vServer absichern: Die Checkliste für die ersten Stunden nach der Bereitstellung

Kaum ist ein neuer vServer online, beginnen die Angriffe: Automatisierte Scanner probieren schon nach wenigen Minuten Standardpasswörter über SSH durch. Wer seinen Server nicht von Anfang an absichert, lädt ungebetene Gäste ein. Die gute Nachricht: Mit wenigen, gut erprobten Maßnahmen lässt sich das Risiko deutlich senken. Dieser Ratgeber führt Sie Schritt für Schritt durch die wichtigsten Einstellungen für einen Linux-vServer.

Warum die ersten Stunden entscheidend sind

Ein frisch installierter Server ist aus dem Internet in der Regel sofort erreichbar, und gängige Angriffe laufen vollautomatisch. Protokolle zeigen häufig massenhaft fehlgeschlagene Anmeldeversuche, meist auf den Benutzer „root“ und den Standardport 22. Es geht dabei selten um Sie persönlich, sondern um die Übernahme von Servern für Spam, Kryptominer oder Angriffe auf Dritte. Deshalb gilt: Erst absichern, dann Anwendungen installieren.

Schritt 1: System auf den neuesten Stand bringen

Beginnen Sie mit den Paketquellen und aktualisieren Sie alle installierten Pakete. Unter Debian oder Ubuntu geschieht das mit apt update und apt upgrade. Prüfen Sie außerdem, wie lange Ihre Distribution noch Sicherheitsupdates erhält, denn Systeme am Ende ihres Supportzeitraums werden zum Risiko.

Schritt 2: Eigenen Benutzer anlegen, Root-Login abschalten

Arbeiten Sie nicht dauerhaft als Administrator „root“. Legen Sie einen eigenen Benutzer an, geben Sie ihm bei Bedarf Administratorrechte über sudo und deaktivieren Sie anschließend die direkte Root-Anmeldung per SSH (PermitRootLogin no). Vergeben Sie nur so viele Rechte wie nötig.

Schritt 3: SSH mit Schlüsseln statt Passwörtern

1. Erzeugen Sie auf Ihrem Rechner ein SSH-Schlüsselpaar und hinterlegen Sie den öffentlichen Schlüssel auf dem Server.
2. Testen Sie die Anmeldung per Schlüssel in einer zweiten Sitzung, bevor Sie etwas abschalten.
3. Deaktivieren Sie danach die Passwort-Anmeldung (PasswordAuthentication no).
4. Beschränken Sie die Anmeldung auf bestimmte Benutzer und schalten Sie veraltete Protokolle und schwache Verschlüsselungen ab.

Die Änderung des Standardports 22 auf einen anderen Port wird oft empfohlen. Sie verringert das Rauschen in den Logs, ersetzt aber keine echte Absicherung, denn gezielte Scans finden auch andere Ports. Wenn Sie den Port ändern, achten Sie darauf, dass er frei ist, und passen Sie die Firewall vorher an, sonst sperren Sie sich selbst aus.

Schritt 4: Firewall einrichten

Der Grundsatz lautet: Alles verbieten, nur das Nötige erlauben. Für Einsteiger bietet sich ufw an, fortgeschrittene Nutzer arbeiten mit nftables oder firewalld. Öffnen Sie nur die Ports, die Ihre Dienste wirklich benötigen, etwa 80 und 443 für einen Webserver und den SSH-Port. Wo es möglich ist, beschränken Sie Verwaltungszugänge auf bekannte IP-Adressen oder legen sie hinter ein VPN. Wie Sie ein eigenes VPN betreiben, haben wir in einem früheren Ratgeber zu WireGuard beschrieben.

Schritt 5: Brute-Force-Schutz mit Fail2ban

Fail2ban überwacht Logdateien und sperrt IP-Adressen nach mehreren Fehlversuchen für eine bestimmte Zeit. Typische Beispielwerte sind eine Sperrzeit von einer Stunde, ein Beobachtungsfenster von zehn Minuten und etwa fünf Fehlversuche. Passen Sie die Werte an Ihren Bedarf an und achten Sie darauf, die eigene Adresse bei Bedarf in eine Ausnahmeliste aufzunehmen.

