MariaDB auf einem VPS: Installation, Absicherung, Benutzer und Fernzugriff

MariaDB ist ein MySQL-kompatibler Datenbankserver. Websites, Gameserver, Discord-Bots und Plugins nutzen ihn. Wir zeigen zwei Installationswege und behandeln dann Absicherung, Verwaltung von Datenbanken und Benutzern, sicheren Zugriff von Ihrem Computer und Backups.

So funktioniert es#

MariaDB läuft auf dem VPS als Dienst mariadb und nimmt standardmäßig nur Verbindungen vom VPS selbst an (Adresse 127.0.0.1, Port 3306 und ein lokaler Socket). Apps auf demselben VPS können sich verbinden, niemand im Internet erreicht die Datenbank. Belassen Sie es dabei, bis Sie den Zugriff von außen wirklich brauchen.

Die Version hängt vom System ab: Ubuntu 24.04 installiert MariaDB 10.11, Debian 13 MariaDB 11.8. Für nichts in dieser Anleitung macht der Unterschied etwas aus.

Sowohl unter Ubuntu als auch unter Debian authentifiziert sich der Datenbankbenutzer root über Unix-Socket: Nur wer am VPS als System-root angemeldet ist, kommt als root in die Datenbank. Es gibt kein Passwort zu erraten, weil es keines gibt.

Option A: die Registerkarte Datenbank im Kundenbereich#

Der schnellste Weg, keine Befehlszeile nötig.

1. Öffnen Sie im Kundenbereich Meine Dienste, klicken Sie auf Ihren VPS und wechseln Sie zur Registerkarte Datenbank.
2. Läuft auf dem VPS keine Datenbank, sehen Sie „Auf diesem VPS läuft noch kein Datenbankserver“. Klicken Sie auf MariaDB installieren. Die Installation läuft im Hintergrund und dauert in der Regel 1–⁠3 Minuten; die Seite aktualisiert sich von selbst.
3. Klicken Sie auf Automatisch verbinden. Der Kundenbereich verbindet sich über eine gesicherte Verbindung in den VPS mit der Datenbank, sodass die Datenbank nicht aus dem Internet erreichbar sein muss.
4. Sie haben jetzt diese Unter-Registerkarten:

Wichtige Details:

• Ein Datenbankname darf nur Buchstaben ohne Umlaute, Ziffern und Unterstriche enthalten und nicht mit einer Ziffer beginnen.
• Datenbanken werden mit der Kodierung utf8mb4 angelegt (unterstützt ganz Unicode, einschließlich Emoji).
• Nachdem Sie einen Benutzer angelegt haben, wird das Passwort nur einmal angezeigt („Speichern Sie diese Zugangsdaten — das Passwort sehen Sie nicht noch einmal“). Speichern Sie es in einem Passwort-Manager.
• Die Option Remote-Verbindungen erlauben legt einen Benutzer an, der sich von überall verbinden kann (Host %). Damit das funktioniert, muss MariaDB auf einer öffentlichen Adresse lauschen (bind-address), und der Port muss in der Firewall erlaubt sein. Die Schritte stehen unten unter Direkter Fernzugriff. Brauchen Sie keine Remote-Verbindungen, lassen Sie diese Option abgehakt.

Der Rest dieser Anleitung behandelt dieselben Dinge von der Befehlszeile aus. Das ist nützlich, wenn Sie die volle Kontrolle über die Datenbank möchten oder Dinge brauchen, die die Registerkarte nicht kann (Backups, Tuning, SSH-Tunnel).

Option B: manuelle Installation#

Funktioniert unter Ubuntu 24.04 und Debian 13:

apt update
apt -y install mariadb-server

• apt update – lädt die aktuelle Paketliste.
• apt -y install mariadb-server – installiert den Datenbankserver und den Client mariadb. Der Dienst startet nach der Installation von selbst und ist beim Booten des VPS aktiviert.

Prüfen Sie, dass er läuft:

systemctl status mariadb
mariadb --version

Sie sehen Active: active (running) und die Versionsnummer (10.11 unter Ubuntu, 11.8 unter Debian). Schließen Sie die Ausgabe von systemctl mit q.

Absicherung: mariadb-secure-installation#

Das Skript mariadb-secure-installation entfernt Testreste, die in der Produktion nichts zu suchen haben. Führen Sie es aus:

mariadb-secure-installation

Antworten Sie gemäß der Tabelle:

Am Ende sehen Sie All done!.

