SSH-Schlüssel: Anmeldung ohne Passwort (ed25519, PuTTYgen)

Sie erstellen einen SSH-Schlüssel, laden ihn auf Ihren VPS hoch und melden sich ohne Passwort an. Zum Schluss schalten Sie die Passwortanmeldung aus, sodass das Erraten von Passwörtern sinnlos wird. Die Schritte decken Windows, macOS, Linux und PuTTY ab.

Wie ein SSH-Schlüssel funktioniert#

Ein SSH-Schlüssel besteht aus zwei zusammengehörigen Dateien:

Bei der Anmeldung sendet der VPS Ihrem Computer eine Aufgabe, die nur der Inhaber des privaten Schlüssels lösen kann. Der private Schlüssel verlässt Ihren Computer nie. Ein ed25519-Schlüssel ist modern, kurz und sicher, und alle aktuellen Systeme unterstützen ihn.

Den privaten Schlüssel können Sie zusätzlich mit einem Schlüsselpasswort (Passphrase) sperren. Kopiert jemand Ihre Schlüsseldatei, kann er sie ohne dieses Passwort nicht verwenden.

Schlüssel erstellen#

Was der Befehl tut:

• ssh-keygen – ein Programm zum Erstellen von SSH-Schlüsseln.
• -t ed25519 – der Schlüsseltyp. Wir empfehlen Ed25519. Verwenden Sie den älteren Typ RSA nur für Geräte, die ed25519 nicht beherrschen, und dann mit der Länge -t rsa -b 4096.
• -C "notebook-jan" – eine Kennung (Kommentar) am Ende des öffentlichen Schlüssels. Sie sagt Ihnen auf dem VPS, von welchem Computer der Schlüssel stammt. Die Kennung sichert nichts ab; sie dient nur der Orientierung.

Schlüssel in PuTTYgen erstellen#

Wenn Sie sich mit PuTTY verbinden, erstellen Sie den Schlüssel in PuTTYgen, das zusammen mit PuTTY installiert wird.

1. Starten Sie PuTTYgen.
2. Wählen Sie unter Parameters den Typ EdDSA und daneben Ed25519 (255 bits).
3. Klicken Sie auf Generate und bewegen Sie die Maus über den leeren Bereich des Fensters, bis sich der Fortschrittsbalken füllt. Die Mausbewegung dient als Zufallsquelle.
4. Geben Sie im Feld Key comment eine Kennung ein, zum Beispiel notebook-jan.
5. Geben Sie in die Felder Key passphrase und Confirm passphrase ein Schlüsselpasswort ein.
6. Klicken Sie auf Save private key und speichern Sie die Datei, zum Beispiel C:\Users\<BENUTZER>\.ssh\vps.ppk. Das ist der private Schlüssel.
7. Markieren und kopieren Sie den gesamten Text im Feld Public key for pasting into OpenSSH authorized_keys file. Er beginnt mit ssh-ed25519 AAAA… und endet mit der Kennung. Das ist der öffentliche Schlüssel, den Sie von Hand auf den VPS hochladen (siehe die Registerkarte Manuell unten).

Die Schaltfläche Save public key speichert den öffentlichen Schlüssel in einem anderen Format, das der VPS nicht akzeptiert. Kopieren Sie immer den Text aus dem Feld.

Öffentlichen Schlüssel auf den VPS hochladen#

Anmeldung mit dem Schlüssel#

Der SSH-Client findet einen Schlüssel am Standardort (id_ed25519) von selbst, der übliche Befehl reicht also:

ssh [email protected]

Wenn Sie ein Passwort für den Schlüssel gesetzt haben, fragt der Client Enter passphrase for key. Sie geben das Schlüssel-Passwort ein, nicht das Root-Passwort.

Einen Schlüssel an einem anderen Ort oder mit anderem Namen geben Sie mit der Option -i an:

ssh -i ~/.ssh/vps_klic [email protected]

• -i ~/.ssh/vps_klic – der Pfad zum privaten Schlüssel (die Datei ohne .pub).

PuTTY:

1. Starten Sie PuTTY und laden Sie die gespeicherte Sitzung (Load) oder tragen Sie die IP-Adresse ein.
2. Öffnen Sie im Baum links Connection › SSH › Auth › Credentials.
3. Klicken Sie neben dem Feld Private key file for authentication auf Browse und wählen Sie die .ppk-Datei.
4. Optional: Tragen Sie unter Connection › Data bei Auto-login username root ein.
5. Gehen Sie zurück zu Session, klicken Sie auf den Sitzungsnamen und Save, damit Sie das beim nächsten Mal nicht erneut einrichten müssen.
6. Klicken Sie auf Open.

