Linux-VPS absichern: Checkliste für kleine Unternehmen

Ein gemieteter Linux-Server ist in wenigen Minuten online und genauso schnell im Visier automatisierter Angriffe. Diese Checkliste beschreibt die Grundabsicherung für einen VPS mit Debian oder Ubuntu.

1. Anmeldung nur per SSH-Schlüssel

Passwörter lassen sich erraten, SSH-Schlüssel praktisch nicht. Legen Sie einen eigenen Benutzer mit sudo-Rechten an, hinterlegen Sie dessen öffentlichen Schlüssel und schalten Sie danach Passwort- und Root-Anmeldung ab:

# /etc/ssh/sshd_config
PermitRootLogin no
PasswordAuthentication no
KbdInteractiveAuthentication no

Testen Sie die Anmeldung mit dem Schlüssel in einer zweiten Sitzung, bevor Sie die erste schließen. Sonst sperren Sie sich aus.

2. Firewall: nur öffnen, was gebraucht wird

Ein Webserver braucht in der Regel nur SSH sowie HTTP und HTTPS. Alles andere bleibt geschlossen:

ufw default deny incoming
ufw allow OpenSSH
ufw allow 80,443/tcp
ufw enable

3. Sicherheitsupdates automatisch einspielen

Unter Debian und Ubuntu erledigt das Paket unattended-upgrades die Sicherheitsupdates automatisch. Größere Versionssprünge und Neustarts sollten trotzdem geplant und überwacht werden.

4. Angriffe auf die Anmeldung bremsen

Werkzeuge wie fail2ban sperren IP-Adressen nach mehreren fehlgeschlagenen Anmeldeversuchen vorübergehend. Mit Schlüssel-Anmeldung ist das Risiko ohnehin gering, die Protokolle bleiben aber übersichtlicher.

5. Nur laufen lassen, was gebraucht wird

Prüfen Sie mit ss -tulpn, welche Dienste auf Verbindungen warten. Datenbanken sollten nur lokal erreichbar sein, nicht aus dem Internet.

6. Backups außerhalb des Servers

Snapshots beim Anbieter sind praktisch, schützen aber nicht vor jedem Fehler. Sichern Sie Daten und Konfiguration zusätzlich an einen anderen Ort und testen Sie die Wiederherstellung regelmäßig.

7. Überwachung

Lassen Sie sich benachrichtigen, wenn der Server nicht erreichbar ist, der Speicher knapp wird oder ein Zertifikat abläuft. Ein voller Datenträger ist eine der häufigsten Ursachen für Ausfälle.

Kurz-Checkliste

• Eigener Benutzer mit sudo, Root-Anmeldung aus
• Nur SSH-Schlüssel, keine Passwörter
• Firewall mit Standard „ablehnen“
• Automatische Sicherheitsupdates aktiv
• Keine Datenbank von außen erreichbar
• Backup an einem zweiten Ort, Wiederherstellung getestet
• Überwachung mit Benachrichtigung

Quellen

1. Debian Wiki: Unattended Upgrades
2. Ubuntu: UFW
3. BSI: IT-Grundschutz