QEMU ist mächtig – und träge. Wer eine VM startet, bekommt SeaBIOS, PCI-Bus-Scan, emuliertes VGA und ein Dutzend Geräte die kein Workload je anfasst. Das Ergebnis: 6–10 Sekunden bis zum Login, auch wenn der Gast nur drei Prozesse braucht. microVMs sind die Aufputschmittel. Mit dem QEMU microvm machine type fliegt der gesamte Legacy-Stack raus: kein BIOS, kein PCI, kein Bootloader. Stattdessen Direct Kernel Boot und virtio über MMIO – der Kernel startet direkt in den Gast, unter 200ms, bei echter KVM-Isolation. Firecracker geht denselben Weg noch konsequenter: ~50.000 Zeilen Rust statt 1,5 Millionen Zeilen C, ein eingebauter jailer der den VMM-Prozess per seccomp und Namespaces einsperrt, und eine minimale Gerätelist die VENOM-Klasse-Exploits schlicht unmöglich macht. Wir schauen uns an wo QEMU microvm und Firecracker sich technisch unterscheiden – in Performance, Angriffsfläche und Isolation – und wann welcher Ansatz die richtige Wahl ist. Den Abschluss macht ein minimaler Proxmox-Patch der microVMs als vollwertige dritte Virtualisierungsklasse neben LXC und QEMU in PVE integriert – inklusive Web UI, Templates und Backup. Live-Demo auf echter Hardware: Stoppuhr läuft.