Ich habe daher den Eindruck, dass man Multicast mit der Firewall nicht blockieren kann (im Wiki habe ich keinen Hinweis dazu gefunden). Oder habe ich noch irgendwo einen Fehler drin?
Die Firewall ist wahrscheinlich weiter oben in den Switches aktiv.
Mit tcpdump -e sind viele ARP und ICMPv6 133/135 Pakete von anderen Servern im Netzwerk zu sehen.
Ich erhalte bspw. das gleiche Grundrauschen über Server, die im selben /16 Präfix, aber in verschiedenen /24 Subnetzen liegen und über dasselbe BGP /22 angekündigt werden.
Die NC Firewall blockiert aktiv zwischen den Servern, wie es im selben /24 ist, kann ich leider nicht sagen 
, bezweifle aber, dass es anders ist.
Ersetzt trotzdem keine Firewall auf dem System, welche incoming standardmäßig ablehnt.
Weiter filtern arp, icmp6[0]=… vereinzelte Server, die irgendeinen mDNS oder UPnP Dienst haben, der Multicast schickt.
Unter anderem 224.0.0.251, 224.0.0.252, 239.255.255.250 etc aber das ist zwischen BGP Subnetzen unterschiedlich.
Sofern mit iptraf, conntrack, ss keine aktiven Verbindungen angezeigt werden oder der eigene Server das Ziel ist, solltest man sich keine Sorgen machen müssen.
Ja, Brodcast und Multicast kommt auch beim Interface an, wenn es keine IP-Adresse zugewiesen hat.
ARP und ICMPv6 lassen sich leider nicht wirklich verhindern, sonst verlierst du die Verbindungen auf dem jeweiligen Interface (außer es ist so von dir gewollt und das gilt auch für Dinge im SCP wie VNC, also hab ich gehört).
Generell Multicast von anderen im VXLAN zu unterbinden erfordert glaub ich IGMP snooping oder Änderungen daran, wie die KVMs bereitgestellt werden.
Wenn du Multicast für das Interface deaktivierst, landen sie weiterhin noch auf deinem NIC, weil sie jeder Hypervisor im selben virtuellen Netzwerk erhält.
Hatte selber mal vor einiger Zeit danach gesucht und das waren relevanten Themen, die ich gefunden hatte:
Im Endeffekt ist es eine Fehlkonfiguration von den Kunden oder die hatten das Glück auf Server im gleichen Subnetz. 
UDP Traffic zu Bogon IPs ist mMn etwas für private LAN und kein shared Hosting.
Mehr als das Sie Dienste und Namen für tcpdump racer preisgeben, passiert auch nicht viel. Bin mir ziemlich sicher, die von netcup wissen, was Sie tun und alle MAC-Adressen bleiben genau da, wo sie hingehören.
Spoofing oder poisoning würde ich nicht austesten, sonst klingelt noch irgendwo ein Glöckchen.
Das ist so mein Euro dazu aber bei mehr als 2-3 GB pro Monat würde ich darüber nachdenken, den Support zu kontaktieren. 
Sollte sowas nicht eigentlich standardmäßig von netcup rausgefiltert werden? Ich finde es ja auch komisch, dass mein IPv6-only-Server IPv4-Traffic bekommt. Würde ich nun auch nicht unbedingt erwarten.
Denke mal, dass es seitens KVM nur Konfigurationssache ist, ob dir vom Hypervisor v4/v6/vLAN eingerichtet werden soll. Drum herum können Kunden mit anderen Produkten liegen, die sowieso gleichermaßen wie deine Instanz über alles fähige vSwitches verbunden sind.
bin mal gespannt, ob sich das abstellen lässt.
Stille bekommst du nur über einen Cloud vLAN only.
