traffic, wenn der Anbieter knausert (Hetzners EU-Standorte geben weit mehr). Eine Maschine der CX23-Klasse passt hierher. Sie reicht für Subfinder, DNSx, einen höflichen httpx-Durchlauf und leichte Nuclei-Arbeit an einer kurzen Hostliste. Sie beginnt zu swappen, wenn Katana headless läuft, während Nuclei in derselben Nacht ein breites Template-Set abfeuert.

Empfohlen, rund 10 bis 25 Dollar im Monat. Vier vCPU, 8 GB RAM und 80 bis 120 GB SSD. Gemessene US-Clouds geben 2 bis 4 TB Traffic, während Hetzners Standorte in Falkenstein, Nürnberg und Helsinki 20 TB enthalten. Wenn du nur eine Kiste kaufst, dann diese. Sie fährt die ganze ProjectDiscovery-Toolchain, ohne dass der OOM-Killer jeden Abend eingreift.

Schwer, rund 25 bis 50 Dollar und mehr. Acht oder mehr vCPU, 16 GB RAM oder mehr und 150 GB SSD oder mehr. Das ergibt Sinn, wenn der Scope ein großes öffentliches Programm ist, wenn mehrere tmux-Panes gleichzeitig Portscans fahren oder wenn du monatelange Crawl-Ausgaben auf der Platte hältst. Hetzners CX43 liegt in der EU unter 20 Dollar, während DigitalOceans Basic Droplet mit 8 vCPU und 16 GB 96 Dollar kostet, was ein schneller Weg ist, zu viel auszugeben, bevor du überhaupt eine Methode hast.

Die meisten sollten bei der mittleren Größe aufhören. Skaliere hoch, wenn htop stundenlang rot bleibt, nicht weil jemand im Netz „Enterprise-Recon“ gesagt hat.

Die Toolchain auf der Kiste

Hier der übliche Stack, vom Grundsystem bis zum manuellen Testen:

VPS
 ↓
Docker + tmux
 ↓
Subfinder + DNSx
 ↓
httpx + Naabu
 ↓
Katana + GAU
 ↓
ffuf + Nuclei
 ↓
Burp Suite on the hosts that survived

Jedes Tool unten verlinkt auf sein offizielles Repo oder seine Produktseite. Installiere aktuelle Builds und füge kein Install-Skript aus 2022 ein in der Erwartung, dass seine Flags noch funktionieren.

• Container und Sitzungen. Docker isoliert die Abhängigkeiten jedes Tools, sodass du ein Nuclei-Image mit frischen Templates wegwerfen kannst, statt einen halb aktualisierten Go-Path zu entwirren. tmux lässt einen Job eine abgebrochene SSH-Verbindung überleben, und Abtrennen und wieder Verbinden ist die eine Gewohnheit, die man zuerst lernen sollte.
• Namen finden. Subfinder zieht Subdomains aus passiven Quellen, und mehrere davon brauchen API-Keys. Zur Einrichtung siehe die ProjectDiscovery-Install-Doku. DNSx löst dann die Ergebnisse auf und entfernt Wildcard-Antworten, was Zehntausende tote Namen von deinem Portscanner fernhält.
• Probing. httpx zeigt, welche Namen über HTTP antworten, welche Statuscodes sie liefern und oft den Technologie-Stack dahinter. Naabu aus derselben Familie übernimmt das Portscanning, aber nutze es nur dort, wo die Regeln Portscans erlauben. Viele reine Web-Programme verbieten es.
• Pfade entdecken. Katana crawlt lebende Hosts, und sein Headless-Modus ist speicherhungrig, was erklärt, warum 4 GB eng wirken. GAU sammelt stattdessen URLs, die das Internet schon kennt, aus AlienVault OTX, dem Wayback Machine und Common Crawl. Das ist Archivrecherche und kein Live-Crawl, überprüf also, dass jeder Pfad heute im Scope liegt. ffuf fuzzt Inhalte. Es ist selbst in den Voreinstellungen schnell, entferne also -t und nutze -rate, wenn das Ziel empfindlich ist oder die Regeln Ruhe verlangen. Die Wiki-Seite zu Rate und Performance behandelt das kurz.
• Schwachstellenprüfungen. Nuclei führt YAML-Templates aus dem nuclei-templates-Repo aus. Richte das komplette Template-Set auf eine riesige Hostliste und eine 4-GB-Maschine kippt um, grenze also zuerst nach Severity ein und lies die Programmregeln, bevor du Produktion anfasst.
• Handarbeit. Burp Suite bleibt der Hands-on-Schritt. Die Community Edition kostet nichts, Professional ist die kostenpflichtige Stufe. Der Server kann URLs und lebende Hosts sammeln, aber ein Request, der eine Wiederholung wert ist, gehört in Burp auf einen Rechner, an dem du sitzt.

