Einen neuen VPS absichern: Checkliste Schritt für Schritt

Sie gehen eine Checkliste durch, die aus einem neuen VPS einen sicheren Server macht: Updates, starke Passwörter, ein eigener Benutzer, ein SSH-Schlüssel, eine Firewall, fail2ban und automatische Sicherheitspatches. Zu jedem Schritt erklären wir, warum Sie ihn tun und was genau Sie einstellen.

Warum direkt nach dem Anlegen#

Jede öffentliche IP-Adresse ist aus dem ganzen Internet sichtbar. Automatisierte Bots scannen Adressen und versuchen, sich per SSH mit gängigen Namen und Passwörtern anzumelden. Auf einem neuen VPS sehen Sie die ersten Versuche oft schon nach wenigen Minuten. Probieren Sie es:

journalctl -u ssh --since "1 hour ago" | grep -E "Failed password|Invalid user"

• journalctl -u ssh – gibt die Einträge des SSH-Dienstes aus.
• --since "1 hour ago" – nur aus der letzten Stunde.
• grep -E "…" – behält nur Zeilen mit einer fehlgeschlagenen Anmeldung oder einem nicht existierenden Benutzer.

Bekannte Internet-Scanner blockieren wir im Netz, aber das hält nicht jeden Versuch auf. Ein starkes Passwort, ein SSH-Schlüssel und fail2ban schützen Sie vor dem Rest.

Checkliste#

Sicherheit und der Kundenbereich#

Die Registerkarten Dateien und Datenbank im Kundenbereich verbinden sich per SSH mit dem VPS, mit Benutzername und Passwort (standardmäßig root und das Passwort aus der Zeit der Erstellung des VPS). Manche Schritte dieser Anleitung wirken sich daher auf sie aus:

Nur der Inhaber des Dienstes kann die Zugangsdaten in der Registerkarte Dateien ändern. Die Konsole und die Registerkarten Netzwerk, Firewall, Backups und Tarif ändern funktionieren immer; Einstellungen im VPS beeinflussen sie nicht. Entscheiden Sie, was Ihnen wichtiger ist. Das Ausschalten der Passwortanmeldung bietet die höchste Sicherheit. Wenn Sie die Registerkarten Dateien und Datenbank nutzen, lassen Sie das Passwort eingeschaltet, aber stark, und installieren Sie fail2ban.

System aktualisieren#

1. Laden Sie die Liste verfügbarer Updates herunter:

   apt update

   • apt update – lädt die Liste neuer Paketversionen aus den Repositories. Es installiert selbst nichts.

2. Installieren Sie alle Updates:

   apt full-upgrade -y

   • apt full-upgrade – aktualisiert Pakete und darf dafür Abhängigkeiten hinzufügen oder entfernen (zum Beispiel einen neuen Kernel).
   • -y – beantwortet die Bestätigung automatisch mit „ja“.

3. Wenn die Installation nach einer Konfigurationsdatei fragt (zum Beispiel /etc/ssh/sshd_config „has been locally modified“), wählen Sie keep the local version currently installed. So bleiben die aktuellen Einstellungen erhalten, mit denen der VPS funktioniert.

4. Finden Sie heraus, ob ein Neustart nötig ist:

   ls /var/run/reboot-required

   Findet der Befehl die Datei, starten Sie neu. Unter Debian ohne das Paket unattended-upgrades wird die Datei möglicherweise nicht erstellt, starten Sie dort also nach einem Kernel-Update (ein Paket, das mit linux-image beginnt) immer neu.

5. Starten Sie den VPS neu:

   reboot

   Die SSH-Verbindung wird geschlossen. Verbinden Sie sich nach etwa einer Minute erneut.

Root-Passwort ändern#

Das Passwort aus der Zeit der Erstellung des VPS haben Sie im Kundenbereich oder in einer E-Mail gesehen. Setzen Sie ein neues, das nur Sie kennen.

1. Erzeugen Sie ein starkes Passwort, zum Beispiel mit dem Passwortgenerator (mindestens 20 Zeichen), und speichern Sie es in Ihrem Passwort-Manager.

