Mist Network
VPS-Sicherheits-Checkliste: 12 Schritte zur Härtung eines neuen Servers
Ein neuer VPS wird wenige Minuten nach dem Start von Bots gescannt. Diese 12-Schritte-Checkliste zeigt, was du in der ersten Stunde absicherst und was du jeden Monat weiter tun solltest.
Eine VPS-Sicherheits-Checkliste ist die Liste von Schritten, die du auf jedem neuen Server ausführst, bevor etwas Wichtiges darauf landet: SSH absichern, eine Firewall aktivieren, das System aktuell halten, laufende Dienste begrenzen und sicherstellen, dass du wiederherstellen kannst. Automatisierte Bots tasten neue IP-Adressen innerhalb von Minuten ab, deshalb zählt die erste Stunde mehr als jedes spätere Feintuning.
Die Schritte setzen einen Linux-VPS wie Ubuntu oder Debian mit Root-Zugriff voraus. Die Befehle sind Beispiele; passe sie an deine Distribution an. Arbeite sie der Reihe nach ab und halte beim Ändern der Login-Einstellungen eine zweite SSH-Sitzung offen, damit dich ein Fehler nicht aussperrt.
Warum ein neuer VPS gehärtet werden muss
Ein virtueller privater Server gibt dir volle Kontrolle — und damit volle Verantwortung. Anders als beim Shared Hosting patcht niemand deine Pakete oder überwacht deine Logins. Die meisten echten Kompromittierungen sind keine raffinierten Exploits, sondern simple Fehler: schwache SSH-Passwörter, eine veraltete Web-App, ein offener Datenbank-Port oder ein vergessener Testdienst.
Die erste Stunde: 8 wichtige Schritte
- Alles aktualisieren —
apt update && apt upgrade(oder das Pendant deiner Distribution) ausführen und neu starten, wenn sich der Kernel geändert hat. - Nicht-Root-Benutzer anlegen — einen Benutzer mit sudo-Rechten hinzufügen und ihn statt root für die tägliche Arbeit nutzen.
- SSH-Schlüssel verwenden — auf deinem Rechner ein Schlüsselpaar erzeugen und den öffentlichen Schlüssel mit
ssh-copy-idauf den Server kopieren. - Passwort- und Root-Login abschalten — in
/etc/ssh/sshd_configPasswordAuthentication noundPermitRootLogin nosetzen und SSH neu starten, nachdem der Schlüssel-Login in einer zweiten Sitzung getestet wurde. - Firewall aktivieren — mit ufw nur das Nötige erlauben, etwa
ufw allow OpenSSH,ufw allow 80,443/tcp, dannufw enable. - Automatische Sicherheitsupdates einschalten — unter Debian/Ubuntu
unattended-upgradesinstallieren und aktivieren. - fail2ban installieren — es sperrt IPs mit wiederholten Fehlversuchen und bremst Brute-Force-Angriffe.
- Zeitzone und Hostname setzen — korrekte Zeitstempel machen Logs und Zertifikate verlässlich.
Laufende Härtung: 4 weitere Schritte
- Ungenutztes entfernen — überflüssige Pakete deinstallieren und nicht benötigte Dienste stoppen. Lauschende Ports mit
ss -tulpnprüfen. - Datenbanken privat halten — MySQL, PostgreSQL oder Redis an 127.0.0.1 oder ein privates Netz binden, niemals ans öffentliche Internet.
- Backups außerhalb des Servers — Backups an einen anderen Ort kopieren und eine Wiederherstellung testen. Ein Snapshot auf derselben Maschine ist kein Backup.
- Logs und Ressourcen überwachen — Auth-Logs prüfen, einfache Uptime- und Speicherplatz-Alarme einrichten und unerwartete CPU-Spitzen untersuchen.