Die Open-Source-Seite von ProjectDiscovery zeigt dieselbe Art Pipe. Eine typische Form folgt, und sie sollte nur auf eine Domain gerichtet werden, die du testen darfst:

subfinder -d example.com -silent \
  | dnsx -silent \
  | httpx -silent \
  | nuclei -silent -severity high,critical

Behandle diesen Einzeiler als Ausgangsfilter, nicht als Pentest und nicht als Finding. Was Nuclei auch ausgibt, braucht noch einen Menschen, der es bestätigt, den Scope prüft und einen Bericht schreibt, mit dem ein Entwickler etwas anfangen kann.

Wohin das Geld fließt

Bei Hetzner in der EU betragen die Instanzpreise nach der Anpassung vom 15. Juni 2026 in USD vor Mehrwertsteuer:

• CX23, 2 vCPU und 4 GB: 6,49 Dollar im Monat
• CX33, 4 vCPU und 8 GB: 9,99 Dollar im Monat
• CX43, 8 vCPU und 16 GB: 18,49 Dollar im Monat

Die ältere Generation aus CX22, CX32 und CX42 hatte 40, 80 und 160 GB Platte, und die aktuelle Linie behält dieses Layout. Der Traffic an den EU-Standorten liegt in der 20-TB-Klasse, eine Einkaufsliste, die auf „1 TB Bandbreite“ beharrt, setzt also die falsche Grenze, wenn du in Falkenstein landest.

DigitalOceans aktuelle Basic-Droplet-Tabelle lautet:

• 2 vCPU und 4 GB: 24 Dollar, mit 80 GiB Platte und 4 TB Traffic
• 4 vCPU und 8 GB: 48 Dollar, mit 160 GiB Platte und 5 TB Traffic
• 8 vCPU und 16 GB: 96 Dollar, mit 320 GiB Platte und 6 TB Traffic

Vultrs reguläres Cloud Compute verlangt 20 Dollar für 2 vCPU und 4 GB und 40 Dollar für 4 vCPU und 8 GB.

Die Empfehlung „10 bis 25 Dollar“ meint also Hardware der Hetzner- oder Contabo-Klasse, nicht irgendeine Cloud-VM mit vier Kernen. Ist DigitalOcean dein einziges Konto, wird dieselbe Konfiguration zu einer 48-Dollar-Gewohnheit. Guthaben aus Student Packs und Trial-Balances kommen und gehen, behandle sie also als kurze Startbahn statt als dauerhaftes 5-Dollar-Lab.

Wohin Platte und Speicher gehen

Die Subfinder-Ausgabe ist winzig, und httpx-JSON für ein paar tausend Hosts bleibt klein. Katana und GAU sind das eigentliche Speicherproblem, denn ein Jahr archivierter URLs für ein stark frequentiertes Ziel ist ein riesiger Haufen Zeilen. Nuclei mit -jsonl über ein breites Template-Set kommt als Nächstes. 80 GB sind bequem für einen Hunter, der eine Handvoll Programme bearbeitet. 40 GB füllen sich, sobald du anfängst, rohe Crawls „für alle Fälle“ aufzuheben.