Anmeldung an der MariaDB-Konsole#

Als root auf dem VPS:

mariadb

Die Eingabeaufforderung MariaDB [(none)]> erscheint. SQL-Anweisungen enden mit einem Semikolon ;. Die Konsole verlassen Sie mit exit.

Als anderer Datenbankbenutzer:

mariadb -u <BENUTZER> -p

• -u <BENUTZER> – der Name des Datenbankbenutzers.
• -p – fragt nach dem Passwort (es wird bei der Eingabe nicht angezeigt).

Eine Datenbank und ein Benutzer für Ihre App#

Jede App sollte ihre eigene Datenbank und ihren eigenen Benutzer mit Rechten nur auf diese Datenbank haben. Kompromittiert jemand die App, kommt er nur an deren Daten.

Führen Sie Folgendes in der MariaDB-Konsole (mariadb) aus. Ersetzen Sie <STARKES_PASSWORT> durch ein Passwort aus dem Passwortgenerator (nur Buchstaben und Ziffern, mindestens 24 Zeichen):

CREATE DATABASE aplikace CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci;
CREATE USER 'aplikace'@'localhost' IDENTIFIED BY '<STARKES_PASSWORT>';
GRANT ALL PRIVILEGES ON aplikace.* TO 'aplikace'@'localhost';
SHOW GRANTS FOR 'aplikace'@'localhost';

Vergeben Sie Rechte danach, was die App braucht:

Weitere nützliche Anweisungen:

SHOW DATABASES;
SELECT User, Host FROM mysql.user;
ALTER USER 'aplikace'@'localhost' IDENTIFIED BY '<NEUES_PASSWORT>';
REVOKE ALL PRIVILEGES ON aplikace.* FROM 'aplikace'@'localhost';
DROP USER 'aplikace'@'localhost';

• SHOW DATABASES; – listet Datenbanken auf.
• SELECT User, Host FROM mysql.user; – listet Benutzer und die Hosts auf, von denen sie sich verbinden dürfen.
• ALTER USER … IDENTIFIED BY – ändert das Passwort.
• REVOKE … – entzieht Rechte.
• DROP USER … – löscht den Benutzer (die Datenbank bleibt).

Der Host des Benutzers: woher er sich verbinden darf#

Ein MariaDB-Benutzer ist nicht nur ein Name, sondern ein Paar aus Name + Host. 'jan'@'localhost' und 'jan'@'%' sind zwei verschiedene Benutzer, jeder mit eigenem Passwort und eigenen Rechten.

Zugriff von Ihrem Computer#

Möchten Sie die Datenbank mit einem Programm wie HeidiSQL oder DBeaver ansehen? Sie haben zwei Möglichkeiten. Wir empfehlen einen SSH-Tunnel: Die Datenbank bleibt aus dem Internet unerreichbar, und die Verbindung ist verschlüsselt.

SSH-Tunnel (empfohlen)#

Ein SSH-Tunnel leitet einen Port auf Ihrem Computer über eine verschlüsselte SSH-Verbindung an den Datenbankport auf dem VPS weiter.

1. Öffnen Sie auf Ihrem Computer ein Terminal (Windows Terminal, PowerShell, macOS Terminal) und führen Sie aus:

   ssh -L 3307:127.0.0.1:3306 -N [email protected]

   • ssh – verbindet sich per SSH mit dem VPS.
   • -L 3307:127.0.0.1:3306 – Port 3307 auf Ihrem Computer wird an die Adresse 127.0.0.1, Port 3306 aus Sicht des VPS weitergeleitet (also an MariaDB). Port 3307 wird verwendet, damit er nicht mit einer eventuell auf Ihrem Computer laufenden Datenbank kollidiert.
   • -N – keinen Befehl auf dem VPS ausführen, nur den Tunnel offen halten.
   • [email protected] – Benutzer und IP-Adresse Ihres VPS (aus der Registerkarte Netzwerk).

   Nach der Anmeldung gibt das Terminal nichts aus und scheint zu „hängen“. Das ist richtig: Der Tunnel läuft, bis Sie das Fenster schließen oder Strg+C drücken.

2. Verbinden Sie sich in Ihrem Datenbankprogramm mit Host 127.0.0.1, Port 3307, mit einem Datenbankbenutzer und Passwort (zum Beispiel aplikace).

