Linux-Server absichern: 10 Schritte nach der Bestellung.

Bots durchsuchen rund um die Uhr das gesamte Internet nach Servern mit schwachen Passwörtern und veralteter Software. Die gute Nachricht: Mit wenigen Grundregeln wehren Sie den Großteil dieser Angriffe ab. Die Befehle in diesem Artikel beziehen sich auf Debian und Ubuntu, funktionieren sinngemäß aber auf jeder Linux-Distribution.

1. System sofort aktualisieren

Spielen Sie direkt nach der Bereitstellung alle Updates ein, denn Installationsabbilder sind oft schon einige Wochen alt:

apt update && apt full-upgrade -y

2. Eigenen Benutzer anlegen statt als root zu arbeiten

Arbeiten Sie im Alltag mit einem normalen Benutzer und holen Sie sich Administratorrechte nur bei Bedarf über sudo. Das verhindert folgenschwere Tippfehler und erschwert Angreifern die Arbeit.

adduser admin
usermod -aG sudo admin

3. SSH-Schlüssel statt Passwort

Passwörter lassen sich erraten, SSH-Schlüssel praktisch nicht. Erzeugen Sie auf Ihrem eigenen Rechner ein Schlüsselpaar und kopieren Sie den öffentlichen Schlüssel auf den Server:

ssh-keygen -t ed25519
ssh-copy-id admin@ihre-server-ip

4. Passwort- und Root-Login per SSH abschalten

Sobald der Login mit Schlüssel funktioniert, schalten Sie die Anmeldung per Passwort und den direkten Root-Login ab. In der Datei /etc/ssh/sshd_config:

PermitRootLogin no
PasswordAuthentication no

Danach den Dienst neu laden (systemctl reload ssh) – und unbedingt in einer zweiten Sitzung testen, bevor Sie die erste schließen. Für den Notfall bleibt Ihnen bei uns die KVM-Konsole im Kundeninterface.

5. Firewall aktivieren

Erlauben Sie nur die Ports, die Sie wirklich brauchen – etwa SSH sowie HTTP und HTTPS für einen Webserver:

ufw allow OpenSSH
ufw allow 80,443/tcp
ufw enable

6. Fail2ban gegen Brute-Force-Angriffe

Fail2ban sperrt IP-Adressen automatisch, die sich wiederholt mit falschen Zugangsdaten anmelden wollen. Die Standardkonfiguration schützt SSH bereits nach der Installation (apt install fail2ban).

7. Sicherheitsupdates automatisch einspielen

Mit unattended-upgrades installiert Ihr Server Sicherheitsupdates selbstständig. So bleiben kritische Lücken nicht offen, nur weil im Urlaub niemand daran gedacht hat:

apt install unattended-upgrades
dpkg-reconfigure -plow unattended-upgrades

8. Nur benötigte Dienste betreiben

Jeder laufende Dienst ist eine mögliche Angriffsfläche. Prüfen Sie mit ss -tulpn, welche Programme auf Netzwerkverbindungen warten, und deaktivieren Sie alles, was Sie nicht brauchen. Datenbanken wie MySQL oder PostgreSQL sollten in der Regel nur lokal erreichbar sein.

9. Backups – und zwar außerhalb des Servers

Ein Backup auf demselben Server hilft nicht, wenn der Server ausfällt oder verschlüsselt wird. Sichern Sie regelmäßig auf ein anderes System – idealerweise an einem anderen Standort – und testen Sie die Wiederherstellung. Bei uns können Sie Backups als Zusatzleistung buchen.

10. Überwachung einrichten

Sie sollten erfahren, wenn Ihr Server nicht mehr erreichbar ist, die Festplatte vollläuft oder ungewöhnlich viel Last entsteht – bevor es Ihre Kunden merken. Schon ein einfacher externer Verfügbarkeitscheck ist besser als nichts.

Keine Zeit für Serveradministration?

All diese Schritte – und die laufende Pflege danach – übernehmen wir auf Wunsch für Sie. Mit einem Managed VPS oder Managed Dedicated Server kümmern wir uns um Updates, Absicherung, Backups und Überwachung. Unser Support ist rund um die Uhr erreichbar. Welche Variante zu Ihnen passt, erklärt der Ratgeber Managed oder Unmanaged Server?

Häufige Fragen