Linux Server absichern: Checkliste Schritt für Schritt

1. Halten Sie das System aktuell

Aktualisieren Sie beim ersten Verbinden mit dem Server alle Pakete:

sudo apt update && sudo apt upgrade

Sorgen Sie anschließend dafür, dass Sicherheitsupdates automatisch installiert werden:

sudo apt install unattended-upgrades
sudo dpkg-reconfigure --priority=low unattended-upgrades

unattended-upgrades installiert standardmäßig nur Sicherheitsupdates. Kernel-Updates werden erst nach einem Neustart des Servers wirksam; existiert die Datei /var/run/reboot-required, starten Sie den Server zu einem passenden Zeitpunkt neu. Unter AlmaLinux und Rocky Linux übernimmt das Paket dnf-automatic dieselbe Aufgabe.

2. Normaler Benutzer und SSH-Schlüssel

Legen Sie einen Benutzer mit sudo-Rechten an, statt ständig als root zu arbeiten, richten Sie die Anmeldung per SSH-Schlüssel ein und schalten Sie danach die Anmeldung per Passwort und als root ab:

PasswordAuthentication no
PermitRootLogin no

Bevor Sie diese Einstellungen in der Datei /etc/ssh/sshd_config vornehmen, testen Sie unbedingt in einem separaten Terminal, ob Sie sich mit dem neuen Benutzer per Schlüssel verbinden können. Alle Schritte erklären wir ausführlich in unserem Artikel Was ist SSH?.

3. Firewall

Sperren Sie standardmäßig alle eingehenden Verbindungen und öffnen Sie nur die Ports, die Sie tatsächlich nutzen:

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow OpenSSH
sudo ufw allow 443/tcp
sudo ufw enable

Vergessen Sie nicht, die Regel OpenSSH vor dem Befehl enable hinzuzufügen; sonst sperren Sie sich selbst aus. Geben Sie Dienste wie Datenbanken und Verwaltungsoberflächen nie im Internet frei; nutzen Sie für den Fernzugriff einen SSH-Tunnel oder WireGuard. Wenn Sie Docker verwenden, denken Sie daran, dass veröffentlichte Ports die ufw-Regeln umgehen; Details finden Sie in unseren Artikeln Was ist ein Port? und Docker installieren.

4. Fail2ban

Fail2ban sperrt IP-Adressen, die wiederholt fehlgeschlagene Anmeldeversuche unternehmen, automatisch für eine bestimmte Zeit. Den eigentlichen Schutz bietet bereits die Anmeldung per SSH-Schlüssel, doch Fail2ban reduziert das Rauschen in den Logs und schützt auch andere Dienste wie Nginx. Die Installation erklären wir in unserer Anleitung Fail2ban installieren.

5. Schalten Sie unnötige Dienste ab

Jeder Dienst auf dem Server, der nach außen lauscht, ist eine Tür. Sehen Sie nach, was lauscht:

sudo ss -tulpn

Sehen Sie einen Dienst, den Sie nicht kennen oder nicht nutzen, stoppen Sie ihn und verhindern Sie, dass er beim Systemstart startet:

sudo systemctl disable --now dienstname

Auch das Entfernen von Paketen, die Sie nicht verwenden, verkleinert die Angriffsfläche.

6. Führen Sie Anwendungen mit eigenen Benutzern aus

Führen Sie Webanwendungen, Bots und Gameserver nicht als root aus, sondern jeweils mit einem eigenen Benutzer. Eine Sicherheitslücke in einer Anwendung erreicht dann nur die Dateien dieses Benutzers. Seien Sie auch bei Dateiberechtigungen zurückhaltend: Einstellungen wie chmod 777, die allen Schreibrechte geben, scheinen Probleme zu lösen, sind aber eine ernste Sicherheitslücke. Berechtigungen erklären wir in unserer Anleitung Wichtige Linux-Befehle.

7. Schützen Sie Zugangsdaten

• Schreiben Sie Passwörter, API-Schlüssel und Datenbankzugänge nicht in den Code, sondern in Dateien wie .env, und fügen Sie diese Dateien nicht zum Git-Repository hinzu.
• Stellen Sie sicher, dass geheime Dateien nur vom zuständigen Benutzer gelesen werden können (chmod 600).
• Verwenden Sie für jeden Dienst und jede Person eigene Passwörter und Schlüssel; gelangt etwas nach außen, müssen Sie nur dieses eine ändern.

Wie Sie Zugangsdaten im Veröffentlichungsprozess verwalten, erklären wir in unserer Anleitung Deployment mit Git.

8. Backups

Eines Tages reichen die Sicherheitsmaßnahmen vielleicht nicht aus; dann rettet Sie ein Backup. Erstellen Sie Backups nach der 3-2-1-Regel, bewahren Sie mindestens eine Kopie verschlüsselt und unabhängig vom Server auf und testen Sie die Wiederherstellung regelmäßig. Details finden Sie in unserem Artikel Server Backup.

9. Überwachung und Audit

• Anmeldeprotokolle: last zeigt die letzten Anmeldungen, sudo journalctl -u ssh die SSH-Logs. Sehen Sie eine erfolgreiche Anmeldung von einer IP-Adresse, die Sie nicht kennen, handeln Sie sofort.
• Ressourcennutzung: Ein unbekannter Prozess, der dauerhaft CPU belegt, kann ein Zeichen für einen kompromittierten Server sein. Wie Sie das prüfen, erklären wir in unserem Artikel Server langsam?.
• Sicherheitsaudit: Das quelloffene Werkzeug Lynis prüft Ihren Server anhand Hunderter Kontrollpunkte und gibt Empfehlungen:

  sudo apt install lynis
  sudo lynis audit system
  

• Erreichbarkeit: Überwachen Sie mit einem Monitoring-Dienst, ob Ihr Server läuft; werfen Sie dazu einen Blick in unseren Artikel Was ist Uptime?.

10. Schützen Sie auch Ihr Konto

Das Konto, mit dem Sie Ihren Server verwalten, ist genauso wichtig wie der Server selbst. Aktivieren Sie im Kundenbereich Ihres Anbieters die Zwei-Faktor-Authentifizierung und verwenden Sie für jeden Dienst ein einzigartiges Passwort. Wer Zugriff auf den Kundenbereich hat, kann Ihren Server neu installieren, auf Ihre Backups zugreifen oder Passwörter zurücksetzen.

Sicherheit bei Nodesty

Mit vollem Root-Zugriff auf den AMD Ryzen 9 9950X vServern und AMD EPYC 7763 vServern von Nodesty können Sie jeden Schritt dieser Checkliste umsetzen. Der L3–L7-DDoS-Schutz durch nShield filtert Angriffe auf Netzwerkebene, bevor sie Ihren Server erreichen, kostenlose tägliche Backups mit 7 Tagen Aufbewahrung bilden Ihr letztes Sicherheitsnetz, und wenn Ihr SSH-Zugang abbricht, erreichen Sie Ihren Server jederzeit über die Webkonsole. Aktivieren Sie zusätzlich die Zwei-Faktor-Authentifizierung in Ihrem Kundenbereich, um auch Ihr Konto zu schützen.