Ein neuer Server mit öffentlicher IP-Adresse wird binnen Minuten abgetastet. Der erste Tag ist der, an dem Sie die Basis legen, die ihn danach langweilig hält. Arbeiten Sie die Liste der Reihe nach ab und halten Sie beim Ändern der Login-Einstellungen eine zweite SSH-Sitzung offen, damit ein Fehler Sie nicht aussperrt.
Die Checkliste
- Alles aktualisieren. Paketindex aktualisieren, alle Sicherheitsupdates einspielen, bei geändertem Kernel neu starten.
- Einen Nicht-Root-Benutzer anlegen mit sudo und einen SSH-Schlüssel dafür einrichten.
- SSH härten. Passwort-Login und direkten Root-Login in
sshd_configabschalten, mitsshd -ttesten, neu laden und bestätigen, dass eine neue Sitzung funktioniert, bevor Sie die alte schließen. - Firewall einschalten mit Standard-Sperre und nur die Ports freigeben, die Sie bedienen, etwa 22, 80 und 443.
- Ungenutzte Dienste stoppen. Lauschende Ports mit
ss -tlnpauflisten und alles entfernen, was Sie nicht absichtlich installiert haben. - Automatische Sicherheitsupdates aktivieren für das Betriebssystem.
- Brute-Force-Schutz ergänzen, etwa Ratenbegrenzung oder ein Sperrwerkzeug bei wiederholten SSH-Fehlversuchen.
- Zeitsynchronisation prüfen, damit Logs und Zertifikate übereinstimmen.
- Fernverwaltung absichern. Zugriff auf die Verwaltungsschnittstelle einschränken und Standard-Zugangsdaten ändern.
- Sichern und testen. Ein Backup außerhalb des Servers einrichten und zum Beweis eine Datei wiederherstellen.
- Festhalten, was Sie getan haben, in einem kurzen Dokument: IP, Benutzer, Ports, Backup-Ziel, Verantwortlicher für Patches.
Was ab Tag eins überwacht wird
| Signal | Warum |
|---|---|
| Plattenbelegung | Eine volle Platte stoppt Datenbanken und Mail |
| Speicher und Last | Frühes Zeichen für eine zu kleine Maschine |
| RAID- oder Plattengesundheit | Ein degradiertes Array ist bis zum Rebuild ein Risiko |
| Fehlgeschlagene Logins | Zeigt Scans und Schwachstellen |
| Zertifikatsablauf | Ein abgelaufenes Zertifikat zeigt Besuchern eine Warnung |
Die Entscheidung, wer das langfristig übernimmt, steht in verwalteter oder unverwalteter Dedicated Server. Für die Datenschutzseite der Sicherheit lesen Sie DSGVO-Datensicherheit. Optionen beginnen auf der Seite Dedicated Server.
Häufige Fragen
Soll ich den SSH-Port ändern?
Es verringert Log-Rauschen, ist aber keine Sicherheitsmaßnahme. Schlüssel und Firewall leisten die Arbeit.
Reicht eine Firewall?
Nein. Sie begrenzt die Angriffsfläche. Updates, Schlüssel und Backups bleiben nötig.
Was, wenn ich mich aussperre?
Halten Sie beim Testen eine zweite Sitzung offen und wissen Sie, wie Sie die Fernverwaltungs-Konsole erreichen.
Wie oft soll ich danach patchen?
Spielen Sie Sicherheitsupdates automatisch ein und prüfen Sie den Rest nach festem Kalender, etwa wöchentlich.