HeidiSQL und DBeaver können den Tunnel auch selbst aufbauen. Wählen Sie in HeidiSQL den Netzwerktyp MariaDB/MySQL über SSH-Tunnel (… (SSH tunnel)), tragen Sie auf der Registerkarte SSH tunnel die IP-Adresse des VPS, Port 22, Benutzer und Passwort oder SSH-Schlüssel ein und setzen Sie in den Haupteinstellungen 127.0.0.1 als Datenbankhost. Fügen Sie in DBeaver in den Verbindungseinstellungen SSH hinzu (Plus-Schaltfläche, Option SSH) und haken Sie Use SSH Tunnel an.

Direkter Fernzugriff#

Verwenden Sie das nur, wenn sich ein anderer Server oder ein Programm, das keine Tunnel beherrscht, mit der Datenbank verbinden muss. Beschränken Sie den Zugriff immer auf eine bestimmte IP-Adresse.

1. Lassen Sie MariaDB im Netz lauschen. Erstellen Sie die Datei nano /etc/mysql/mariadb.conf.d/60-remote-access.cnf mit diesem Inhalt:

   [mysqld]
   bind-address = 0.0.0.0

   • [mysqld] – die Optionsgruppe für den Datenbankserver.
   • bind-address = 0.0.0.0 – auf allen IPv4-⁠Adressen des VPS lauschen (das überschreibt den Standard 127.0.0.1 aus 50-server.cnf, weil die Dateien alphabetisch gelesen werden und die spätere gewinnt).

2. Starten Sie MariaDB neu und prüfen Sie, wo es lauscht:

   systemctl restart mariadb
   ss -tlnp | grep 3306

   Sie sehen 0.0.0.0:3306.

3. Legen Sie einen Benutzer mit der IP-Adresse an, von der Sie sich verbinden (zum Beispiel Ihre öffentliche IP 198.51.100.25):

   CREATE USER 'jan'@'198.51.100.25' IDENTIFIED BY '<STARKES_PASSWORT>';
   GRANT ALL PRIVILEGES ON aplikace.* TO 'jan'@'198.51.100.25';

4. Erlauben Sie Port 3306 in der Firewall des Kundenbereichs nur von dieser IP-Adresse (Anleitung): Regel Eingehend · Erlauben · TCP · Port 3306 · Quell-IP / Bereich 198.51.100.25. Verwenden Sie den Modus Alles erlauben, fügen Sie darunter zusätzlich eine Regel hinzu: Eingehend · Verwerfen · TCP · Port 3306 ohne Quell-IP. Regeln werden von oben nach unten ausgewertet, und der erste Treffer gewinnt, sodass Ihre IP durchkommt und alle anderen nicht.

5. Wenn Sie UFW verwenden, erlauben Sie den Port auch dort:

   ufw allow from 198.51.100.25 to any port 3306 proto tcp

   • allow from 198.51.100.25 – nur von Ihrer IP-Adresse.
   • to any port 3306 proto tcp – zu TCP-Port 3306.

Datenbank-Backups#

Das Programm mariadb-dump speichert eine Datenbank in eine SQL-Datei, aus der Sie sie jederzeit wiederherstellen können.

Eine Datenbank sichern:

mariadb-dump --single-transaction --routines --events aplikace > /root/aplikace-$(date +%F).sql

• --single-transaction – erstellt ein konsistentes Backup von InnoDB-Tabellen ohne Sperren, sodass die App weiterlaufen kann.
• --routines – schließt gespeicherte Prozeduren und Funktionen ein (ohne dieses Flag werden sie nicht gesichert).
• --events – schließt geplante Ereignisse ein (sonst ebenfalls nicht gesichert). Trigger werden automatisch gesichert.
• aplikace – der Datenbankname.
• > /root/aplikace-$(date +%F).sql – speichert die Ausgabe in eine Datei mit dem heutigen Datum im Namen.

Alle Datenbanken auf einmal sichern, komprimiert:

mariadb-dump --single-transaction --routines --events --all-databases | gzip > /root/vsechny-db-$(date +%F).sql.gz

• --all-databases – alle Datenbanken, einschließlich der Anweisungen zu ihrer Erstellung.
• | gzip > – komprimiert die Ausgabe; SQL schrumpft in der Regel auf einen Bruchteil seiner Größe.

Wiederherstellen:

mariadb aplikace < /root/aplikace-2026-10-01.sql
gunzip < /root/vsechny-db-2026-10-01.sql.gz | mariadb

• Die erste Zeile lädt das Backup einer Datenbank in die bestehende Datenbank aplikace (existiert sie nicht, legen Sie sie zuerst mit CREATE DATABASE an).
• Die zweite stellt das Backup aller Datenbanken wieder her; die Datenbanken legt sie selbst an.

