Ein frischer VPS mit Debian oder Ubuntu steht offen fuer die ganze Welt. Innerhalb von Minuten nach der Lieferung beginnen automatisierte Scanner bereits, SSH-Passwoerter auszuprobieren. Mit fuenf Schritten machst du die Maschine sicher. Erledige das, bevor du etwas anderes darauf installierst.
Schritt 1: Einloggen und aktualisieren
Logge dich per SSH mit dem Passwort aus der Lieferungs-E-Mail ein:
ssh root@deine-ip-adresse
Aktualisiere das System sofort:
apt update && apt upgrade -y
Schritt 2: Einen eigenen Benutzer anlegen
Arbeite nicht als root. Lege einen Benutzer an und gib ihm sudo-Rechte:
adduser meinbenutzer
usermod -aG sudo meinbenutzer
Logge dich aus und melde dich als neuer Benutzer wieder an, um zu pruefen, dass sudo funktioniert.
Schritt 3: SSH-Schluessel einrichten
SSH-Schluessel sind sicherer als Passwoerter. Auf deinem eigenen Computer generierst du ein Schluesselpaar:
ssh-keygen -t ed25519
Kopiere den oeffentlichen Schluessel auf den Server:
ssh-copy-id meinbenutzer@deine-ip-adresse
Teste, ob du dich ohne Passwort einloggen kannst. Funktioniert es, deaktiviere den Passwort-Login in /etc/ssh/sshd_config:
PasswordAuthentication noPermitRootLogin no
Starte SSH neu: sudo systemctl restart sshd
Schliesse deine aktuelle Sitzung erst, nachdem du in einem zweiten Terminal bestaetigt hast, dass der Schluessel funktioniert. Sonst sperrst du dich selbst aus.
Schritt 4: Firewall aktivieren
UFW (Uncomplicated Firewall) ist auf Debian und Ubuntu standardmaessig verfuegbar:
sudo ufw allow OpenSSH
sudo ufw enable
Oeffne danach nur die Ports, die du brauchst:
- Minecraft:
sudo ufw allow 25565/tcp - FiveM:
sudo ufw allow 30120/tcpundsudo ufw allow 30120/udp - Webserver:
sudo ufw allow 80/tcpundsudo ufw allow 443/tcp
Alles, was du nicht explizit oeffnest, wird blockiert.
Schritt 5: Automatische Sicherheitsupdates
Installiere unattended-upgrades, damit Sicherheitspatches automatisch eingespielt werden:
sudo apt install unattended-upgrades -y
sudo dpkg-reconfigure -plow unattended-upgrades
Waehle "Yes", wenn gefragt wird, ob Sicherheitsupdates automatisch installiert werden sollen.
Extra: fail2ban
Fail2ban blockiert IP-Adressen, die wiederholt fehlgeschlagene Logins versuchen:
sudo apt install fail2ban -y
Die Standardkonfiguration schuetzt SSH direkt nach der Installation. Nach drei fehlgeschlagenen Versuchen wird die IP-Adresse fuer zehn Minuten blockiert.
Sollte ich den SSH-Port aendern?
Es hilft gegen automatisierte Scans, ist aber keine echte Sicherheit. Mit SSH-Schluesseln und fail2ban ist der Standardport 22 sicher genug. Ein angepasster Port fuegt Komplexitaet hinzu ohne viel Gewinn.
Wie erkenne ich, ob jemand eingebrochen ist?
Pruefe /var/log/auth.log auf unbekannte Logins. Der Befehl last zeigt die letzten Anmeldesitzungen. Mit sudo fail2ban-client status sshd siehst du, wie viele IP-Adressen blockiert wurden.
Reicht das fuer einen Produktionsserver?
Fuer einen Gameserver oder ein persoenliches Projekt: ja. Fuer eine Webanwendung mit Kundendaten geht die Checkliste weiter: HTTPS, Datenbankverschluesselung, regelmaessige Backups und Monitoring. Aber diese fuenf Schritte sind das Fundament, auf dem alles aufbaut.
Bei HostValues werden KVM VPS-Maschinen mit Debian oder Ubuntu nach Wahl geliefert. Die ersten Schritte stehen auch in der Wissensdatenbank: VPS erste Schritte.