Einen Schlüssel aus ssh-keygen können Sie auch in PuTTY verwenden: Klicken Sie in PuTTYgen auf Load, wählen Sie die Datei id_ed25519 (Dateifilter auf All Files umstellen) und speichern Sie sie mit Save private key als .ppk. Umgekehrt wandeln Sie einen PuTTYgen-Schlüssel mit Conversions › Export OpenSSH key in das OpenSSH-Format um.

ssh-agent: Schlüsselpasswort nur einmal eingeben#

ssh-agent merkt sich den entsperrten Schlüssel, sodass Sie das Schlüsselpasswort nicht bei jeder Verbindung eingeben.

Zur Prüfung: ssh-add -l listet die Fingerabdrücke der im Agent geladenen Schlüssel auf.

Die Datei ~/.ssh/config: Verbindung mit einem Wort#

Speichern Sie die Einstellungen Ihres VPS in der Datei config im Ordner .ssh (Windows: C:\Users\<BENUTZER>\.ssh\config, ohne Endung):

Host mojevps
    HostName 203.0.113.10
    User root
    Port 22
    IdentityFile ~/.ssh/id_ed25519
    IdentitiesOnly yes

Dann verbinden Sie sich mit ssh mojevps. Auch scp und sftp verwenden das Kürzel.

Passwortanmeldung ausschalten#

Solange die Passwortanmeldung eingeschaltet ist, können Bots sie weiter probieren. Ist sie aus, akzeptiert der VPS nur noch einen Schlüssel.

1. Erstellen (oder öffnen) Sie Ihre eigene Konfigurationsdatei des SSH-Servers:

   nano /etc/ssh/sshd_config.d/00-zabezpeceni.conf

2. Fügen Sie die Einstellungen ein:

   PasswordAuthentication no
   KbdInteractiveAuthentication no
   PubkeyAuthentication yes
   PermitRootLogin prohibit-password

   Wenn die Datei bereits PermitRootLogin no enthält (aus der Anleitung Einen neuen VPS absichern), lassen Sie die letzte Zeile weg.

   Einstellung	Was sie tut	Empfohlener Wert	Wann ändern
   PasswordAuthentication	Erlaubt die Passwortanmeldung.	no	Nie, wenn Passwörter aus sein sollen.
   KbdInteractiveAuthentication	Eine weitere Art der Passworteingabe (eine interaktive Abfrage). Auch bei ausgeschaltetem PasswordAuthentication könnte darüber ein Passwort eingegeben werden.	no	yes nur für Zwei-Faktor-Authentifizierung über PAM (fortgeschritten).
   PubkeyAuthentication	Erlaubt die Schlüsselanmeldung. Der Standardwert ist yes; wir führen ihn sicherheitshalber auf.	yes	Nie.
   PermitRootLogin	Root-Anmeldung. prohibit-password = root nur mit Schlüssel.	prohibit-password	no, wenn Sie unter Ihrem eigenen Benutzer mit sudo arbeiten.

3. Speichern und schließen Sie den Editor.

4. Prüfen Sie, dass genau Ihre Werte gelten:

   sshd -t && sshd -T | grep -Ei "^(passwordauthentication|kbdinteractiveauthentication|pubkeyauthentication|permitrootlogin)"

   • sshd -t – prüft die Syntax der Konfiguration. Bei einem Fehler gibt es Datei und Zeile aus, und der nächste Befehl läuft nicht.
   • sshd -T – gibt die resultierende wirksame Konfiguration nach dem Laden aller Dateien aus.
   • grep -Ei "…" – wählt nur die vier Einstellungen aus, die Sie prüfen.

   Die Ausgabe muss diese vier Zeilen enthalten (die Reihenfolge kann abweichen):

   permitrootlogin without-password
   pubkeyauthentication yes
   passwordauthentication no
   kbdinteractiveauthentication no

   without-password ist der ältere Name für prohibit-password und bedeutet dasselbe. Ubuntu 24.04 und Debian 13 geben den älteren Namen aus; neuere OpenSSH-Versionen geben prohibit-password aus. Haben Sie no gesetzt, sehen Sie permitrootlogin no.

   Zeigt eine Zeile einen anderen Wert (typischerweise passwordauthentication yes), steht dieselbe Einstellung in einer Datei, die früher geladen wird. Finden Sie sie mit grep -rni "passwordauthentication" /etc/ssh/sshd_config.d/. Kommentieren Sie die Zeile dort mit einem # am Anfang aus und wiederholen Sie die Prüfung.

5. Starten Sie den SSH-Server neu:

   systemctl restart ssh

   Die aktuelle Verbindung bleibt offen.

6. Versuchen Sie in einem neuen Fenster, eine Passwortanmeldung zu erzwingen:

   ssh -o PubkeyAuthentication=no [email protected]

   Der Server muss Permission denied (publickey). antworten. Das ist richtig: Er akzeptiert keine Passwörter mehr.

7. Melden Sie sich in einem weiteren Fenster normal mit dem Schlüssel an (ssh [email protected]). Erst wenn das funktioniert, schließen Sie das ursprüngliche Fenster.

