Das hier gilt unabhängig davon, wer deinen Server eingerichtet hat oder ob überhaupt jemand anderes involviert war. Guter Umgang mit Zugängen ist die Grundlage, auf der jede andere Absicherung erst funktioniert.
Die beste Firewall und das sauberste Hardening bringen nichts, wenn die Zugänge selbst schlecht verwaltet werden. Das Thema wird gerne übersprungen, weil es unspektakulär klingt. Dabei ist genau das der Punkt, an dem die meisten Probleme entstehen, nicht bei irgendeiner exotischen Sicherheitslücke.
Wenn du das noch nicht umgesetzt hast: Ein Passwort lässt sich automatisiert durchprobieren, ein SSH-Key praktisch nicht. Das ist so grundlegend, dass es einen eigenen, ausführlicheren Artikel dazu gibt: Server-Hardening Checkliste. Hier geht's um das, was danach kommt.
Root sollte nie der Alltags-Account sein, weder für dich noch für sonst jemanden mit Zugriff. Stattdessen legst du einen eigenen Nutzer mit sudo-Rechten an und deaktivierst den Root-Login komplett. Wenn mehrere Leute Zugriff brauchen, Co-Admins deiner Community zum Beispiel, bekommt jede Person ihren eigenen Account mit eigenem Key, nicht einen geteilten Zugang für alle.
Der Grund ist einfach: Wenn ein geteilter Account kompromittiert wird oder jemand die Gruppe verlässt, musst du bei einem einzelnen Zugang nur einen Key austauschen, statt für alle ein neues Passwort auszugeben und zu hoffen, dass es niemand mehr irgendwo gespeichert hat.
Konkret, für einen neuen Co-Admin (Ubuntu/Debian):
adduser co-admin-name usermod -aG sudo co-admin-name
Danach den eigenen SSH-Key der Person hinzufügen, entweder mit ssh-copy-id co-admin-name@server-ip von deren Rechner aus, oder manuell:
mkdir -p /home/co-admin-name/.ssh echo "ssh-ed25519 AAAA... deren-key" >> /home/co-admin-name/.ssh/authorized_keys chown -R co-admin-name:co-admin-name /home/co-admin-name/.ssh chmod 700 /home/co-admin-name/.ssh chmod 600 /home/co-admin-name/.ssh/authorized_keys
Und wenn jemand die Gruppe verlässt oder das Vertrauen nicht mehr da ist, den Zugang genauso sauber wieder entfernen, samt Home-Verzeichnis:
deluser --remove-home co-admin-name
Das ist der ganze Vorteil gegenüber einem geteilten Account: Ein Kommando, und die Person ist komplett draußen, ohne dass du für alle anderen ein neues Passwort verteilen musst.
Nicht jeder Nutzer braucht Zugriff auf alles. Wenn du z. B. mehrere Gameserver auf einem Panel laufen hast und Freunden Zugriff auf ihren eigenen Server geben willst, gib ihnen genau die Berechtigung für diesen einen Server-Node, nicht Admin-Rechte fürs ganze Panel. Sowohl Pterodactyl als auch Crafty erlauben das granular.
Für alles, was noch ein klassisches Passwort braucht, Panel-Login, Datenbank, Hoster-Kundenkonto, gilt: ein einzigartiges, langes Passwort pro Dienst, verwaltet über einen Passwort-Manager. Kein wiederverwendetes Passwort, egal wie gut es ist. Der Grund: Wenn irgendein anderer Dienst mal gehackt wird und dein Passwort dabei leakt, testen automatisierte Bots dieses Passwort danach überall, auch bei dir. Welcher Passwort-Manager zu dir passt, hängt vom Anwendungsfall ab. Dazu gibt's einen eigenen Vergleich: Passwort-Manager im Vergleich.
Ein Passwort-Manager löst das Problem für alles außer sich selbst. Das Master-Passwort musst du dir merken, es darf nirgendwo gespeichert sein. Dafür eignet sich eine Passphrase besser als ein zufälliges Passwort: vier bis fünf zufällige, unzusammenhängende Wörter, zum Beispiel "Regenschirm-Toaster-Dienstag-Karneval-19". Lang genug für hohe Sicherheit, aber tatsächlich merkbar, im Gegensatz zu einer zufällig generierten Zeichenkette, die du dir nie im Kopf behalten würdest.
Beim Hoster-Kundenkonto ist 2FA fast wichtiger als beim Server selbst, denn wer da reinkommt, kann den ganzen Server übernehmen, neu aufsetzen oder löschen. Aktiviere 2FA überall, wo es angeboten wird: Hoster-Account, Panel (Pterodactyl und Crafty bringen TOTP-basierte Zwei-Faktor-Authentifizierung inzwischen direkt eingebaut mit, keine Erweiterung nötig), E-Mail-Postfach sowieso.
Direkt mit erledigen, sobald du 2FA einrichtest: die Recovery-Codes sichern, die dir dabei angezeigt werden, am besten im Passwort-Manager als Notiz. Der häufigste Grund, sich aus dem eigenen Account auszusperren, ist nicht ein Hack, sondern ein verlorenes oder zurückgesetztes Handy ohne aufbewahrte Backup-Codes.
Das gilt für jede Situation, in der jemand vorübergehend Zugriff auf deinen Server hatte, egal ob ein Freund kurz ausgeholfen hat oder ein Dienstleister wie ich die Einrichtung gemacht hat. Nach Abschluss alle Zugangsdaten ändern, die in dieser Zeit sichtbar waren. Kein Vertrauensproblem, einfach guter Stil, genauso wie man nach einem Handwerkerbesuch die Alarmanlagen-Codes nicht unverändert lässt, nur weil der Handwerker seriös wirkte.
Kein Hexenwerk: ein Zugang pro Person, SSH-Key statt Passwort, ein Passwort-Manager für den Rest mit einer Passphrase als Master-Passwort, 2FA plus gesicherte Recovery-Codes, enge Berechtigungen, und nach jeder Zugriffs-Weitergabe konsequent wechseln. Es scheitert fast immer nur an der Gewohnheit, nicht am Aufwand.