Ein frisch bereitgestellter VPS ist funktionsfähig, aber nicht gehärtet. Hier ist die empfohlene Reihenfolge, um eine Maschine abzusichern, bevor Sie etwas Sensibles darauf installieren.
1. Einen SSH-Schlüssel einrichten
Falls noch nicht geschehen (siehe den Artikel zur SSH-Verbindung), erzeugen und installieren Sie einen SSH-Schlüssel vor allen anderen Schritten — er ist das Fundament für alles Weitere.
2. Die Passwortauthentifizierung deaktivieren
Sobald der SSH-Schlüssel funktioniert und getestet ist, deaktivieren Sie die Passwortauthentifizierung in der SSH-Konfiguration, sodass nur noch Verbindungen per Schlüssel angenommen werden:
sudo nano /etc/ssh/sshd_configÄndern oder ergänzen Sie die Zeile:
PasswordAuthentication noStarten Sie anschließend den Dienst neu:
sudo systemctl restart sshd3. Einen Benutzer ohne Root-Rechte für den Alltag anlegen
Siehe den eigenen Artikel zum Anlegen eines Benutzers ohne Root-Rechte — vermeiden Sie root für tägliche Aufgaben und behalten Sie das Konto den Vorgängen vor, die es wirklich erfordern.
4. Die Firewall aktivieren
Richten Sie eine Firewall ein (siehe den eigenen Artikel zu UFW), um nur die tatsächlich genutzten Ports zu öffnen — SSH sowie die Dienste, die Sie bereitstellen möchten (Web, Spiel usw.).
5. Automatische Sicherheitsupdates aktivieren
Unter Debian/Ubuntu spielt das Paket unattended-upgrades Sicherheitspatches automatisch und ohne Zutun ein:
sudo apt install unattended-upgrades
sudo dpkg-reconfigure --priority=low unattended-upgrades6. Den Standard-SSH-Port ändern (optional)
Den Standardport 22 zu ändern macht den Server für sich genommen nicht sicherer (es ist keine echte Sicherheitsmaßnahme), reduziert aber das Rauschen automatisierter Scans in den Logs deutlich — vor allem nützlich, um die Protokolle lesbar zu halten.