2. Starten Sie die Passwortänderung:

   passwd

   • passwd – ändert ohne weiteren Parameter das Passwort des Benutzers, der den Befehl ausführt (also root).

3. Fügen Sie bei der Aufforderung New password: das neue Passwort ein und drücken Sie Eingabe. Das Passwort wird nicht angezeigt.

4. Fügen Sie es bei Retype new password: erneut ein. Sie sehen passwd: password updated successfully.

5. Schließen Sie das aktuelle Fenster nicht. Öffnen Sie ein neues und testen Sie die Anmeldung mit dem neuen Passwort.

6. Öffnen Sie im Kundenbereich die Registerkarte Dateien, klicken Sie auf Zugangsdaten ändern, tragen Sie Benutzer root, Port 22 und das neue Passwort ein und klicken Sie auf Prüfen und speichern.

Ein neuer Benutzer mit sudo#

Als root wirkt sich jeder Tippfehler in einem Befehl auf das ganze System aus. Legen Sie für die Alltagsarbeit einen eigenen Benutzer an, der Administratorrechte nur mit dem Befehl sudo anfordert. Als Beispiel verwenden wir den Namen jan.

1. Legen Sie den Benutzer an:

   adduser jan

   • adduser – legt den Benutzer und seinen Home-Ordner /home/jan an und fragt nach einem Passwort.

   Geben Sie zweimal ein Passwort ein (ein anderes als das Root-Passwort). Überspringen Sie die Fragen nach Name, Telefon und weiteren Angaben mit Eingabe und bestätigen Sie am Ende mit Y.

2. Fügen Sie den Benutzer der Gruppe sudo hinzu:

   usermod -aG sudo jan

   • usermod – ändert die Eigenschaften eines Benutzers.
   • -aG sudo – fügt (-a) den Benutzer einer zusätzlichen Gruppe (-G) sudo hinzu. Ohne -a würde der Benutzer aus allen anderen Gruppen fallen.
   • Mitglieder der Gruppe sudo können Befehle als root ausführen.

3. Wenn Sie bereits einen SSH-Schlüssel für root haben, kopieren Sie ihn auch zum neuen Benutzer:

   install -d -m 700 -o jan -g jan /home/jan/.ssh
   install -m 600 -o jan -g jan /root/.ssh/authorized_keys /home/jan/.ssh/authorized_keys

   • install -d – legt den Ordner .ssh an.
   • -m 700 / -m 600 – Berechtigungen: der Ordner nur für den Besitzer, die Datei nur für den Besitzer lesbar und schreibbar. Andere Berechtigungen lehnt SSH ab.
   • -o jan -g jan – Besitzer wird der Benutzer jan.

4. Melden Sie sich in einem neuen Fenster als der neue Benutzer an und testen Sie sudo:

   ssh [email protected]
   sudo whoami

   • sudo whoami – führt den Befehl whoami als root aus. Nach Eingabe des Passworts des Benutzers jan muss er root ausgeben.

Wenn der Befehl adduser oder sudo fehlt (minimale Debian-Installation), installieren Sie sie: apt install adduser sudo.

SSH-Schlüssel und Ausschalten der Passwortanmeldung#

Das ist der wichtigste Schritt. Ein Passwort lässt sich erraten; ein SSH-Schlüssel praktisch nicht. Die Schritte für Windows, macOS und Linux stehen in einer eigenen Anleitung, SSH-Schlüssel: Anmeldung ohne Passwort, einschließlich des sicheren Ausschaltens der Passwortanmeldung.

Root-Anmeldung verbieten#

Wenn root über SSH nicht erlaubt ist, muss ein Angreifer auch den Namen Ihres Benutzers kennen. Tun Sie das erst, wenn Sie sich als der neue Benutzer anmelden können und sudo für Sie funktioniert.

