Server-Hardening: Die Checkliste für Fortgeschrittene

1System aktuell halten

Der Klassiker, aber er wird trotzdem oft übersprungen. Ein aktuelles System schließt bekannte Sicherheitslücken, für die längst Exploits im Umlauf sind.

apt update && apt upgrade -y

Für automatische Sicherheitsupdates zusätzlich:

apt install unattended-upgrades -y
dpkg-reconfigure --priority=low unattended-upgrades

2SSH-Key statt Passwort

Erzeuge auf deinem eigenen Rechner ein Schlüsselpaar (falls noch nicht vorhanden) und kopiere den öffentlichen Schlüssel auf den Server:

ssh-keygen -t ed25519 -C "dein-server"
ssh-copy-id benutzername@deine-server-ip

Danach in /etc/ssh/sshd_config Passwort-Login und Root-Login per SSH deaktivieren:

PasswordAuthentication no
PermitRootLogin no

systemctl restart ssh

(Auf Ubuntu/Debian heißt der Dienst ssh, nicht sshd — auf manchen anderen Distributionen wie CentOS/RHEL ist es umgekehrt. Falls ssh nicht gefunden wird, systemctl status ssh sshd zur Kontrolle.)

Ab jetzt kommt niemand mehr per Passwort-Brute-Force auf den Server, der Schlüssel lässt sich praktisch nicht erraten.

3Firewall einrichten (UFW)

Nur die Ports freigeben, die du wirklich brauchst, alles andere bleibt zu:

apt install ufw -y
ufw allow OpenSSH
ufw allow 25565/tcp   # Beispiel: Minecraft
ufw enable

Ersetze 25565 durch den tatsächlichen Port deines Gameservers oder Panels. Mit ufw status prüfst du danach, welche Regeln aktiv sind.

4Fail2ban gegen automatisierte Login-Versuche

Fail2ban sperrt IP-Adressen automatisch temporär, wenn sie zu oft fehlgeschlagene Login-Versuche produzieren:

apt install fail2ban -y
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

In /etc/fail2ban/jail.local im Abschnitt [sshd] aktivieren und Werte nach Bedarf anpassen, z. B.:

[sshd]
enabled = true
maxretry = 4
bantime = 1h
findtime = 10m

systemctl restart fail2ban

5Unnötige Dienste deaktivieren

Alles, was nicht läuft, kann auch nicht angegriffen werden. Prüfe, was auf dem Server aktiv ist, und schalte ab, was du nicht brauchst:

systemctl list-unit-files --state=enabled

systemctl disable --now dienstname

6SSH-Port ändern (optional)

Kein echter Sicherheitsgewinn im klassischen Sinn, aber es reduziert die schiere Masse an automatisierten Scan- und Brute-Force-Versuchen spürbar, weil die meisten Bots stur Port 22 abklappern. In sshd_config:

Port 2222

Nicht vergessen, den neuen Port in der Firewall freizugeben, bevor du den alten schließt, sonst sperrst du dich selbst aus.

Wenn dir das zu viel Bastelei ist oder du es einfach nicht selbst machen willst: Genau das übernehme ich im Rahmen der Server-Absicherung, inklusive kurzer Einweisung, was ich eingerichtet habe und warum.