VPS in Kanada: Wann ist ein Server dort nötig?

Muss sich Ihr VPS in Kanada befinden?

VPS-Hosting in Kanada ist dann sinnvoll, wenn ein Gesetz oder ein Vertrag vorschreibt, dass die Daten in Kanada bleiben müssen. Das ist der einzige zwingende Grund. Eine Round-Trip-Zeit von einer privaten Verbindung in Toronto zu einem Rechenzentrum in New York liegt bei etwa 18 ms, gegenüber ungefähr 3 ms zu einem Rechenzentrum in Toronto. Kaum eine Webanwendung kann diesen Unterschied erkennen.

Drei Gründe sprechen für einen kanadischen Server. Die Datenresidenz ist eine rechtliche Verpflichtung und beantwortet die Frage damit von selbst. Die Latenz ist messbar und fällt in der Regel geringer aus als erwartet. Die Abrechnung in kanadischen Dollar ist für Ihre Buchhaltung praktisch. Prüfen Sie zuerst, ob der erste Punkt auf Sie zutrifft, bevor Sie andere Kriterien betrachten.

Dieser Beitrag erklärt allgemein, wie die Regeln funktionieren. Er stellt keine Rechtsberatung dar. Wenn für Ihre Organisation ein Datenschutzgesetz gilt, erhalten Sie die maßgebliche Antwort von Ihrer Rechtsberatung.

Datenresidenz: die einzige zwingende Anforderung

PIPEDA (Personal Information Protection and Electronic Documents Act) ist Kanadas Datenschutzgesetz für den privaten Sektor auf Bundesebene. Es verlangt nicht, dass personenbezogene Daten im Land bleiben. Die Übermittlung von Daten an einen Auftragsverarbeiter im Ausland gilt als Übermittlung zur Verarbeitung: Ihre Organisation bleibt für die Daten verantwortlich, der Auftragsverarbeiter muss einen vergleichbaren Schutz bieten, und Sie müssen die betroffenen Personen transparent darüber informieren. Das Office of the Privacy Commissioner konsultierte 2019 zu einer Verschärfung dieser Regelung und behielt anschließend seine bisherige Position bei. Die verbreitete Aussage, PIPEDA bedeute, dass Ihre Daten in Kanada gespeichert werden müssen, ist daher falsch, auch wenn sie in vielen Hosting-Ratgebern wiederholt wird.

Tatsächliche Residenzvorgaben gibt es. Sie gelten in enger gefassten Bereichen.

• Quebecs Law 25 verlangt eine Bewertung, bevor personenbezogene Daten außerhalb der Provinz übermittelt werden. Die Daten müssen am Zielort angemessen geschützt sein. Diese Regelung ist seit September 2023 in Kraft. Sie verlangt Dokumentation und eine begründbare Entscheidung, stellt aber kein Verbot dar.
• Vorschriften für den öffentlichen Sektor binden öffentliche Stellen und die Unternehmen, die für sie tätig sind. Nova Scotias PIIDPA schränkt die Speicherung personenbezogener Daten außerhalb Kanadas ein. British Columbias FIPPA enthielt bis zu ihrer Änderung im Jahr 2021 eine ähnliche Regelung. Seitdem ist eine Speicherung im Ausland nach einer Bewertung zulässig.
• Arbeiten für die Bundesregierung unterliegen der Cloud-Strategie der kanadischen Regierung. Danach müssen Daten der Schutzstufe Protected B und höher in Kanada bleiben.
• Datenschutzgesetze der Provinzen für Gesundheitsdaten stellen eigene Anforderungen an den Speicherort von Gesundheitsakten. Diese Anforderungen unterscheiden sich von Provinz zu Provinz.
• Kundenverträge und öffentliche Ausschreibungen sind in der Praxis der häufigste Auslöser. Wenn ein Sicherheitsfragebogen "data at rest in Canada" verlangt, bindet Sie das ebenso strikt wie ein Gesetz, weil Sie ihn unterschrieben haben.

Die praktische Prüfung ist einfach. Können Sie auf die entsprechende Klausel verweisen? Wenn niemand in Ihrer Organisation das Gesetz oder den Vertrag nennen kann, der Kanada vorschreibt, entscheiden Sie nach Latenz und Preis.

