Ein frisch bereitgestellter VPS ist aus dem Internet erreichbar und damit ein Ziel für automatisierte Angriffe. Mit den folgenden Massnahmen sichern Sie Ihren Server in wenigen Minuten ab.
1. System aktualisieren
Installieren Sie als Erstes alle verfügbaren Sicherheitsupdates:
apt update && apt upgrade -y
Richten Sie anschliessend automatische Sicherheitsupdates ein:
apt install unattended-upgrades -y
dpkg-reconfigure -plow unattended-upgrades
2. SSH-Schlüssel einrichten
SSH-Schlüssel sind wesentlich sicherer als Passwörter, da sie nicht durch Brute-Force erraten werden können. Erstellen Sie auf Ihrem lokalen Computer ein Schlüsselpaar:
ssh-keygen -t ed25519
Kopieren Sie den öffentlichen Schlüssel auf den Server:
ssh-copy-id root@ihre-server-ip
Testen Sie, ob die Anmeldung mit dem Schlüssel funktioniert, bevor Sie die Passwort-Anmeldung deaktivieren.
3. Passwort-Login und Root-Login einschränken
Erstellen Sie zunächst einen eigenen Benutzer mit sudo-Rechten:
adduser meinname
usermod -aG sudo meinname
Kopieren Sie den SSH-Schlüssel auch für diesen Benutzer. Öffnen Sie dann /etc/ssh/sshd_config und setzen Sie:
PasswordAuthentication nodeaktiviert die Passwort-Anmeldung.PermitRootLogin noverhindert den direkten Root-Login.
Starten Sie SSH mit systemctl restart ssh neu. Schliessen Sie das aktuelle Terminal erst, nachdem Sie in einem zweiten Terminal getestet haben, dass die Anmeldung mit dem neuen Benutzer und Schlüssel funktioniert.
4. UFW-Firewall einrichten
UFW ist die einfachste Firewall für Ubuntu und Debian:
apt install ufw -y
ufw default deny incoming
ufw default allow outgoing
ufw allow ssh
ufw enable
Geben Sie zusätzlich nur die Ports frei, die Sie brauchen, z.B. ufw allow 80/tcp und ufw allow 443/tcp für einen Webserver oder ufw allow 25565/tcp für einen Minecraft-Server.
5. Fail2Ban installieren
Fail2Ban erkennt wiederholte fehlgeschlagene Login-Versuche und sperrt die IP-Adresse automatisch:
apt install fail2ban -y
systemctl enable fail2ban
systemctl start fail2ban
Die Standardkonfiguration schützt SSH bereits. Prüfen Sie den Status mit fail2ban-client status sshd.
Mit diesen fünf Schritten ist Ihr VPS deutlich besser geschützt. Für weitergehende Absicherung können Sie zusätzlich den SSH-Port ändern (in sshd_config unter Port) und einen Dienst wie CrowdSec einsetzen. Bei Fragen helfen wir gerne per Support-Ticket.