VPS absichern: die ersten 10 Schritte nach der Bereitstellung

Ein frisch bereitgestellter VPS wird binnen Minuten nach dem Start gescannt. Das ist keine Paranoia: Bots durchsuchen fortlaufend den Adressraum nach einem Port 22 mit schwachem Passwort. Hier ist die Liste, die vor allem anderen abzuarbeiten ist.

1. Das Root-Passwort ändern

Der erste Befehl, noch vor jeder Installation:

passwd

Ein langes, einzigartiges Passwort aus einem Passwortmanager. Keine Abwandlung des Domainnamens.

2. Einen Nicht-Root-Benutzer anlegen

Dauerhaft als Root zu arbeiten macht aus dem kleinsten Tippfehler einen Zwischenfall:

adduser artaun
usermod -aG sudo artaun

Unter Rocky oder AlmaLinux ersetzen Sie sudo durch wheel.

3. Auf SSH-Schlüssel umstellen

Das ist die Änderung mit dem besten Verhältnis von Sicherheit zu Aufwand. Von Ihrem Rechner aus:

ssh-keygen -t ed25519 -C "mein-rechner"
ssh-copy-id artaun@ihre-ip

Testen Sie die Schlüsselanmeldung in einem zweiten Terminal, bevor Sie das erste schließen. Ein Fehler hier sperrt Sie aus.

4. Passwortanmeldung deaktivieren

In /etc/ssh/sshd_config:

PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes

Dann systemctl restart ssh. Ab diesem Moment haben die täglich tausenden Wörterbuchversuche keinerlei Chance mehr.

5. Eine Firewall aktivieren

Das Prinzip: alles schließen, dann nur das Nötige öffnen:

ufw default deny incoming
ufw default allow outgoing
ufw allow OpenSSH
ufw allow 80,443/tcp
ufw enable

6. fail2ban installieren

Es sperrt automatisch Adressen, die Authentifizierungsfehler häufen:

apt install fail2ban
systemctl enable --now fail2ban

Die Standardkonfiguration schützt SSH bereits, womit der Großteil des Risikos abgedeckt ist.

7. Automatische Sicherheitsupdates aktivieren

apt install unattended-upgrades
dpkg-reconfigure --priority=low unattended-upgrades

Das ist die lohnendste Maßnahme der ganzen Liste: Die meisten Kompromittierungen nutzen Lücken, die seit Monaten behoben sind.

8. Exponierte Dienste begrenzen

Prüfen Sie, was tatsächlich im Netz lauscht:

ss -tulpn

Eine Datenbank sollte nur auf 127.0.0.1 lauschen. Ein auf 0.0.0.0 offenes MySQL ist eine Einladung.

9. Eigene Sicherungen einrichten

Die Sicherungen Ihres Hosters schützen die Infrastruktur, nicht Ihre Anwendungsdaten. Installieren Sie restic oder borg, planen Sie eine tägliche Aufgabe auf einen externen Speicher und — der entscheidende Punkt — testen Sie eine Wiederherstellung. Eine nie zurückgespielte Sicherung ist nur eine Vermutung.

10. Überwachen

Prüfen Sie regelmäßig Speicherplatz, Arbeitsspeicher und Last. Eine zu 100 % gefüllte Festplatte legt einen Dienst ebenso sicher lahm wie ein Angriff — und kommt weit häufiger vor.

Unsere Linux-VPS-Dokumentation erklärt jeden Schritt Befehl für Befehl, samt Varianten je Distribution.