Liegt ein kanadisches Rechenzentrum außerhalb des US-amerikanischen Rechtszugriffs?

Nicht automatisch. Der US CLOUD Act (Clarifying Lawful Overseas Use of Data Act) gilt für Daten im Besitz, in der Verwahrung oder unter der Kontrolle eines US-Anbieters, unabhängig vom Standort der Hardware. Eine von einem US-Unternehmen betriebene Region in Toronto fällt daher in seinen Geltungsbereich. Wenn es tatsächlich um ausländische Rechtsverfahren und nicht um Geografie geht, sind der Betreiber des Dienstes und der Verwahrer der Verschlüsselungsschlüssel entscheidend. Eine kanadische Adresse am Gebäude beantwortet diese Frage allein nicht.

Das Routing ist die zweite Überraschung. Datenverkehr zwischen zwei kanadischen Städten läuft häufig durch die Vereinigten Staaten, weil dort traditionell günstiges Peering verfügbar ist. Forschende bezeichnen das als Boomerang-Routing. Führen Sie einen Traceroute aus, bevor Sie jemandem versichern, dass Ihre Pakete das Land nie verlassen.

traceroute vps.example.com

Hop-Namen enthalten Ortskürzel wie nyc, chi oder ash. Diese Namen sind Hinweise und können veraltet sein. Betrachten Sie sie daher als Anlass, Ihren Anbieter zu fragen, nicht als Beweis. Für Daten während der Übertragung ist eine von Ihnen kontrollierte Verschlüsselung die verlässliche Lösung, keine Karte. Wenn Sie eine private Verbindung zwischen Ihren eigenen Rechnern benötigen, stellt ein selbst gehostetes WireGuard-VPN eine solche Verbindung bereit, unabhängig davon, durch welches Land die Glasfaser verläuft.

Latenz: messen, nicht annehmen

Licht legt sich in Glasfaser mit etwa 200 km pro Millisekunde zurück. Daher kostet eine Entfernung von jeweils 100 km bereits ungefähr 1 ms Round-Trip-Zeit, bevor überhaupt Netzwerkkomponenten beteiligt sind. Toronto und Vancouver liegen in Luftlinie etwa 3.400 km auseinander, über Kabel ist die Strecke länger. Damit liegt das physikalische Minimum bei ungefähr 40 ms. In der Praxis sind die Wege länger.

[
  {
    "label": "Toronto",
    "rtt_ms": 3
  },
  {
    "label": "Montreal",
    "rtt_ms": 12
  },
  {
    "label": "New York",
    "rtt_ms": 18
  },
  {
    "label": "Chicago",
    "rtt_ms": 24
  },
  {
    "label": "Northern Virginia",
    "rtt_ms": 26
  },
  {
    "label": "Dallas",
    "rtt_ms": 42
  },
  {
    "label": "Vancouver",
    "rtt_ms": 62
  },
  {
    "label": "London",
    "rtt_ms": 88
  },
  {
    "label": "Frankfurt",
    "rtt_ms": 98
  }
]

Das sind typische veröffentlichte Werte für einen gut angebundenen Privatanschluss in Toronto. Sie dienen als Ausgangspunkt, sind aber keine Zusicherung. Ihre tatsächlichen Werte hängen von Ihrem Zugangsnetz und dem Peering Ihres Providers ab. Außerdem ändern sie sich je nach Tageszeit.

Zwei Zeilen sollten Sie besonders beachten. Die Round-Trip-Zeit von Toronto nach Montreal beträgt etwa 12 ms. Die Entfernung ist gering genug, dass sich beide Städte für die meisten Zwecke wie eine Region verhalten. Von Toronto nach Vancouver sind es etwa 62 ms. Das ist mehr als von Toronto nach Northern Virginia mit 26 ms. Ein Standort in Kanada bedeutet nicht automatisch eine geringe Entfernung zu Ihren Benutzern.

In der Praxis dominiert ohnehin meist die letzte Meile. Ein Glasfaseranschluss zu Hause verursacht einige zusätzliche Millisekunden. Bei Kabelanschlüssen steigt die Latenz, wenn die Leitung ausgelastet ist. Eine Mobilfunkverbindung fügt bereits für sich genommen einige Dutzend Millisekunden hinzu. Ein Smartphone-Nutzer in Toronto kann zu einem Server in Toronto beispielsweise 50 ms messen. Wenn dieser Server nach New York verschoben wird, ändert sich die wahrgenommene Leistung nur um wenige Prozent.