1. Öffnen (oder erstellen) Sie Ihre eigene Konfigurationsdatei des SSH-Servers:

   nano /etc/ssh/sshd_config.d/00-zabezpeceni.conf

2. Fügen Sie die Zeile hinzu:

   PermitRootLogin no

   Einstellung	Was sie tut	Empfohlener Wert	Wann ändern
   PermitRootLogin	Ob sich root über SSH anmelden darf. no = gar nicht, prohibit-password = nur mit Schlüssel, yes = auch mit Passwort.	no	prohibit-password, wenn Sie Root-Zugriff mit Schlüssel brauchen (zum Beispiel für ein Backup-Skript).

   Der Dateiname beginnt mit 00, damit sie zuerst geladen wird. Der SSH-Server verwendet für jede Einstellung den ersten Wert, den er findet.

3. Prüfen Sie die Konfiguration und den wirksamen Wert:

   sshd -t && sshd -T | grep -i permitrootlogin

   • sshd -t – Syntaxprüfung. Bei einem Fehler gibt sie Datei und Zeile aus.
   • && – der nächste Befehl läuft nur, wenn der vorherige ohne Fehler beendet wurde.
   • sshd -T – gibt die resultierende wirksame Konfiguration aus. Sie muss permitrootlogin no enthalten.

4. Starten Sie den SSH-Server neu:

   systemctl restart ssh

   Die aktuelle Verbindung bleibt offen.

5. Prüfen Sie in einem neuen Fenster, dass ssh [email protected] nicht mehr anmeldet und ssh [email protected] schon.

Als root arbeiten Sie dann über sudo -i (öffnet nach Eingabe des Passworts des Benutzers jan eine Root-Eingabeaufforderung).

SSH-Port ändern#

SSH von Port 22 auf einen anderen Port zu verschieben ist keine echte Sicherheit; ein Angreifer findet den neuen Port. Es reduziert aber die Bot-Versuche im Log erheblich.

Vorteile:

• Weniger automatisierte Anmeldeversuche und sauberere Logs.

Nachteile:

• Sie müssen den Port bei jeder Verbindung angeben (ssh -p 2222 …).
• Manche Firmen- und öffentliche Netze blockieren Nicht-Standard-Ports.
• Sie müssen den Port in der Firewall, in fail2ban und im Kundenbereich (Dateien) aktualisieren.

Wenn Sie sich für die Änderung entscheiden, wählen Sie einen Port über 1024, den keine andere Anwendung nutzt (vermeiden Sie zum Beispiel Port 2022, den manche Game-Panels für SFTP verwenden). Im Beispiel verwenden wir 2222.

1. Erlauben Sie den neuen Port in der Firewall, bevor Sie SSH verschieben: Fügen Sie in der Registerkarte Firewall eine Regel Eingehend, Erlauben, TCP für Port 2222 hinzu (im Modus Alles blockieren außer Erlaubtem erforderlich, im Modus Alles erlauben unschädlich), und wenn Sie UFW nutzen, führen Sie ufw allow 2222/tcp aus.

2. Fügen Sie der Datei /etc/ssh/sshd_config.d/00-zabezpeceni.conf zwei Zeilen hinzu. Behalten Sie den alten Port vorerst, damit Sie die Änderung nicht aussperrt:

   Port 22
   Port 2222

   • Port – der Port, auf dem der SSH-Server lauscht. Es kann mehrere Port-Zeilen geben; der Server lauscht dann auf allen.

3. Prüfen Sie die Konfiguration: sshd -t.

4. Finden Sie heraus, wie SSH auf Ihrem VPS startet:

   systemctl is-active ssh.socket

   Das Ergebnis active bedeutet, dass systemd SSH über einen Socket startet (Standard unter Ubuntu 24.04). Das Ergebnis inactive bedeutet einen gewöhnlichen Dienst (in der Regel Debian 13).