Mehrere Computer, Entfernen und Sichern eines Schlüssels#

• Ein weiterer Computer: Erstellen Sie für ihn einen eigenen Schlüssel mit anderer Kennung und laden Sie ihn auf dieselbe Weise hoch. Jeder Schlüssel steht in einer eigenen Zeile in ~/.ssh/authorized_keys. Einen privaten Schlüssel zwischen Computern zu kopieren empfehlen wir nicht.
• Einen Schlüssel entfernen (verlorener Laptop, ausscheidender Kollege): Öffnen Sie nano ~/.ssh/authorized_keys und löschen Sie die Zeile mit seiner Kennung. Es wirkt sofort.
• Sicherung: Bewahren Sie den privaten Schlüssel in einem Passwort-Manager oder auf verschlüsseltem Speicher auf. Wenn Sie ihn verlieren und Passwörter ausgeschaltet haben, melden Sie sich über die Browser-Konsole an und laden Sie einen neuen öffentlichen Schlüssel hoch.
• Ein anderer Benutzer als root: Der Schlüssel gehört in /home/<BENUTZER>/.ssh/authorized_keys, und dieser Benutzer muss Besitzer der Datei sein.

Überprüfung#

• ssh root@<VPS_IP_ADRESSE> meldet Sie ohne Root-Passwort an (höchstens fragt es nach dem Schlüsselpasswort).
• ssh -o PubkeyAuthentication=no root@<VPS_IP_ADRESSE> endet mit Permission denied (publickey).
• sshd -T zeigt passwordauthentication no.

Fehlerbehebung#

Der VPS fragt weiterhin nach dem Root-Passwort#

Der Schlüssel wurde nicht verwendet. Verbinden Sie sich mit ausführlicher Ausgabe:

ssh -v [email protected]

• -v – ausführliche Ausgabe. Suchen Sie die Zeilen Offering public key (der Client hat den Schlüssel angeboten) und Server accepts key (der Server hat ihn akzeptiert).

Bietet der Client den Schlüssel nicht an, liegt er in einer anderen Datei: Verwenden Sie -i oder IdentityFile. Akzeptiert der Server ihn nicht, prüfen Sie die Berechtigungen auf dem VPS:

chmod 700 ~/.ssh && chmod 600 ~/.ssh/authorized_keys
journalctl -u ssh -n 30

• journalctl -u ssh -n 30 – die letzten 30 Einträge des SSH-Servers. Die Meldung Authentication refused: bad ownership or modes bedeutet falsche Berechtigungen oder einen falschen Besitzer des Ordners .ssh.

Prüfen Sie auch, dass der Schlüssel in authorized_keys in einer Zeile steht und mit ssh-ed25519 beginnt.

Permission denied (publickey).#

Passwörter sind aus, und der Server hat den Schlüssel nicht akzeptiert. Gehen Sie wie im vorherigen Punkt vor. Wenn Sie sich gar nicht anmelden können, verwenden Sie die Browser-Konsole.

Windows: WARNING: UNPROTECTED PRIVATE KEY FILE! oder Bad permissions#

Auch andere Benutzer des Computers haben Zugriff auf den privaten Schlüssel (typischerweise nach dem Kopieren von woanders), und der Client weigert sich, ihn zu verwenden. Setzen Sie die Berechtigungen in PowerShell:

icacls $env:USERPROFILE\.ssh\id_ed25519 /inheritance:r
icacls $env:USERPROFILE\.ssh\id_ed25519 /grant:r "$($env:USERNAME):(R)"

• /inheritance:r – entfernt die vom Ordner geerbten Berechtigungen.
• /grant:r "<BENUTZER>:(R)" – gibt nur Ihrem Konto Leseberechtigung.

Unter macOS und Linux beheben Sie denselben Fehler mit chmod 600 ~/.ssh/id_ed25519.

Load key "…": invalid format#

Sie versuchen, einen Schlüssel im PuTTY-Format (.ppk) mit OpenSSH zu verwenden. Wandeln Sie ihn in PuTTYgen mit Conversions › Export OpenSSH key um.

PuTTY: Server refused our key#

Der richtige öffentliche Schlüssel ist nicht auf dem VPS. Kopieren Sie den Text aus dem Feld Public key for pasting into OpenSSH authorized_keys file erneut (nicht die Datei aus Save public key) und fügen Sie ihn in einer Zeile in ~/.ssh/authorized_keys ein.

Too many authentication failures#

Der Agent bietet zu viele Schlüssel an. Verwenden Sie IdentitiesOnly yes in ~/.ssh/config oder die Optionen -i ~/.ssh/id_ed25519 -o IdentitiesOnly=yes.

Weiterführende Links#

• Handbuchseite sshd_config (öffnet sich in einem neuen Fenster)
• Ubuntu: OpenSSH-Server und Schlüssel (öffnet sich in einem neuen Fenster)
• Microsoft Learn: SSH-Schlüssel unter Windows (öffnet sich in einem neuen Fenster)
• PuTTYgen-Dokumentation (öffnet sich in einem neuen Fenster)