So testen Sie die Latenz vom Standort Ihrer Benutzer aus

Ermitteln Sie zuerst, wo sich Ihre Benutzer tatsächlich befinden. Ihre Analysedaten schlüsseln Sitzungen bereits nach Stadt oder Region auf. Verwenden Sie diese Daten, statt den Standort Ihres Büros als Grundlage zu nehmen.

Messen Sie anschließend von diesem Standort aus. Sie können die Latenz nach Vancouver nicht von einem Arbeitsplatz in Ottawa aus testen. Mieten Sie für 20 Minuten einen VPS in der Zielstadt und löschen Sie ihn danach. Bitten Sie einen Kollegen oder Kunden, einen Befehl auszuführen. Alternativ können Sie das kostenlose RIPE-Atlas-Messnetzwerk unter https://atlas.ripe.net verwenden. Dort gibt es Messsonden in kanadischen Städten, von denen aus Sie Pings ausführen können.

sudo apt update && sudo apt install -y mtr-tiny traceroute iperf3
ping -c 20 vps.example.com

Lesen Sie die letzten beiden Zeilen.

20 packets transmitted, 20 received, 0% packet loss, time 19031ms
rtt min/avg/max/mdev = 17.412/18.006/19.882/0.594 ms

avg ist der zentrale Messwert. mdev ist der Jitter, also die Streuung zwischen den Paketen. Jeder Paketverlust auf einer kurzen Strecke ist ein Fehler, den Sie untersuchen sollten. Hoher Jitter beeinträchtigt Sprachübertragungen und Spiele stärker als ein etwas höherer Durchschnittswert, weil der Empfänger für das schlechteste Paket statt für das typische Paket puffern muss.

mtr --report --report-cycles 50 vps.example.com

mtr gibt den Paketverlust für jeden Hop aus. Wenn der Befehl mit einem Berechtigungsfehler beendet wird, führen Sie ihn mit sudo aus. Mittlere Hops zeigen regelmäßig Paketverluste, die nicht real sind, weil Router die von ihnen selbst erzeugten ICMP-Antworten mit der niedrigsten Priorität behandeln. Nur ein Paketverlust, der bis zur letzten Zeile bestehen bleibt, beeinträchtigt auch Ihren Datenverkehr. Lesen Sie zuerst die unterste Zeile und arbeiten Sie sich dann nach oben vor.

Wenn ICMP blockiert oder rate-limitiert wird, messen Sie stattdessen die Laufzeit des tatsächlichen Protokolls.

curl -o /dev/null -s -w 'dns=%{time_namelookup} connect=%{time_connect} tls=%{time_appconnect} ttfb=%{time_starttransfer} total=%{time_total}\n' https://vps.example.com/

Jedes Feld enthält die kumulierte Zeit in Sekunden seit Beginn der Anfrage. connect minus dns ist eine TCP-Round-Trip-Zeit. tls minus connect ist der Handshake. ttfb minus tls ist eine weitere Round-Trip-Zeit plus der Zeit, die Ihre Anwendung für die Antwort benötigt hat. In dieser letzten Lücke verlieren langsame Websites tatsächlich meist ihre Zeit. Ein ttfb von 0.8 s auf einer kurzen Strecke weist auf ein Anwendungsproblem hin. Ein Umzug des Servers in eine andere Stadt ändert daran nichts.

Für den Durchsatz führen Sie den Server auf dem VPS und den Client auf der Seite des Benutzers aus. iperf3 lauscht auf TCP 5201. Öffnen Sie daher für den Test den Port mit ufw und schließen Sie ihn anschließend wieder.

iperf3 -s

iperf3 -c vps.example.com -t 20
iperf3 -c vps.example.com -t 20 -R
iperf3 -c vps.example.com -t 20 -P 8

-R kehrt die Richtung um. Damit messen Sie sowohl den Download als auch den Upload. -P 8 öffnet acht parallele Streams. Wenn acht Streams wesentlich schneller sind als einer, liegt die Begrenzung am TCP-Fenster über eine lange Strecke und nicht an der Leitung selbst, weil ein einzelner Stream pro Round-Trip-Zeit nur ein Fenster übertragen kann. Dasselbe Fenster über die Strecke nach Vancouver überträgt pro Sekunde ungefähr ein Drittel der Datenmenge wie über die Strecke nach New York. Langstrecken-Backups verhalten sich genauso. Deshalb wirken externe Backups mit restic zu einem entfernten Ziel selbst bei einer schnellen Leitung langsam.