Die Checkliste im Überblick
| Bereich | Maßnahme | Wie oft |
|---|---|---|
| Zugang | Nur SSH-Schlüssel, kein Root- oder Passwort-Login | Einmal, Schlüssel vierteljährlich prüfen |
| Netzwerk | Firewall mit nur benötigten Ports | Bei jedem neuen Dienst |
| Updates | Automatische Sicherheitsupdates plus manuelle Upgrades | Automatisch täglich; manuell monatlich |
| Brute Force | fail2ban oder Vergleichbares | Einmal, Sperren gelegentlich prüfen |
| Dienste | Ungenutzte Software entfernen, Datenbanken lokal binden | Monatliche Prüfung |
| Wiederherstellung | Externe Backups mit getesteter Wiederherstellung | Tägliche Backups; Test vierteljährlich |
| Web | HTTPS, aktuelles CMS und Plugins | Wöchentlich |
Die Web-Ebene absichern
Hostet der VPS eine Website, ist die Anwendung oft die schwächste Stelle. Halte CMS, Plugins und Frameworks aktuell, nutze HTTPS mit einem kostenlosen Zertifikat und betreibe jede Website unter einem eigenen Systembenutzer, damit eine kompromittierte Seite die anderen nicht lesen kann. Füge deiner Domain einen CAA-Eintrag hinzu, damit nur die gewählte Zertifizierungsstelle Zertifikate ausstellen darf, und lass die Domain mit unserem Leitfaden Domain auf einen VPS zeigen lassen korrekt auflösen.
Bewahre Geheimnisse wie API-Schlüssel und Datenbankpasswörter in Umgebungsdateien mit eingeschränkten Rechten auf, niemals in einem öffentlichen Webverzeichnis oder Git-Repository.
Zugang für Teams und mehrere Admins
Server bleiben selten lange Einzelbenutzer-Systeme. Sobald ein Kollege, Freelancer oder Deployment-Tool Zugang braucht, wird die Vergabe von Zugangsdaten Teil deiner Sicherheit.
- Ein Schlüssel pro Person — jeder Admin bekommt ein eigenes Benutzerkonto und einen eigenen SSH-Schlüssel. Teile nie ein Root-Passwort oder einen einzigen Schlüssel im Team.
- Eigene Schlüssel für Automatisierung — CI-Pipelines und Backup-Jobs erhalten eigene, auf die nötigen Befehle oder Verzeichnisse beschränkte Schlüssel.
- Zugang noch am selben Tag entziehen — verlässt jemand ein Projekt, sofort Benutzer und Schlüssel löschen.
authorized_keys-Dateien vierteljährlich prüfen. - Privilegierte Aktionen protokollieren — sudo zeichnet auf, wer was ausgeführt hat; das erleichtert die Aufklärung von Fehlern und Vorfällen enorm.
- Auch das Kundenpanel schützen — dein Provider-Konto kann den Server neu installieren oder löschen; nutze ein starkes, einzigartiges Passwort und, wenn verfügbar, Zwei-Faktor-Authentifizierung.
Was tun bei Verdacht auf einen Einbruch?
- Beweise nicht sofort löschen; zuerst einen Snapshot erstellen oder Logs kopieren.
- Alle Passwörter und SSH-Schlüssel ändern, die mit dem Server in Berührung kamen.
- Nach unbekannten Benutzern, Cronjobs, SSH-Schlüsseln und Prozessen suchen.
- Im Zweifel aus einem sauberen Image neu aufsetzen und Daten aus einem Backup vor dem Vorfall wiederherstellen.
Eine sichere Basis mit dem mistREG-VPS
mistREG betreibt KVM-VPS-Server in Slowenien (EU) auf NVMe-SSD- und AMD-EPYC-Hardware. KVM gibt jedem Server einen eigenen Kernel, sodass du jede Firewall, Kernel-Einstellung oder jedes Sicherheitstool nutzen kannst. Die Bereitstellung ist automatisch: Etwa 60 Sekunden nach der Zahlung erscheinen IP-Adresse und Root-Passwort in deinem Panel, bereit für diese Checkliste. Mehr dazu in unserem Leitfaden zu Offshore-VPS-Hosting.
Konto erstellen, mit Krypto oder Karte aufladen und im Tarifbereich einen Server wählen. Fragen? Unser Team ist auf Telegram unter @mistnetwork erreichbar.
