QEMU on speed: microVMs in Proxmox (froscon2026)

Zwischen LXC-Containern und vollständigen QEMU-VMs klafft eine Lücke: Workloads die echte VM-Isolation brauchen, aber keine 8 Sekunden Bootzeit wollen. microVMs schließen diese Lücke – kein BIOS, kein PCI-Bus, Direct Kernel Boot in unter 200ms. Der Talk vergleicht QEMU microvm und Firecracker technisch und sicherheitstechnisch, und zeigt anhand eines minimalen Proxmox-Patches wie microVMs als dritte Virtualisierungsklasse in PVE landen. Mit Live-Demo. QEMU ist mächtig – und träge. Wer eine VM startet, bekommt SeaBIOS, PCI-Bus-Scan, emuliertes VGA und ein Dutzend Geräte die kein Workload je anfasst. Das Ergebnis: 6–10 Sekunden bis zum Login, auch wenn der Gast nur drei Prozesse braucht. microVMs sind die Aufputschmittel. Mit dem QEMU microvm machine type fliegt der gesamte Legacy-Stack raus: kein BIOS, kein PCI, kein Bootloader. Stattdessen Direct Kernel Boot und virtio über MMIO – der Kernel startet direkt in den Gast, unter 200ms, bei echter KVM-Isolation. Firecracker geht denselben Weg noch konsequenter: ~50.000 Zeilen Rust statt 1,5 Millionen Zeilen C, ein eingebauter jailer der den VMM-Prozess per seccomp und Namespaces einsperrt, und eine minimale Gerätelist die VENOM-Klasse-Exploits schlicht unmöglich macht. Wir schauen uns an wo QEMU microvm und Firecracker sich technisch unterscheiden – in Performance, Angriffsfläche und Isolation – und wann welcher Ansatz die richtige Wahl ist. Den Abschluss macht ein minimaler Proxmox-Patch der microVMs als vollwertige dritte Virtualisierungsklasse neben LXC und QEMU in PVE integriert – inklusive Web UI, Templates und Backup. Live-Demo auf echter Hardware: Stoppuhr läuft. Licensed to the public under http://creativecommons.org/licenses/by/4.0 about this event: https://programm.froscon.org/2026/events/3559.html