Was ist SSH? So verbinden Sie sich mit Ihrem Server

Wie funktioniert SSH?

SSH folgt dem Client-Server-Prinzip. Auf dem Server lauscht ein SSH-Server (sshd) standardmäßig auf TCP-Port 22. Mit dem SSH-Client auf Ihrem Rechner verbinden Sie sich mit diesem Port.

Beim Verbindungsaufbau einigen sich beide Seiten zunächst auf Schlüssel für die Verschlüsselung; ab da ist der gesamte Verkehr verschlüsselt. Danach prüft der Server, wer Sie sind. Dafür gibt es zwei Wege:

• Anmeldung per Passwort: Sie geben Benutzername und Passwort ein. Einfach, aber anfällig für Angriffe, die Passwörter durchprobieren.
• Anmeldung per Schlüssel: Sie erzeugen auf Ihrem Rechner ein Schlüsselpaar. Den öffentlichen Schlüssel legen Sie auf dem Server ab, den privaten Schlüssel behalten Sie. Der Server prüft, dass Sie den privaten Schlüssel besitzen, ohne dass dieser je übertragen wird. Das ist deutlich sicherer.

Der Fingerabdruck des Servers

Beim ersten Verbinden mit einem Server sehen Sie diese Meldung:

The authenticity of host '203.0.113.10' can't be established.
ED25519 key fingerprint is SHA256:...
Are you sure you want to continue connecting (yes/no)?

Sie speichern damit zum ersten Mal die Identität des Servers. Mit yes landet der Fingerabdruck in der Datei known_hosts auf Ihrem Rechner. Ändert er sich bei einer späteren Verbindung, warnt SSH Sie; das kann bedeuten, dass der Server neu installiert wurde oder sich jemand dazwischengeschaltet hat.

So verbinden Sie sich per SSH mit Ihrem Server

Sie brauchen drei Angaben: die IP-Adresse des Servers, den Benutzernamen (bei neuen Servern meist root) und ein Passwort oder einen Schlüssel. Bei Nodesty stehen diese Daten nach der Einrichtung im Kundenpanel und kommen zusätzlich per E-Mail.

Unter Windows

Windows 10 und 11 brauchen keine Zusatzsoftware. Öffnen Sie PowerShell oder die Eingabeaufforderung und geben Sie ein:

ssh root@203.0.113.10

Bei der Passwortabfrage erscheinen beim Tippen keine Zeichen; das ist normal. Passwort eingeben und Enter drücken. Wer lieber eine grafische Oberfläche nutzt, greift zu PuTTY oder Windows Terminal.

Unter macOS und Linux

Öffnen Sie das Terminal und führen Sie denselben Befehl aus:

ssh root@203.0.113.10

Läuft SSH nicht auf Port 22, geben Sie den Port mit -p an:

ssh -p 2222 root@203.0.113.10

Mit exit beenden Sie die Verbindung.

SSH-Schlüssel erstellen

Die Anmeldung per Schlüssel ist sicherer und bequemer, weil Sie kein Passwort mehr eintippen. Erzeugen Sie auf Ihrem Rechner einen modernen, kompakten ed25519-Schlüssel:

ssh-keygen -t ed25519 -C "mein-laptop"

Der Befehl fragt, wo der Schlüssel gespeichert werden soll und ob Sie eine Passphrase möchten. Wir empfehlen eine: Selbst wenn Ihr Laptop gestohlen wird, ist der private Schlüssel allein dann nutzlos. Danach gibt es zwei Dateien:

• ~/.ssh/id_ed25519: der private Schlüssel. Geben Sie ihn niemals weiter.
• ~/.ssh/id_ed25519.pub: der öffentliche Schlüssel. Diesen hinterlegen Sie auf Servern.