Schritt 6: Automatische Sicherheitsupdates aktivieren

Wer nicht täglich auf den Server schaut, sollte Sicherheitsupdates automatisieren. Unter Debian und Ubuntu hilft dabei unattended-upgrades, in der RHEL-Familie dnf-automatic. Planen Sie trotzdem regelmäßige Wartungsfenster ein, in denen Sie Neustarts durchführen und Protokolle prüfen.

Schritt 7: Dienste reduzieren und Zugriff begrenzen

• Deinstallieren oder deaktivieren Sie alles, was Sie nicht brauchen.
• Prüfen Sie mit ss -tulpn, welche Dienste auf welchen Ports lauschen.
• Binden Sie Datenbanken nur an die lokale Adresse, statt sie ins Internet zu öffnen.
• Aktivieren Sie, wo vorhanden, AppArmor oder SELinux im Durchsetzungsmodus.
• Nutzen Sie getrennte Benutzer für getrennte Dienste.

Schritt 8: Protokollierung und Überwachung

Sicherheit ist ohne Sichtbarkeit schwer. Aktivieren Sie die Protokollierung und senden Sie Logs, wenn möglich, an einen zweiten Ort außerhalb des Servers. Fortgeschrittene setzen zusätzlich auf Audit-Werkzeuge wie auditd und prüfen die Dateiintegrität mit Programmen wie AIDE. Als Maßstab für eine gründliche Härtung dient der CIS-Benchmark. Richten Sie außerdem eine einfache Überwachung ein, die Sie bei Ausfällen oder ungewöhnlicher Auslastung benachrichtigt.

Schritt 9: Backups und Wiederherstellung

Auch der sicherste Server kann ausfallen oder kompromittiert werden. Sichern Sie Konfiguration und Daten regelmäßig an einem getrennten Ort und testen Sie die Wiederherstellung. Das Prinzip der 3-2-1-Regel haben wir im Ratgeber zu Website-Backups auf Webhosting-Vergleich.biz erklärt. Viele Anbieter bieten zusätzlich Snapshots an, die einen schnellen Rollback ermöglichen, aber keine externe Datensicherung ersetzen.

Häufige Fehler vermeiden

• Passwort-Login „nur kurz“ aktiv lassen und vergessen
• SSH-Port ändern, ohne die Firewall anzupassen
• Updates nur gelegentlich einspielen
• Dienste ohne Notwendigkeit offen ins Internet stellen
• Keine Backups und keine Wiederherstellungstests
• Schlüssel ohne Passphrase auf mehreren Geräten verteilen

Und die Hardware drumherum?

Auch die Geräte, von denen aus Sie Ihren Server verwalten, gehören zur Sicherheitskette. Updates, Bildschirmsperre und ein geschützter privater Schlüssel sind Pflicht. Ratgeber zu Geräten und Smart-Home-Sicherheit bietet Technik24.tips.

Fazit: Wenige Schritte, großer Effekt

Ein sicherer vServer entsteht nicht durch ein einzelnes Tool, sondern durch mehrere Schichten: aktuelle Software, Schlüssel-Login, Firewall, Brute-Force-Schutz, Überwachung und Backups. Wer diese Checkliste direkt nach der Bereitstellung abarbeitet, schützt Daten, Kunden und Ruf. Bei der Wahl des passenden Angebots hilft der Vergleich auf vServer-Vergleich.eu.

Redaktionell erstellter Artikel. Stand: Oktober 2026. Die Hinweise sind allgemeiner Natur und ersetzen keine individuelle Sicherheitsberatung; Befehle und Konfigurationen hängen von Distribution und Version ab, bitte testen Sie Änderungen zunächst in einer sicheren Umgebung.