Wenden Sie den neuen Port je nach Ergebnis an:

5. Prüfen Sie, dass SSH auf beiden Ports lauscht: ss -tlnp | grep -E ':22 |:2222 '.
6. Verbinden Sie sich in einem neuen Fenster über den neuen Port: ssh -p 2222 [email protected].
7. Wenn die Verbindung über den neuen Port funktioniert, löschen Sie die Zeile Port 22 aus der Konfiguration.
8. Prüfen Sie die Konfiguration: sshd -t.
9. Laden Sie die Änderung mit demselben Befehl wie oben (je nachdem, ob der Socket aktiv ist).
10. Öffnen Sie im Kundenbereich Dateien › Zugangsdaten ändern und tragen Sie Port 2222 ein. Die Registerkarten Dateien und Datenbank verbinden sich per SSH mit dem VPS und würden ohne den neuen Port nicht mehr funktionieren.
11. Aktualisieren Sie den Port im Jail sshd in fail2ban (siehe Fail2ban).
12. Löschen Sie die Regel für Port 22 in der Firewall.

Firewall und fail2ban#

• Die Firewall im Kundenbereich filtert den Verkehr, bevor er den VPS erreicht, und Sie richten sie per Klick ein: Firewall im Kundenbereich.
• UFW ist eine Firewall direkt im VPS: Firewall UFW.
• Fail2ban beobachtet fehlgeschlagene Anmeldungen und sperrt Angreifer: Fail2ban.

Eine Firewall genügt. Einsteigern empfehlen wir die Firewall im Kundenbereich, weil Sie sie auch dann reparieren können, wenn Sie sich ausgesperrt haben.

Automatische Sicherheitsupdates#

Das Paket unattended-upgrades installiert einmal täglich Sicherheitsupdates. Unter Ubuntu ist es installiert und eingeschaltet; unter Debian schalten Sie es ein.

Standardmäßig installiert Ubuntu nur Sicherheitsupdates; Debian installiert Sicherheitsupdates und Korrekturen aus den Point-Releases der stabilen Version (zum Beispiel 13.1, 13.2). Der VPS startet nicht von selbst neu. Das Verhalten ändern Sie in einer eigenen Datei, die den Standard 50unattended-upgrades überschreibt (bearbeiten Sie diese nicht; ein Paket-Update könnte sie überschreiben):

nano /etc/apt/apt.conf.d/52unattended-upgrades-local

Unattended-Upgrade::Automatic-Reboot "true";
Unattended-Upgrade::Automatic-Reboot-Time "04:00";
Unattended-Upgrade::Remove-Unused-Dependencies "true";

Probieren Sie die Einstellungen in einem Testlauf aus:

unattended-upgrade --dry-run --debug

• --dry-run – nur eine Simulation; nichts wird installiert.
• --debug – ausführliche Ausgabe, einschließlich der geladenen Einstellungen und der Pakete, die aktualisiert würden.

Aufzeichnungen tatsächlicher Updates liegen im Ordner /var/log/unattended-upgrades/.

Zeitzone und Servername#

1. Stellen Sie die Zeitzone ein, damit die Zeiten in Logs passen (das Beispiel verwendet die tschechische Zeit):

   timedatectl set-timezone Europe/Prague

   • timedatectl – stellt Systemzeit und Zeitzone ein.
   • set-timezone Europe/Prague – Mitteleuropäische Zeit, einschließlich Sommerzeit.

2. Prüfen Sie das Ergebnis mit timedatectl. Die Zeile Time zone muss Europe/Prague und System clock synchronized: yes zeigen.

3. Ändern Sie optional den Servernamen (Hostname):

   hostnamectl set-hostname vps1

   • hostnamectl set-hostname vps1 – setzt den Namen des VPS auf vps1. Verwenden Sie Kleinbuchstaben, Ziffern und Bindestriche.

   Der neue Name erscheint nach erneuter Anmeldung in der Eingabeaufforderung. Wenn sudo beginnt, unable to resolve host vps1 auszugeben, tragen Sie den Namen in /etc/hosts in der Zeile 127.0.1.1 ein. Wenn der Kopf der Datei sagt, dass sie automatisch erzeugt wird, folgen Sie den Anweisungen im Kopf.