Lassen Sie in einem zweiten Terminal einen Ping laufen, während iperf3 arbeitet. Wenn die Round-Trip-Zeit während der Übertragung von 20 ms auf 300 ms steigt, handelt es sich um Bufferbloat in Ihrer eigenen Zugangs-Hardware. Kein Rechenzentrumsstandort behebt dieses Problem.

Messen Sie mehr als einmal und messen Sie am Abend. Die Überlastung um 9pm ist der Wert, mit dem Ihre Benutzer arbeiten müssen. Der Wert um 4am ist derjenige, den eine Verkaufsseite lieber angeben würde.

Was die Round-Trip-Zeit für Ihre Workload bedeutet

Das Laden einer nicht gecachten Seite benötigt vier Round-Trips, bevor der Browser etwas darstellen kann.

[
  {
    "label": "DNS lookup",
    "toronto_to_new_york_ms": 18,
    "toronto_to_vancouver_ms": 62
  },
  {
    "label": "TCP handshake",
    "toronto_to_new_york_ms": 18,
    "toronto_to_vancouver_ms": 62
  },
  {
    "label": "TLS 1.3 handshake",
    "toronto_to_new_york_ms": 18,
    "toronto_to_vancouver_ms": 62
  },
  {
    "label": "Request and first byte",
    "toronto_to_new_york_ms": 18,
    "toronto_to_vancouver_ms": 62
  },
  {
    "label": "All four round trips",
    "toronto_to_new_york_ms": 72,
    "toronto_to_vancouver_ms": 248
  }
]

Die DNS-Abfrage geht an einen Resolver und nicht an Ihren Server. Sie ist normalerweise gecacht, sodass sie bei einem erneuten Besuch entfällt. Von Ende zu Ende betrachtet startet ein nicht gecachtes Laden auf der Route nach New York mit 72 ms Verzögerung und auf der Route nach Vancouver mit 248 ms. Beide Werte fallen gegenüber einer einzelnen 400-ms-Datenbankabfrage kaum ins Gewicht. Sobald die Verbindung geöffnet ist, übertragen HTTP/2 und HTTP/3 viele Anfragen gleichzeitig darüber. Diese Kosten fallen daher einmalig und nicht für jede Datei an. Legen Sie statische Assets auf einem CDN (Content Delivery Network) ab. Dann spielt der Standort des Origin-Servers für diese Assets keine Rolle mehr. Deshalb kann ein Besucher aus Europa trotz 98 ms bis nach Toronto eine schnelle Seite erhalten.

Echtzeit-Multiplayer-Spiele sind der entgegengesetzte Fall. Dort bestimmt der Round-Trip die Spielerfahrung. Unter etwa 50 ms wirkt ein schnelles Actionspiel unmittelbar. Ab ungefähr 80 ms bemerken Spieler die Verzögerung. Oberhalb von 120 ms geben sie dem Server die Schuld. Hier entscheidet die Region tatsächlich darüber, ob das Produkt gut funktioniert. Server für Spiele mit langsamerem Spieltempo sind deutlich toleranter. Deshalb übersteht der Betrieb eines Minecraft-Servers auf einem VPS Entfernungen, die einen Shooter unspielbar machen würden.

Bei Datenbanken kann die Wahl der Region erheblichen Schaden verursachen. Platzieren Sie die Anwendung niemals in einer Region und die Datenbank in einer anderen. Jede Abfrage ist ein Round-Trip. Eine Seite mit 40 Abfragen verursacht 40 Round-Trips. Bei jeweils 18 ms dauert das fast eine Sekunde. Bei jeweils 62 ms sind es mehr als zwei Sekunden. Das gilt für eine Seite, deren Messung mit einer Datenbank auf demselben Server nur 30 ms ergab. Asynchrone Replikation in eine andere Region ist für Read Replicas und die Notfallwiederherstellung geeignet. Ein synchroner Commit über eine lange Strecke fügt diese Strecke jedem einzelnen Schreibvorgang hinzu.

