Einen neuen VPS absichern: die Checkliste, die wirklich zählt

Die ersten zehn Minuten auf einem frischen VPS entscheiden still eine Menge. Eine neue öffentliche IP wird fast sofort von automatisierten Bots angetastet — sie zielen nicht auf dich, sie scannen einfach alles. Tu nichts und du verlässt dich auf Glück. Tu vier oder fünf kleine Dinge und du hast die Türen geschlossen, die tatsächlich eingetreten werden. Hier ist die Liste, in Prioritätsreihenfolge, mit den Befehlen.

1. SSH-Schlüssel, und den Passwort-Login abschalten

Das ist das, was am meisten zählt. Wenn du dich mit einem Passwort einloggen kannst, kann es auch ein Bot, der es errät — und sie probieren Tausende pro Minute.

Von deinem Laptop, falls du noch keinen Schlüssel hast:

ssh-keygen -t ed25519 -C "you@laptop"
ssh-copy-id root@your-server-ip

Dann auf dem Server Passwörter ausschalten:

# /etc/ssh/sshd_config.d/99-hardening.conf
PasswordAuthentication no
PermitRootLogin prohibit-password

sudo systemctl reload ssh

⚠️ Teste eine zweite SSH-Sitzung, bevor du die erste schließt — wenn der Schlüssel-Login funktioniert, super; wenn nicht, hast du noch die offene Sitzung, um es zu beheben. Sich selbst auszusperren ist hier das klassische Eigentor.

2. Eine Firewall — Standard verweigern

Lege nur offen, was du meinst. Auf Ubuntu/Debian:

sudo apt install -y ufw
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow OpenSSH        # oder deinen SSH-Port
sudo ufw enable

Jetzt kann ein verirrter Dienst nicht von außen erreicht werden, es sei denn, du öffnest ihn. Das fängt das ab, was du unweigerlich vergessen wirst.

Ein Hinweis für NAT-Pläne: dein SSH landet auf einem weitergeleiteten Port, nicht 22, und du kannst keine beliebigen eingehenden Ports öffnen — die Isolation erledigt einen Teil dieses Jobs für dich. Bei einem Plan mit dedizierter IP gehören dir alle Ports, also leistet die Firewall mehr Arbeit.

3. Automatische Sicherheitsupdates

Die meisten Server, die geknackt werden, waren keine cleveren Ziele — sie betrieben einen bekannten Bug, den ein Patch bereits behoben hatte, auf einer Maschine, die niemand aktualisiert hat. Mach das Patchen automatisch:

sudo apt install -y unattended-upgrades
sudo dpkg-reconfigure -plow unattended-upgrades

Einrichten-und-Vergessen. Das ist die wertvollste Gewohnheit nach SSH-Schlüsseln.

4. fail2ban (optional, aber billig)

Mit bereits ausgeschaltetem Passwort-Login kann Brute Force nicht gewinnen — hier geht es also um das Zurechtschneiden von Rauschen und das frühe Bannen missbräuchlicher IPs statt um Kernschutz:

sudo apt install -y fail2ban
sudo systemctl enable --now fail2ban

Für die ruhigeren Logs lohnenswert; überspring es ohne Schuldgefühl, wenn du die Dinge minimal hältst.

Was du überspringen kannst

• Den SSH-Port ändern — schneidet Bot-Rauschen zurück, stoppt keinen echten Angreifer. Kosmetisch. Verwechsle es nicht mit Sicherheit.
• Aufwändiges IDS/SELinux-Tuning — Overkill für eine Einzweck-Maschine, die einen Bot oder einen Agenten betreibt. Abnehmender Ertrag.

Die ehrliche Zusammenfassung

Wenn du nur eine Sache tust, tu SSH-Schlüssel + kein Passwort-Login. Füge die Firewall und Auto-Updates hinzu und du hast die überwältigende Mehrheit des realen Risikos in deutlich unter zehn Minuten gehandhabt. Alles darüber hinaus ist Politur.

Betreibst du einen immer-aktiven Agenten oder Bot auf der Maschine? Kombiniere das mit ihn unter systemd am Leben halten, damit er Neustarts und Abstürze übersteht, nicht nur Angreifer.