Den öffentlichen Schlüssel auf dem Server hinterlegen

Unter macOS und Linux genügt ein Befehl:

ssh-copy-id root@203.0.113.10

Windows hat kein ssh-copy-id; nutzen Sie stattdessen in PowerShell:

type $env:USERPROFILE\.ssh\id_ed25519.pub | ssh root@203.0.113.10 "mkdir -p ~/.ssh && cat >> ~/.ssh/authorized_keys"

Ab jetzt meldet ssh root@203.0.113.10 Sie ohne Passwort an.

SSH absichern: die ersten Schritte

Jeder aus dem Internet erreichbare Server wird wenige Minuten nach dem Start von automatisierten Passwort-Angriffen getroffen. Hunderte fehlgeschlagene Versuche in /var/log/auth.log sind völlig normal. Mit diesen Schritten laufen die Angriffe ins Leere:

1. Einen normalen Benutzer anlegen. Statt dauerhaft als root zu arbeiten, legen Sie einen Benutzer mit sudo-Rechten an und tragen Ihren öffentlichen Schlüssel in dessen ~/.ssh/authorized_keys ein.
2. Die Schlüssel-Anmeldung testen. Gehen Sie erst weiter, wenn Sie sich in einem zweiten Terminal als neuer Benutzer anmelden können.
3. Passwort- und Root-Login abschalten. Setzen Sie in /etc/ssh/sshd_config diese Zeilen:

   PasswordAuthentication no
   PermitRootLogin no
   

   
   Starten Sie den Dienst danach mit sudo systemctl restart ssh neu. Auf manchen Distributionen heißt der Dienst sshd.
4. SSH in der Firewall offen lassen. Mit ufw führen Sie vor dem Aktivieren der Firewall sudo ufw allow OpenSSH aus, sonst sperren Sie sich aus.
5. Fail2ban installieren. Es sperrt IP-Adressen, die sich wiederholt erfolglos anmelden, für eine gewisse Zeit.

SSH von Port 22 auf eine andere Nummer zu verlegen, reduziert das Rauschen in den Logs, ist für sich allein aber keine Sicherheitsmaßnahme. Der eigentliche Schutz ist die Anmeldung per Schlüssel.

Sollten Sie sich doch aussperren: Die Webkonsole (VNC) im Nodesty-Kundenpanel zeigt Ihnen den Bildschirm des Servers unabhängig von SSH, dort können Sie die Einstellung korrigieren.

Häufige SSH-Fehler

• Connection refused: Der SSH-Dienst läuft nicht, oder Sie nutzen den falschen Port. Prüfen Sie den Dienst über die Webkonsole mit systemctl status ssh.
• Connection timed out: Der Server ist überhaupt nicht erreichbar. Prüfen Sie IP-Adresse, ob der Server läuft und ob der SSH-Port in der Firewall offen ist.
• Permission denied (publickey): Der Server erwartet einen Schlüssel, Sie senden aber nicht den richtigen. Prüfen Sie, ob der öffentliche Schlüssel in der authorized_keys des richtigen Benutzers steht und die Rechte stimmen (700 für ~/.ssh, 600 für authorized_keys).
• REMOTE HOST IDENTIFICATION HAS CHANGED: Der Fingerabdruck des Servers hat sich geändert. Haben Sie den Server neu installiert, ist das erwartbar; entfernen Sie den alten Eintrag mit ssh-keygen -R 203.0.113.10 und verbinden Sie sich neu. Haben Sie nichts geändert, ist Vorsicht angebracht.

Wann brauchen Sie SSH?

SSH ist das Grundwerkzeug für jeden Linux-Server, den Sie selbst verwalten, ob vServer, dedizierter Server oder Gameserver. Beim Webhosting verwaltet dagegen der Anbieter den Server; Sie arbeiten mit Control Panel und FTP und brauchen kein SSH.

Die Tarife AMD Ryzen 9 9950X vServer und AMD EPYC 7763 vServer von Nodesty kommen mit vollem Root-Zugang. Unter Ubuntu, Debian und AlmaLinux ist OpenSSH vorinstalliert, Ihre Zugangsdaten stehen nach der Einrichtung sofort im Panel, und die Webkonsole ist jederzeit da, falls der SSH-Zugang einmal klemmt.