Sichern Sie Ihren VPS: Eine Checkliste für die ersten 10 Minuten

Geschrieben vom ApexVPS-Team • Zuletzt aktualisiert: Juli 2026 • 9 Min. Lesezeit

Ein frischer Linux-VPS wird innerhalb von Minuten nach dem Hochfahren von automatisierten Bots gescannt. Der intelligenteste erste Schritt ist daher, eine kurze, wiederholbare Checkliste zur VPS-Sicherung durchzugehen, bevor Sie etwas anderes installieren. Diese Anleitung ist diese Checkliste: eine praktische Routine für die ersten 10 Minuten, die Sie auf jedem neuen Ubuntu- oder Debian-Server befolgen können, um einen Nicht-Root-Benutzer zu erstellen, SSH zu sichern, eine Firewall zu aktivieren und Brute-Force-Anmeldungen zu verhindern. Alle unten aufgeführten Befehle sind Standard und sicher zu kopieren, und keiner benötigt spezielle Werkzeuge – nur Ihr Terminal und ein paar Minuten.

Arbeiten Sie die Schritte der Reihe nach durch. Jeder baut auf dem letzten auf, und am Ende haben Sie einen Server, der deutlich schwerer zu knacken ist als das Standard-Image, mit dem Sie gestartet sind.

Warum die Eile? Der öffentliche IPv4-Raum wird kontinuierlich gescannt. Suchmaschinen für internetverbundene Geräte sowie unzählige Botnetze katalogisieren neue Hosts und versuchen rund um die Uhr Standard-Anmeldedaten. Der Abstand zwischen "Server ist live" und "Server wird angegriffen" wird in Minuten gemessen, nicht in Tagen. Zehn konzentrierte Minuten für diese Grundlagen entfernen Sie aus dem Pool einfacher Ziele, den automatisierte Werkzeuge ausnutzen, und es kostet nichts außer Ihrer Aufmerksamkeit.

Bevor Sie beginnen

Sie benötigen SSH-Zugriff auf Ihren neuen Server und die IP-Adresse, die Ihr Anbieter Ihnen per E-Mail gesendet hat. Bei ApexVPS ist bei jedem Plan voller Root-Zugriff enthalten, sodass Sie diesen gesamten Härtungsprozess selbst durchführen können. Öffnen Sie ein Terminal und verbinden Sie sich als root (oder als Standardbenutzer, den Ihr Image erstellt hat):

ssh root@your_server_ip

Eine Regel ist wichtiger als alle anderen: Deaktivieren Sie niemals eine Anmeldemethode, bevor Sie bestätigt haben, dass der Ersatz funktioniert. Halten Sie Ihre erste SSH-Sitzung geöffnet, während Sie eine zweite testen. Wenn etwas schiefgeht, ist diese offene Sitzung Ihr Sicherheitsnetz.

Schritt 1 – System aktualisieren

Gepatchte Software ist die Grundlage jeder VPS-Sicherheitscheckliste. Beginnen Sie damit, den Paketindex zu aktualisieren und die neuesten Sicherheitsupdates zu installieren:

sudo apt update && sudo apt upgrade -y

Bei einem brandneuen Image werden oft dutzende Updates heruntergeladen, einschließlich Kernel- und OpenSSH-Patches. Wenn der Kernel aktualisiert wurde, planen Sie einen Neustart mit sudo reboot ein, sobald der Rest der Checkliste erledigt ist.

Schritt 2 – Einen Nicht-Root-Benutzer mit sudo erstellen

Direkt als root zu arbeiten ist riskant: Ein einziger Tippfehler führt einen Befehl mit uneingeschränkten Rechten aus, und root ist das erste Konto, das jeder Angreifer probiert. Erstellen Sie einen dedizierten Benutzer und gewähren Sie ihm administrative Rechte über sudo:

adduser deploy
usermod -aG sudo deploy

Der erste Befehl erstellt das Konto und fragt nach einem Passwort; der zweite fügt es der Gruppe sudo hinzu. Ersetzen Sie deploy durch einen beliebigen Namen. Von nun an melden Sie sich als dieser Benutzer an und erweitern die Rechte nur, wenn ein bestimmter Befehl es erfordert.