Interaktive Sitzungen liegen dazwischen. SSH bleibt bis etwa 100 ms komfortabel und wirkt darüber träge, weil jedes eingegebene Zeichen auf seine Rückübertragung wartet. mosh führt lokale Vorhersagen durch und verbirgt dadurch einen Großteil dieser Verzögerung. Webhooks und interne APIs sollten sich immer in derselben Region wie der aufgerufene Dienst befinden.

Abrechnung, Währung und Steuern

Die Zahlung in kanadischen Dollar vermeidet die Fremdwährungsgebühr Ihres Kartenanbieters, die im August 2026 üblicherweise etwa 2.5% beträgt. Außerdem führen Sie Ihre Buchhaltung dadurch in einer einzigen Währung. Ein kanadischer Anbieter stellt die Rechnung mit GST oder HST aus. Ein registriertes Unternehmen kann diese als Vorsteuer geltend machen. Das ist eine finanzielle Frage mit einer finanziellen Antwort. Sie sollte niemals darüber entscheiden, wohin die Netzwerkpakete geleitet werden. Informationen zu den tatsächlichen Serverkosten und dazu, wie Sie Tarife vergleichen, ohne von Preisen bei der Verlängerung überrascht zu werden, finden Sie unter was ein VPS tatsächlich pro Monat kostet.

Was ein kleinerer Markt kostet

Kanada ist im Vergleich zu den Vereinigten Staaten ein kleiner Hosting-Markt. Eine ehrliche Beratung umfasst auch die Nachteile.

• Weniger Anbieter konkurrieren um Ihr Budget. Deshalb ist der Preis pro Gigabyte RAM oder Festplattenspeicher für dieselbe Maschinenklasse meist höher.
• Die Kapazität konzentriert sich auf Toronto und Montreal. In Vancouver und Calgary gibt es weniger Kapazität. Eine zweite kanadische Region für Failover bedeutet häufig eine lange Netzwerkstrecke oder dass Sie das Land ohnehin verlassen müssen.
• Ein kleiner regionaler Anbieter betreibt möglicherweise ein einziges Gebäude mit einem oder zwei Upstream-Carriern. Fragen Sie, wie viele Carrier vorhanden sind und was passiert, wenn einer von ihnen ausfällt.
• Die Hardwareauswahl ist kleiner. Große Instanzen und GPU-Maschinen sind in Regionen der USA leichter zu finden. Ein GPU-VPS ist daher möglicherweise nicht in der gewünschten Größe und Stadt verfügbar.
• Die Supportabdeckung bei einem kleinen Anbieter ist eine praktische Frage und keine Marketingfrage. Fragen Sie, wann ein Mitarbeiter erreichbar ist.

Montreal ist beim Preis eine Ausnahme. Die Wasserkraft in Quebec ist günstig, und die Winter senken die Kühlkosten. Deshalb gibt es im Raum Montreal viel Kapazität zu Preisen, die mit Regionen der USA konkurrieren. Wenn Ihre Anforderung Kanada und nicht eine bestimmte Stadt ist, beginnen Sie dort.

Wenn die kanadischen VPS-Tarife für Ihre Workload zu klein wirken, vergleichen Sie einen VPS mit einem dedizierten Server, bevor Sie entscheiden, dass das Land das Problem ist.

Wann VPS-Hosting in Kanada die richtige Entscheidung ist

1. Ein Gesetz, ein Vertrag oder eine Richtlinie des öffentlichen Sektors nennt Kanada. Hosten Sie in Kanada. Nichts anderes in diesem Beitrag ist dann relevant. Lassen Sie sich die Zusage zur Datenresidenz zusätzlich vom Anbieter schriftlich bestätigen.
2. Ihre Benutzer befinden sich in einer kanadischen Metropolregion, und die Workload ist latenzgebunden: Multiplayer-Spiele, Sprachkommunikation, Remote-Desktops oder Handel. Hosten Sie in der nächstgelegenen Stadt. Messen Sie beide Optionen, bevor Sie etwas unterschreiben.
3. Ihre Benutzer sind über das ganze Land verteilt. Toronto oder Montreal decken den größten Bevölkerungsanteil ab. Ein CDN vor statischen Assets bringt Besuchern in Vancouver mehr als eine Verlagerung des Ursprungsservers.
4. Alles andere, also die meisten Fälle. Entscheiden Sie nach dem Preis und der tatsächlich bereitgestellten Hardware. Prüfen Sie anschließend, wie der Support um 2 Uhr nachts aussieht. Benchmarken Sie den Kandidaten zuerst. Zwei Tarife mit demselben Datenblatt bieten nicht zwangsläufig dieselbe Leistung: wie Sie einen VPS korrekt benchmarken.

