VPS-Sicherheit: Checkliste für einen neuen Server
Scanner entdecken öffentliche VPS in wenigen Minuten. Schutz entsteht durch minimale Rechte, schnelle Updates, geschlossene Netze, unabhängige Backups und externes Monitoring.
Schutzbedarf festlegen
Statische Seite, VPN und Datenbank benötigen andere Ports und Wiederherstellungsziele. Daten, berechtigte Personen, externe Dienste sowie zulässiger Ausfall und Datenverlust müssen dokumentiert werden. Typische Risiken sind Passwortangriffe, veraltete Software, geleakte Tokens und anfällige Plugins.
Die erste Stunde
| Aktion | Zweck | Prüfung |
|---|---|---|
| System aktualisieren | Bekannte Lücken schließen | Keine kritischen Updates offen |
| Admin anlegen | Nicht dauerhaft root nutzen | sudo funktioniert |
| SSH-Schlüssel | Passwortangriffe vermeiden | Zweite Sitzung funktioniert |
| Firewall | Nur nötige Dienste öffnen | Externer Scan |
| Backup | Früher Wiederherstellungspunkt | Testdatei wiederherstellen |
SSH absichern
Persönliche, passwortgeschützte Schlüssel verwenden. Erst nach geprüftem Schlüssellogin root- und Passwortzugang abschalten. Ein anderer Port reduziert nur Lograuschen. Wenn möglich, Quelladressen per Firewall oder VPN begrenzen.
Minimale Angriffsfläche
Eingehend standardmäßig sperren. Datenbank, Redis, Metriken und interne APIs dürfen nicht öffentlich lauschen.
- Jeden offenen Socket einem Zweck zuordnen.
- Demo-Anwendungen und ungenutzte Panels entfernen.
- Docker-Ports nur bei Bedarf global veröffentlichen.
- Admin-Panels zusätzlich schützen.
- IPv6-Regeln separat prüfen.
- DDoS-Leistung des Providers verstehen.
Updates planbar durchführen
OS, Webserver, Runtime, Containerbasis und Abhängigkeiten haben eigene Zyklen. Kritische Fixes schnell, normale Updates im Wartungsfenster mit Backup und Rollback installieren. Container-Versionen fixieren, nicht blind latest nutzen.
Rechte und Secrets
Anwendungen als eigene Nicht-root-Benutzer betreiben, Datenbankrechte auf ein Schema begrenzen. Passwörter und Tokens gehören weder ins Repository noch in Dockerfiles oder Client-JavaScript. Geschützte Laufzeit-Secrets müssen rotierbar sein. Bei Leaks den Schlüssel beim Aussteller widerrufen.
Vorfälle erkennen
Verfügbarkeit, Zertifikatsablauf, Speicher, CPU, RAM, Fehler und Backupstatus extern überwachen. Unbekannte Benutzer, Schlüssel, Prozesse oder ausgehender Traffic sind Warnzeichen. Bei ernstem Verdacht Host isolieren, externe Secrets wechseln und sauber neu aufbauen.
Häufige Fragen
Braucht Linux Antivirus?
Für Mail oder Uploads kann es helfen, ersetzt aber Updates und minimale Rechte nicht.
Reicht ein anderer SSH-Port?
Nein. Schlüssel, gesperrter root-/Passwortzugang und Firewall sind entscheidend.
Wie oft sichern?
Aus dem zulässigen Datenverlust ableiten; eine tägliche Kopie reicht nicht bei stündlichem RPO.
DDoS selbst abwehren?
Nicht bei überlasteter Zuleitung. Dann ist Provider- oder Proxy-Schutz nötig.
Weiter: VPS-Backup und Restore.