Ein frischer VPS wird innerhalb von Minuten nach dem Online-Gang gescannt und abgeklopft. Die gute Nachricht: Eine Stunde geordneter Härtung stoppt die überwältigende Mehrheit der opportunistischen Angriffe. Das ist die Checkliste, in der Reihenfolge, die zählt, für einen neuen, auf Privatsphäre ausgerichteten Server.
1. Zuerst SSH absichern
Erstellen Sie einen Non-Root-Benutzer mit sudo, fügen Sie Ihren öffentlichen Schlüssel hinzu und deaktivieren Sie anschließend die Passwort-Authentifizierung sowie den Root-Login in sshd_config (PasswordAuthentication no, PermitRootLogin no). Reines SSH mit Schlüsseln allein schlägt bereits das Passwort-Raten, das den Großteil des Rauschens ausmacht, das auf Ihren Server einprasselt. Starten Sie SSH neu und bestätigen Sie, dass eine neue Sitzung funktioniert, bevor Sie Ihre aktuelle schließen.
2. Eine Firewall davorsetzen
Standardmäßig eingehenden Verkehr verweigern, nur erlauben, was Sie brauchen. Mit ufw: eingehend verweigern, ausgehend erlauben, dann Ihren SSH-Port sowie die konkreten Dienst-Ports öffnen, die Sie betreiben. Eine Firewall macht aus „jeder offene Port ist ein Ziel" ein „nur die Türen, die ich gewählt habe, existieren" – das verkleinert die Angriffsfläche drastisch.
3. fail2ban hinzufügen
fail2ban installieren, um Auth-Logs zu beobachten und IPs, die wiederholt scheitern, vorübergehend zu sperren. Selbst mit reinem SSH über Schlüssel reduziert es das Log-Rauschen und stumpft Brute-Force-Versuche gegen jeden Dienst ab, den Sie exponieren. Die Standardeinstellungen sind sinnvoll; aktivieren Sie den sshd-Jail und alle Jails für Dienste, die Sie betreiben.
4. Automatische Sicherheitsupdates aktivieren
Aktivieren Sie unattended-upgrades (Debian/Ubuntu), damit Sicherheitspatches eintreffen, ohne dass Sie daran denken müssen. Der mit Abstand häufigste Weg, wie Server kompromittiert werden, ist eine bekannte Schwachstelle, für die bereits ein Patch verfügbar war – automatisierte Updates schließen dieses Zeitfenster, während Sie schlafen.
5. Die Angriffsfläche reduzieren
Deinstallieren Sie Dienste, die Sie nicht nutzen, binden Sie lokal genutzte Daemons an 127.0.0.1, und prüfen Sie mit ss -tlnp, was lauscht. Jeder lauschende Dienst ist ein potenzieller Einstiegspunkt; je weniger Sie betreiben und exponieren, desto weniger gibt es anzugreifen. Richten Sie anschließend Backups außerhalb des Servers ein, damit eine Kompromittierung wiederherstellbar ist statt katastrophal.
Die Stunde, zusammengefasst
Reines SSH mit Schlüsseln, eine standardmäßig verweigernde Firewall, fail2ban, automatische Updates und eine minimale lauschende Oberfläche. Nichts davon ist exotisch, alles davon ist schnell, und zusammen stoppt es die automatisierten Angriffe, die für nahezu alle realen Kompromittierungen verantwortlich sind. Erledigen Sie das, bevor Sie irgendetwas deployen, das wichtig ist.