Schritt 3 – SSH-Key-Authentifizierung einrichten

Passwörter können erraten werden; SSH-Keys praktisch nicht. Generieren Sie ein modernes Ed25519-Schlüsselpaar auf Ihrem lokalen Rechner (nicht auf dem Server):

ssh-keygen -t ed25519 -C "[email protected]"

Akzeptieren Sie den Standardpfad und setzen Sie idealerweise eine Passphrase. Kopieren Sie dann den öffentlichen Teil auf Ihren neuen Benutzer auf dem Server:

ssh-copy-id deploy@your_server_ip

Wenn ssh-copy-id nicht verfügbar ist, erstellen Sie das Verzeichnis und die Datei von Hand auf dem Server, fügen Sie Ihren öffentlichen Schlüssel in ~/.ssh/authorized_keys ein und korrigieren Sie die Berechtigungen:

mkdir -p ~/.ssh
chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

Öffnen Sie nun ein neues Terminal und bestätigen Sie, dass Sie sich ohne Passwort anmelden können: ssh deploy@your_server_ip. Fahren Sie erst fort, wenn das funktioniert – der nächste Schritt hängt davon ab.

Schritt 4 – SSH härten: Root-Login und Passwörter deaktivieren

Nachdem der Key-Login bewiesen ist, schalten Sie die schwächeren Optionen ab. Bearbeiten Sie die SSH-Daemon-Konfiguration:

sudo nano /etc/ssh/sshd_config

Setzen (oder kommentieren Sie aus und ändern Sie) diese drei Direktiven:

PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes

Validieren Sie die Datei, bevor Sie sie anwenden, und starten Sie dann den Dienst neu:

sudo sshd -t
sudo systemctl restart ssh

Der sshd -t-Check fängt Tippfehler, die Sie sonst aussperren könnten. Nach dem Neustart testen Sie eine neue Verbindung in einem separaten Terminal. Root-Login über SSH und Passwortraten sind jetzt beide vom Tisch.

SSH-Port ändern (optional)

SSH von Port 22 zu verschieben, wird einen entschlossenen Angreifer nicht aufhalten, aber es verbirgt Sie vor dem ständigen Hintergrundrauschen von Bots, die nur den Standardport scannen. Wenn Sie es möchten, fügen Sie eine Zeile wie Port 2222 zu /etc/ssh/sshd_config hinzu. Wichtig: Öffnen Sie den neuen Port in Ihrer Firewall (nächster Schritt) bevor Sie SSH neu starten, sonst sind Sie ausgesperrt.

Schritt 5 – Firewall mit UFW aktivieren

Eine Firewall stellt sicher, dass nur die Ports erreichbar sind, die Sie beabsichtigen zu öffnen. Ubuntu und Debian werden mit UFW (Uncomplicated Firewall) ausgeliefert, die genau das hält, was ihr Name verspricht. Setzen Sie eine sinnvolle Standardrichtlinie und erlauben Sie SSH, bevor Sie sie aktivieren:

sudo apt install ufw -y
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow OpenSSH
sudo ufw enable
sudo ufw status verbose

Das Profil OpenSSH öffnet Port 22. Wenn Sie SSH im vorherigen Schritt verschoben haben, erlauben Sie stattdessen den neuen Port mit sudo ufw allow 2222/tcp. Betreiben Sie eine Website? Fügen Sie HTTP und HTTPS hinzu:

sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

Alles andere bleibt standardmäßig geschlossen, was genau das ist, was Sie auf einem öffentlichen Server wollen.

