Linux-Server absichern: die ersten Schritte

Ein neuer Server mit öffentlicher IP wird innerhalb von Minuten von Bots gescannt. Diese Schritte für Ubuntu und Debian solltest du direkt nach der Installation erledigen. Wie du dich verbindest, steht in Mit SSH verbinden.

1. System aktualisieren

apt update && apt full-upgrade -y

Automatische Sicherheitsupdates schaltest du so ein:

apt install -y unattended-upgrades
dpkg-reconfigure -plow unattended-upgrades

2. Eigenen Benutzer anlegen

Arbeite im Alltag nicht als root:

adduser max
usermod -aG sudo max

Unter Debian fehlt sudo manchmal. Dann installierst du es vorher mit apt install -y sudo.

3. SSH-Key statt Passwort

Richte einen Schlüssel ein und schalte den Passwort-Login ab. Wie das geht, steht in SSH-Key einrichten. Optional kannst du SSH zusätzlich auf einen anderen Port legen. Das hält vor allem die Logs sauber.

4. Firewall einschalten

Erlaube nur, was du brauchst. Mit UFW:

apt install -y ufw
ufw allow OpenSSH
ufw enable

Achtung: OpenSSH steht für Port 22. Läuft SSH bei dir auf einem anderen Port, gib vor ufw enable diesen frei, etwa mit ufw allow 2222/tcp. Sonst sperrst du dich aus.

Mehr dazu in Firewall mit UFW einrichten.

5. Fail2ban gegen Login-Versuche

Fail2ban sperrt IPs, die zu oft falsche Logins versuchen:

apt install -y fail2ban
systemctl enable --now fail2ban

Unter Ubuntu und Debian 13 schützt die Standardeinstellung SSH bereits. In zwei Fällen brauchst du zusätzlich die Datei /etc/fail2ban/jail.local:

• Debian 12: Fail2ban sucht dort die Logdatei /var/log/auth.log, die es meist nicht gibt, und startet dann nicht. Das siehst du mit systemctl status fail2ban. Abhilfe ist die Zeile backend = systemd.
• SSH auf einem anderen Port: Ohne die Zeile port sperrt Fail2ban Angreifer nur für Port 22.

[sshd]
backend = systemd
port = 2222

Übernimm außer [sshd] nur die Zeilen, die du brauchst, und starte Fail2ban neu:

systemctl restart fail2ban

Gesperrte Adressen zeigt fail2ban-client status sshd.

6. Nur nötige Dienste laufen lassen

Welche Ports offen sind, zeigt:

ss -tulpen

Alles, was du nicht kennst oder nicht brauchst, deinstallierst oder stoppst du.

7. Backups

Sicherheit heißt auch, nach einem Fehler zurückzukönnen. Sichere wichtige Daten regelmäßig und nicht nur auf demselben Server, wie in Automatische Backups einrichten beschrieben. Falls doch alles schiefgeht, kannst du den Server im Panel neu aufsetzen.