UFW (Uncomplicated Firewall) ist eine benutzerfreundliche Oberfläche für die Linux-Netfilter-Firewall, Standard bei Ubuntu und Debian. Statt rohe iptables-Regeln zu schreiben, sagst du einfach so etwas wie 'allow 443', und UFW erledigt den Rest. Es ist der schnellste Weg zu einer vernünftigen Default-Deny-Firewall.

Warum muss ich SSH erlauben, bevor ich UFW aktiviere?

Weil in dem Moment, in dem du eine Default-Deny-Firewall aktivierst, jeder nicht ausdrücklich erlaubte Port blockiert wird — auch Port 22. Aktivierst du UFW, ohne vorher SSH zu erlauben, überlebt zwar deine aktuelle Verbindung, aber dein nächster Login wird verweigert, und du bist ausgesperrt. Führe immer 'ufw allow OpenSSH' (oder 'ufw allow 22/tcp') aus, bevor du 'ufw enable' ausführst.

Welche Ports sollte ich öffnen?

Nur die, die du tatsächlich nutzt. SSH (22), um die Maschine zu verwalten; 80 und 443, wenn du eine Website oder einen Reverse-Proxy betreibst; und jene spezifischen Ports, die deine App braucht. Alles andere bleibt zu. Je weniger offene Ports, desto kleiner deine Angriffsfläche.

Schützt UFW vor allem?

Nein — es steuert, welche Ports Verbindungen annehmen, was ein großer Teil der Aufgabe ist, aber es prüft nicht den Traffic auf Ports, die du geöffnet hast. Kombiniere es mit SSH-Schlüsseln, fail2ban gegen Brute-Force-Angriffe und regelmäßigen Software-Updates. Eine Firewall ist eine Schicht, nicht die ganze Mauer.

Wie prüfe ich, was aktuell erlaubt ist?

Führe 'sudo ufw status verbose' aus. Es listet jede aktive Regel auf und ob UFW aktiviert ist. Prüfe es nach jeder Änderung, damit du immer genau weißt, was offen ist.

Wie man eine UFW-Firewall auf einem VPS konfiguriert

Richte eine einfache, wirksame Firewall mit UFW ein: erlaube zuerst SSH (damit du dich nicht aussperrst), öffne nur die Ports, die du brauchst, und aktiviere sie. Eine saubere Default-Deny-Firewall in einer Handvoll Befehle.

Eine Firewall entscheidet, welche Ports auf deinem Server Verbindungen von außen annehmen. Alles, was du nicht ausdrücklich öffnest, sollte geschlossen sein — das ist Default-Deny, und es schrumpft deine Angriffsfläche auf genau die Dienste, die du tatsächlich betreibst. UFW macht das einfach. Das Einzige, worauf es ankommt, ist die Reihenfolge: erlaube SSH, bevor du die Firewall einschaltest, sonst sperrst du dich selbst aus.

1. UFW installieren (meist bereits vorhanden)

sudo apt update && sudo apt install -y ufw

2. Erlaube SSH ZUERST — vor allem anderen

Das ist der Schritt, der eine Aussperrung verhindert. Mach das vor enable:

sudo ufw allow OpenSSH
# oder, falls du einen benutzerdefinierten SSH-Port nutzt:
# sudo ufw allow 22/tcp

3. Öffne nur die Ports, die du brauchst

sudo ufw allow 80/tcp     # HTTP, falls du eine Website bereitstellst
sudo ufw allow 443/tcp    # HTTPS
# füge app-spezifische Ports nur bei Bedarf hinzu, z. B.:
# sudo ufw allow 51820/udp   # WireGuard VPN

4. Standardrichtlinie setzen und aktivieren

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw enable           # fragt nach Bestätigung

5. Überprüfen

sudo ufw status verbose

Du solltest sehen, dass SSH und deine gewählten Ports erlaubt sind, alles andere verweigert. Prüfe das nach jeder Änderung.

Häufige Aufgaben

sudo ufw allow 3000/tcp        # einen Port öffnen
sudo ufw delete allow 3000/tcp # ihn wieder schließen
sudo ufw status numbered       # Regeln mit Nummern auflisten
sudo ufw delete 2              # Regel Nr. 2 löschen
sudo ufw disable               # die Firewall ausschalten

Ehrliche Warnungen

Erlaube SSH, bevor du ufw enable ausführst. Das ist der eine Fehler, der Leute aus ihrem eigenen Server aussperrt. Passiert es doch, bringt dich eine Anbieter-Konsole zurück — EQVPS gibt jedem VPS genau dafür eine Browser-Konsole.
Eine Firewall ist eine Schicht. Sie steuert offene Ports, nicht was auf ihnen passiert. Kombiniere sie mit SSH-Schlüssel-Authentifizierung und fail2ban.
Bei NAT-Tarifen funktionieren eingehende Ports anders — eine Firewall auf der Maschine hilft trotzdem, aber nur ein Dedicated-IP-Tarif nimmt beliebige eingehende Verbindungen an.

Nächste Schritte

Eine Firewall plus Schlüssel ist der Großteil einer gehärteten Maschine. Schließe ab mit der Sicherheits-Checkliste für einen neuen VPS. Öffnest du 443 für eine Web-App? Sieh dir wie man einen nginx-Reverse-Proxy mit HTTPS einrichtet an.