Schritt 6 – fail2ban installieren, um Brute-Force-Angriffe zu stoppen

Selbst mit Keys werden Angreifer weiterhin gegen Ihren SSH-Port hämmern. fail2ban überwacht Ihre Logs und bannt vorübergehend jede IP, die zu oft scheitert. Installieren und aktivieren Sie es:

sudo apt install fail2ban -y
sudo systemctl enable --now fail2ban

Um die Regeln anzupassen, kopieren Sie die Standardkonfiguration in eine lokale Override-Datei, damit Updates Ihre Änderungen nie überschreiben, und bearbeiten Sie sie dann:

sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
sudo nano /etc/fail2ban/jail.local

Im Abschnitt [sshd] können Sie Werte wie maxretry und bantime anpassen. Laden Sie mit sudo systemctl restart fail2ban neu und prüfen Sie mit sudo fail2ban-client status sshd, wer aktuell gesperrt ist.

Schritt 7 – Automatische Sicherheitsupdates aktivieren

Sicherheitslücken werden ständig entdeckt, und die schmerzhaften sind die Patches, die Sie nie angewendet haben. Das Paket unattended-upgrades installiert wichtige Updates für Sie nach einem Zeitplan:

sudo apt install unattended-upgrades -y
sudo dpkg-reconfigure -plow unattended-upgrades

Wählen Sie bei der Nachfrage „Ja“, und Ubuntu oder Debian wendet Sicherheitsupdates im Hintergrund an. Dieser einzelne Schritt schließt die Lücke zwischen der Offenlegung einer Schwachstelle und dem Schutz Ihres Servers.

Schritt 8 – Nicht verwendete Dienste deaktivieren und grundlegende Härtung

Jeder Dienst, der im Netzwerk lauscht, ist ein potenzieller Einstiegspunkt. Entfernen Sie also alles, was Sie nicht benötigen. Listen Sie auf, was tatsächlich läuft und was an einem Port gebunden ist:

sudo systemctl list-units --type=service --state=running
sudo ss -tulpn

Wenn Sie einen Dienst entdecken, den Sie nicht nutzen, deaktivieren und stoppen Sie ihn:

sudo systemctl disable --now <service-name>

Ein paar weitere schnelle Erfolge runden die Checkliste ab:

Für einen tieferen, framework-basierten Blick auf sichere Konfiguration veröffentlicht die OWASP Foundation weithin geschätzte Härtungs- und Sicherheitsrichtlinien, die Sie sich merken sollten, wenn Ihre Umgebung wächst.

Ihre 10-Minuten-Checkliste auf einen Blick

Bewahren Sie diese Zusammenfassung griffbereit auf – sie ist die gesamte Routine zur Absicherung eines VPS in Checklistenform, sodass Sie sie bei jedem neuen Server in wenigen Minuten wiederholen können:

  1. Aktualisieren Sie alle Pakete und starten Sie neu, wenn sich der Kernel geändert hat.
  2. Erstellen Sie einen Nicht-Root-Benutzer und fügen Sie ihn zur Gruppe sudo hinzu.
  3. Generieren Sie einen Ed25519-SSH-Schlüssel und kopieren Sie den öffentlichen Schlüssel auf den Server.
  4. Bestätigen Sie die schlüsselbasierte Anmeldung in einem zweiten Terminal.
  5. Deaktivieren Sie Root-Login und Passwortauthentifizierung in sshd_config.
  6. Optional: Verschieben Sie SSH auf einen nicht standardmäßigen Port.
  7. Aktivieren Sie UFW, verweigern Sie eingehende Verbindungen standardmäßig und erlauben Sie nur die Ports, die Sie nutzen.
  8. Installieren Sie fail2ban, um Brute-Force-Versuche automatisch zu sperren.
  9. Aktivieren Sie unbeaufsichtigte Sicherheitsupgrades.
  10. Deaktivieren Sie ungenutzte Dienste und überprüfen Sie, was lauscht.

Keiner dieser Schritte ist für sich genommen schwierig, aber jeden auszulassen hinterlässt eine offensichtliche Lücke. Zusammen bilden sie eine solide Basis, die die überwältigende Mehrheit opportunistischer Angriffe stoppt. Von hier aus können Sie Extras hinzufügen, wenn Ihre Anforderungen wachsen – einen Reverse-Proxy mit TLS, ein Eindringungserkennungstool, pro Dienst Isolation mit Containern oder ein Off-Server-Backup zusätzlich zu den Provider-Snapshots.