Wie es weitergeht#

• Backups: Wir sichern den gesamten VPS, und Sie können ihn in der Registerkarte Backups wiederherstellen. Sichern Sie wichtige Daten auch außerhalb des VPS, siehe VPS-Backups.
• Überblick: Prüfen Sie ab und zu den Speicherplatz (df -h), laufende Dienste (systemctl --failed) und die Aufzeichnungen von fail2ban.
• Nur die Dienste, die Sie brauchen: Installieren Sie nicht, was Sie nicht brauchen. Jeder offene Port ist ein weiterer möglicher Weg hinein.

Überprüfung#

• apt update gibt nach dem Aktualisieren All packages are up to date. aus.
• Das neue Root-Passwort funktioniert, und die Registerkarte Dateien meldet sich an.
• Der Benutzer jan meldet sich per SSH an, und sudo whoami gibt root aus.
• sshd -T | grep -E "^(permitrootlogin|passwordauthentication|port) " zeigt die Werte, die Sie gesetzt haben.
• unattended-upgrade --dry-run --debug läuft ohne Fehler.

Fehlerbehebung#

Sie haben sich von SSH ausgesperrt#

Verwenden Sie die Browser-Konsole. Sie melden sich mit dem Root-Passwort an (auch wenn root über SSH verboten ist) und beheben den Fehler, zum Beispiel indem Sie die Datei /etc/ssh/sshd_config.d/00-zabezpeceni.conf löschen und SSH mit systemctl restart ssh neu starten.

sudo: jan is not in the sudoers file#

Der Benutzer ist nicht in der Gruppe sudo. Führen Sie als root usermod -aG sudo jan aus; der Benutzer muss sich ab- und wieder anmelden, damit die Gruppe wirkt.

Die Registerkarte Dateien meldet, dass die Anmeldung am VPS fehlgeschlagen ist#

Der Kundenbereich verwendet alte Zugangsdaten. Öffnen Sie Dateien › Zugangsdaten ändern und geben Sie den aktuellen Benutzer, Port und das Passwort ein. Wenn Sie die Passwortanmeldung ausgeschaltet oder SSH nur von Ihrer IP-Adresse erlaubt haben, funktioniert die Registerkarte nicht (siehe Tabelle im Abschnitt Sicherheit und der Kundenbereich).

sshd -T zeigt einen anderen Wert als den, den Sie gesetzt haben#

Dieselbe Einstellung steht in einer anderen Datei, die früher geladen wird (der SSH-Server nimmt den ersten gefundenen Wert). Finden Sie sie:

grep -rni "permitrootlogin" /etc/ssh/sshd_config /etc/ssh/sshd_config.d/

• grep -rni – sucht Text in allen Dateien eines Ordners (-r), ignoriert Groß- und Kleinschreibung (-i) und gibt die Zeilennummer aus (-n).

Kommentieren Sie die Zeile in der anderen Datei aus (setzen Sie # an ihren Anfang) oder ändern Sie den Wert direkt dort. Führen Sie dann erneut sshd -t && sshd -T | grep -i permitrootlogin aus und starten Sie SSH neu.

Nach einer Portänderung lauscht SSH weiterhin nur auf Port 22#

Unter Ubuntu 24.04 haben Sie höchstwahrscheinlich systemctl daemon-reload übersprungen. Führen Sie es aus und dann systemctl restart ssh.socket.

E: Could not get lock /var/lib/dpkg/lock-frontend#

Im Hintergrund läuft eine andere Installation, typischerweise automatische Updates (auf einem neuen VPS nach dem ersten Start). Warten Sie einige Minuten und führen Sie den Befehl erneut aus. Beenden Sie den Prozess nicht.

Weiterführende Links#

• Ubuntu: OpenSSH-Server (öffnet sich in einem neuen Fenster)
• Ubuntu: automatische Updates (öffnet sich in einem neuen Fenster)
• Debian Wiki: UnattendedUpgrades (öffnet sich in einem neuen Fenster)
• Handbuchseite sshd_config (öffnet sich in einem neuen Fenster)