Unabhängig von Ihrer Entscheidung sollten Sie den Grund neben der Entscheidung dokumentieren. Die nächste Person, die fragt, ob der Dienst in Kanada betrieben werden sollte, verdient mehr als eine Vermutung. Wenn die Antwort einmal in einer Vertragsklausel stand, muss sie später wieder auffindbar sein. Sobald der Server vorhanden ist, sind die ersten zehn Minuten auf einem neuen VPS für Ihre Sicherheit wichtiger als sein Standort.

FAQ

Muss PIPEDA vorschreiben, dass meine Daten in Kanada bleiben?

Nein. PIPEDA (Personal Information Protection and Electronic Documents Act) enthält für den privaten Sektor keine Vorgabe zum Datenstandort. Die Übermittlung personenbezogener Informationen an einen Auftragsverarbeiter in einem anderen Land ist eine Verarbeitung durch Übermittlung: Ihre Organisation bleibt für die Daten verantwortlich, der Auftragsverarbeiter muss sie vergleichbar schützen, und Sie müssen die betroffenen Personen transparent darüber informieren. Das Office of the Privacy Commissioner konsultierte 2019 eine Änderung dieser Position und behielt sie anschließend bei. Anforderungen an den Datenstandort ergeben sich aus anderen Quellen: aus der Bewertung nach Quebecs Law 25, aus Gesetzen für den öffentlichen Sektor wie Nova Scotias PIIDPA, aus den Cloud-Vorgaben der Government of Canada oder aus einer Klausel in Ihrem eigenen Kundenvertrag.

Werden kanadische Nutzer einen Server in den Vereinigten Staaten bemerken?

Bei einer normalen Webanwendung nicht. Ein Round Trip von Toronto nach New York dauert ungefähr 18 ms, nach Northern Virginia ungefähr 26 ms. Beide Werte liegen unter der Zeit von Toronto nach Vancouver mit 62 ms. Nutzer bemerken die Antwortzeit des Servers und die Seitengröße lange bevor ihnen 20 ms Netzwerkverzögerung auffallen. Bei Echtzeitspielen, Sprachgesprächen und überall dort, wo eine Person auf eine andere reagiert, fällt die Verzögerung jedoch auf.

Liegt ein kanadisches Rechenzentrum außerhalb der Reichweite des US-Rechts?

Nicht automatisch. Der US CLOUD Act gilt für Daten im Besitz, in der Verwahrung oder unter der Kontrolle eines US-Anbieters, unabhängig vom Standort des Servers. Eine von einem US-Unternehmen betriebene kanadische Region fällt daher weiterhin darunter. Wenn ausländische rechtliche Zugriffe Ihr eigentliches Anliegen sind, sollten Sie prüfen, wer den Dienst betreibt und wer die Verschlüsselungsschlüssel besitzt, statt nur auf die Adresse des Gebäudes zu achten. Eine Verschlüsselung mit Schlüsseln, die Sie selbst verwalten, schränkt ein, welche Daten ein Anbieter herausgeben kann.

Wie messe ich die Latenz aus einer Stadt, in der ich nicht lebe?

Mieten Sie in dieser Stadt einen VPS auf Stundenbasis, führen Sie ping -c 20 und mtr --report --report-cycles 50 zu Ihrem eigenen Server aus und löschen Sie den VPS anschließend. Das RIPE-Atlas-Netzwerk ist eine kostenlose Alternative mit Probes in kanadischen Städten. Wenn ICMP blockiert wird, messen Sie stattdessen die tatsächliche Anfrage mit curl -o /dev/null -s -w '%{time_connect} %{time_starttransfer}\n' https://your.server/. Damit erhalten Sie die TCP-Round-Trip-Zeit und die vollständige Zeit bis zum ersten Byte.