Wie ApexVPS Ihre Härtung ergänzt

Die obige Checkliste härtet das Betriebssystem, aber einige Bedrohungen liegen darunter. Volumetrische Angriffe und Hardwarefehler werden auf der Infrastrukturebene behandelt, und hier kommt es auf Ihren Provider an. Jeder ApexVPS-Plan umfasst immer aktiven DDoS-Schutz, sodass ein Verkehrsanstieg absorbiert wird, bevor er Ihre Firewall erreicht, plus automatisierte Backups – täglich bei Starter Pro und stündliche Snapshots bei Business und Enterprise – sodass ein Fehler oder Kompromiss nie bedeutet, von Null anzufangen. Rund-um-die-Uhr-Überwachung und wirklich dedizierte CPU und RAM bedeuten, dass ein lauter Nachbar Sie weder verlangsamen noch zu Ihrem Problem werden kann.

Die vollständigen Schutzfunktionen findest du in der ApexVPS-Funktionsübersicht, und einen Vergleich der enthaltenen Leistungen jeder Stufe auf der VPS-Tarif- und Preisseite. Wenn du einen Server gezielt für deine eigenen Apps härten möchtest, passt unser Self-Hosting-VPS-Guide gut zu dieser Checkliste. Die Anmeldung ist reine E-Mail-Adresse und die Bezahlung erfolgt ausschließlich in Kryptowährung über OxaPay — Bitcoin, Ethereum, USDT und 30+ weitere Coins, ohne Kreditkarte, ohne Bankkonto und ohne KYC.

Häufig gestellte Fragen

Was ist das Erste, das man tun sollte, um einen neuen VPS abzusichern?

Aktualisiere alle Pakete mit sudo apt update && sudo apt upgrade -y, und erstelle dann einen Nicht-Root-Benutzer mit Sudo-Rechten, damit du dich nicht mehr als Root anmeldest. Diese beiden Schritte schließen die häufigsten und schädlichsten Angriffspfade, bevor du irgendetwas anderes konfigurierst.

Sollte ich den Standard-SSH-Port ändern?

Das ist optional. Das Verschieben von SSH von Port 22 reduziert die Menge automatisierter Scans in deinen Logs, ist aber allein keine echte Sicherheit — schlüsselbasierte Authentifizierung, eine Firewall und fail2ban übernehmen die Hauptarbeit. Wenn du den Port änderst, öffne den neuen in UFW, bevor du SSH neu startest, damit du dich nicht aussperrst.

Brauche ich trotz SSH-Schlüsseln eine Firewall?

Ja. SSH-Schlüssel schützen nur den SSH-Dienst; eine Firewall wie UFW kontrolliert jeden anderen Port der Maschine. Allen eingehenden Verkehr standardmäßig zu verweigern und nur die Ports zuzulassen, die du tatsächlich nutzt, ist ein Kernpunkt jeder Checkliste zur Absicherung eines VPS — mit oder ohne Schlüssel.

Ist fail2ban auf einem VPS notwendig?

Es wird dringend empfohlen. Selbst wenn Passwort-Logins deaktiviert sind, werden Bots weiterhin deinen SSH-Port testen und deine Logs verstopfen. fail2ban bannt automatisch Wiederholungstäter, reduziert Rauschen und blockiert die kleine Chance eines erfolgreichen Brute-Force-Angriffs auf einen Dienst.

Enthält ApexVPS DDoS-Schutz und Backups?

Ja. Jeder Tarif beinhaltet permanenten DDoS-Schutz und automatisierte Backups — täglich bei Starter Pro und stündliche Snapshots bei Business und Enterprise — sowie 24/7-Überwachung. Diese ergänzen deine eigene OS-Härtung, indem sie die Infrastrukturebene abdecken, die du von innerhalb des Servers nicht schützen kannst.

Möchtest du die Härtung einfacher? Erfahre mehr über DDoS-Schutz, Backups und dedizierte Ressourcen in jedem ApexVPS-Tarif →