Automatische nächtliche Backups und deren Übertragung vom VPS weg behandelt Backups auf einem VPS.

Grundlagen des Performance-Tunings#

Die wichtigste Leistungseinstellung ist innodb_buffer_pool_size: wie viel RAM MariaDB als Cache für Daten und Indizes verwenden darf. Der Standard ist 128 MB.

[mysqld]
innodb_buffer_pool_size = 1G

Starten Sie MariaDB nach der Änderung neu: systemctl restart mariadb. Die Größe Ihrer Datenbanken finden Sie mit dieser Abfrage:

SELECT table_schema AS db, ROUND(SUM(data_length + index_length) / 1024 / 1024) AS mb FROM information_schema.tables GROUP BY table_schema;

Überprüfung#

• systemctl is-active mariadb gibt active aus.
• mariadb -u aplikace -p aplikace -e "SELECT 1;" gibt nach Eingabe des Passworts eine Tabelle mit der Zahl 1 aus.
• ss -tlnp | grep 3306 zeigt 127.0.0.1:3306 (nur lokal) oder 0.0.0.0:3306, wenn Sie den direkten Zugriff aktiviert haben.

Fehlerbehebung#

ERROR 1698 (28000): Access denied for user 'root'@'localhost'#

Sie melden sich als Datenbank-root mit Passwort an (mariadb -u root -p) oder als normaler Systembenutzer. Root authentifiziert sich über Unix-Socket: Melden Sie sich am VPS als root an und führen Sie nur mariadb aus, oder verwenden Sie sudo mariadb.

ERROR 1045 (28000): Access denied for user 'aplikace'@'localhost' (using password: YES)#

Falsches Passwort, oder es existiert kein Benutzer mit diesem Host. Prüfen Sie SELECT User, Host FROM mysql.user;. Verbindet sich die App über 127.0.0.1 und der Fehler nennt 'aplikace'@'127.0.0.1', legen Sie den Benutzer auch mit Host 127.0.0.1 an und erteilen Sie ihm dieselben Rechte. Das Passwort können Sie mit ALTER USER erneut setzen.

ERROR 1130 (HY000): Host '198.51.100.25' is not allowed to connect to this MariaDB server#

Für diese IP-Adresse existiert kein Benutzer. Legen Sie einen Benutzer mit einem zu Ihrer IP passenden Host an (siehe Direkter Fernzugriff) oder verwenden Sie einen SSH-Tunnel.

ERROR 2002 (HY000): Can't connect to local … server through socket '/run/mysqld/mysqld.sock'#

MariaDB läuft nicht. Prüfen Sie Status und Log:

systemctl status mariadb
journalctl -u mariadb -n 50

• journalctl -u mariadb -n 50 – die letzten 50 Zeilen des Dienst-Logs. Nach einer Konfigurationsänderung ist die Ursache oft ein Tippfehler in einer .cnf-Datei; das Log nennt die betroffene Zeile.

ERROR 2003 (HY000): Can't connect to … server on '203.0.113.10'#

Die Remote-Verbindung kam nicht durch. Prüfen Sie, dass MariaDB auf 0.0.0.0 lauscht (ss -tlnp | grep 3306), dass sowohl die Firewall im Kundenbereich als auch UFW Port 3306 für Ihre IP erlauben und dass sich Ihre IP-Adresse nicht geändert hat.

Der Import eines Backups meldet Unknown command '\-'#

Neuere Versionen von mariadb-dump fügen am Anfang der Datei eine Zeile ein, die den „Sandbox-Modus“ aktiviert, den weder der MySQL-Client noch ältere MariaDB-Clients verstehen. Importieren Sie das Backup mit einem mariadb-Client derselben oder einer neueren Version. Müssen Sie in MySQL importieren, löschen Sie in einer Kopie der Datei die erste Zeile mit enable the sandbox mode.

Weiterführende Links#

• MariaDB: mariadb-secure-installation (öffnet sich in einem neuen Fenster)
• MariaDB: mariadb-dump (öffnet sich in einem neuen Fenster)
• MariaDB: Remote connection guide (öffnet sich in einem neuen Fenster)
• MariaDB: InnoDB-Systemvariablen (öffnet sich in einem neuen Fenster)
• HeidiSQL: Hilfe (öffnet sich in einem neuen Fenster)