Speicherdruck entsteht durch headless Katana, Chromium-basierte Screenshot-Tools und Nuclei-Nebenläufigkeit, alle auf einer Maschine gestapelt. Eine 4-GB-Maschine kommt klar, wenn die Phasen nacheinander laufen. Die erste Größe, bei der httpx und ein Crawl zwei tmux-Panes teilen können, ohne alle zehn Minuten einen free -h-Check, sind 8 GB.

CPU-Druck entsteht durch Naabu und ffuf. Tarife mit geteilten vCPU, etwa Hetzner CX, Contabo Cloud VPS und DigitalOcean Basic, wirken schubweise. Für Recon ist das in Ordnung, aber ein schlechter Fit, wenn du eine lineare Beschleunigung von „8 vCPU“ bei einem lauten Nachbarn erwartest.

Praktische Hinweise zur Einrichtung

Dies ist keine vollständige Installationsanleitung, aber ein paar Gewohnheiten zählen:

• Starte mit Ubuntu LTS oder Debian. Lege einen Nicht-Root-Benutzer an, erlaube nur SSH-Keys und betreibe fail2ban oder Ähnliches auf Port 22, oder verschiebe SSH auf einen anderen Port. Ein VPS, der zum Scanner eines anderen wird, ist ein größeres Problem als ein langsamer Nuclei-Lauf.
• Installiere Go und hol dann die ProjectDiscovery-Tools mit den Befehlen aus deren aktueller Doku. PDTM ist eine Option, wenn dir ein Installer für alles zusagt. Überspring jeden alten „Bug-Bounty-VPS-Skript“-Gist aus 2023.
• Halte Wordlists und Ausgaben in einem eigenen Verzeichnis, das du per rsync von der Kiste ziehen kannst. Ein Snapshot ist billiger als ein Neuaufbau nach einem falschen rm.
• Nutze Burp Collaborator oder einen beliebigen Callback-Listener nur, wenn das Programm Out-of-Band-Tests erlaubt. Manche Richtlinien rechnen überraschende Callbacks dem Tester negativ an.

Wann mehr auszugeben

Rüste auf, wenn ein einzelner autorisierter Scope parallele Crawls verlangt, wenn jede Nacht Swap genutzt wird oder wenn die Platte 80 Prozent erreicht, weil jede JSONL-Datei behalten wurde. Rüste nicht auf, weil ein Kurs-Thumbnail ein 32-GB-Rack zeigte.

Manchmal schlagen zwei kleine Maschinen eine große. Nutze einen Host für laute Scans und halte einen anderen sauber für Handarbeit und Berichte. Zwei CX23-Instanzen können immer noch weniger kosten als ein einzelner DigitalOcean-Droplet mit 8 GB.

Der Teil, der keine Infrastruktur ist

Ein 10-Dollar-VPS findet keine IDORs. Das tun ein schriftlicher Scope, eine Notizgewohnheit und Stunden in der Anwendung. Nuclei wird weiter CVEs ausgeben, die das Programm längst als „informative“ geschlossen hat, und ffuf wird weiter denselben 403 zutage fördern. Alles, was der Server dir nimmt, ist eine Ausrede, nämlich ein Laptop-Akku, der auf halber Subdomain-Liste stirbt.

Nutze Monat eins für Methodik, Wordlists und das Lesen von Richtlinien. Miete jetzt den mittleren Tarif und steig erst hoch, wenn die Last es erzwingt.

Auf welchem Tarif bist du heute, und was hat ihn zuerst aufgefressen? Vielleicht war es Nuclei mit zu vielen gleichzeitigen Requests, Katana im Headless-Modus oder eine Platte voller Crawl-Dateien, die niemand geöffnet hat.