Ihren VPS sicher halten: Hardening, Lynis und ein Wartungsrhythmus
Mit Ihren VPS absichern: die ersten fünf Minuten legen Sie die Grundlage: Updates, Anmeldung mit einem Schlüssel, eine Firewall und fail2ban. Ein Server ist jedoch nie fertig. Software veraltet, Zertifikate laufen ab und Festplatten laufen voll. Hier erfahren Sie, wie Sie Ihren Server danach Schritt für Schritt weiter absichern (Hardening), wie Sie ihn mit Lynis überprüfen und welcher Wartungsrhythmus dabei hilft.
Vier Prinzipien
- Eine kleine Angriffsfläche. Was nicht vorhanden ist, kann auch kein Leck haben. Entfernen Sie Dienste und Pakete, die Sie nicht nutzen, und lassen Sie von außen nur die Ports offen, die wirklich nötig sind. Siehe Welche Dienste lauschen auf Ihrem VPS, und was ist von außen erreichbar?
- Minimale Rechte. Keine tägliche Arbeit als root, Dienste unter einem eigenen Benutzer, niemals
chmod 777. Siehe Dateirechte auf Ihrem VPS lesen und richtig setzen. - Mehrschichtige Verteidigung. Gehen Sie davon aus, dass eine Maßnahme versagt. Eine Datenbank, die nur auf
127.0.0.1lauscht, hinter einer Firewall steht und ein starkes Passwort hat, bleibt sicher, wenn eine dieser drei Maßnahmen ausfällt. - Sehen, was passiert. Protokolle, Überwachung und Backups. Ohne diese drei bemerken Sie ein Problem erst, wenn es zu spät ist.
Die CIS Benchmarks im Überblick
Das Center for Internet Security (CIS) erstellt die CIS Benchmarks: Listen mit empfohlenen Einstellungen pro Produkt, auch für Debian und Ubuntu. Sie sind unterteilt in Level 1 (Basismaßnahmen ohne große Nachteile, für die meisten Server das Ziel) und Level 2 (strenger, kann Funktionen oder Geschwindigkeit kosten). Nutzen Sie sie als Nachschlagewerk: Verstehen Sie eine Empfehlung, bevor Sie sie anwenden, ändern Sie immer nur eine Sache auf einmal und notieren Sie, warum Sie etwas bewusst nicht umsetzen. Vorsicht bei fertigen Skripten, die „alles von CIS" auf einmal anwenden: Damit sperren Sie sich leicht selbst aus.
Überprüfen mit Lynis
Lynis ist ein kostenloses Open-Source-Programm, das Ihren Server von innen überprüft. Es ändert selbst nichts, sondern erstellt nur einen Bericht.
sudo apt install lynis sudo lynis audit system
Unter AlmaLinux und Rocky Linux installieren Sie es aus EPEL mit sudo dnf install lynis. Das Ergebnis lesen Sie so:
- Warnings sollten Sie sich wirklich ansehen, zum Beispiel Pakete mit bekannten Sicherheitslücken (dann stehen Updates aus).
- Suggestions sind Empfehlungen. Viele sind nützlich, manche passen nicht zu Ihrem Server. Ein Vorschlag,
AllowTcpForwardingzu deaktivieren, macht zum Beispiel Ihre SSH-Tunnel unbrauchbar. Folgen Sie ihnen nicht blind. - Jede Meldung hat einen Code in Klammern, etwa
[SSH-7408]. Damit suchen Sie in/var/log/lynis.log, was genau getestet wurde. - Der Hardening Index (eine Zahl bis 100) ist ein Wegweiser, keine Note, der Sie hinterherjagen sollten.
Erstellen Sie einen Snapshot, bevor Sie aufgrund von Lynis etwas ändern, siehe Snapshots und Backups Ihres VPS, und wissen Sie, wie Sie die Konsole öffnen, falls Sie sich doch aussperren.
Ein Wartungsrhythmus
Ein Beispiel für einen kleinen Server. Passen Sie es an Ihre eigene Situation an und tragen Sie die Termine in Ihren Kalender ein.
| Wann | Was |
|---|---|
| Jede Woche | Meldungen Ihrer Überwachung durchgehen; systemctl --failed; neu starten, wenn /var/run/reboot-required existiert |
| Jeden Monat | apt list --upgradable (bleibt etwas hängen?); Container aktualisieren; Speicherplatz; Fehler im Protokoll mit journalctl -p err --since "1 month ago" |
| Jedes Quartal | Ein Backup testweise wiederherstellen; Benutzer und authorized_keys prüfen; Lynis erneut ausführen |
| Jedes Jahr | Das Supportende Ihrer Version prüfen und ein Upgrade planen; security.txt aktualisieren, falls vorhanden; Ihre Serverdokumentation aktualisieren |
Hilfe zu den einzelnen Punkten: Updates und automatische Updates, Monitoring von außen und von innen, Backups mit restic an einen anderen Ort, SSH-Zugang zu Ihrem VPS entziehen bei einem ehemaligen Mitarbeiter oder verlorenen Laptop und Ihren VPS auf eine neue Version von Debian oder Ubuntu upgraden.
Eine Serverdokumentation
Schreiben Sie pro Server ein kurzes Dokument und bewahren Sie es außerhalb des Servers auf, zum Beispiel in Ihrem Passwortmanager:
- Name, IP-Adressen, Betriebssystem und das Supportende dieser Version;
- was darauf läuft (Dienste, Container, Websites) und welche Ports dafür offen sind;
- wo die Backups liegen, wie Sie sie wiederherstellen und wann Sie das zuletzt getestet haben;
- welche Geheimnisse auf dem Server liegen (nicht die Geheimnisse selbst, aber welche und wo Sie sie ersetzen);
- wer Zugang hat und was Sie bewusst anders als im Standard gemacht haben.
Diese Dokumentation hilft bei einer Störung, bei einem Upgrade und wenn jemand anderes die Verwaltung übernimmt.
timedatectl, ob die Uhr synchronisiert ist: Mit einer falschen Zeit sind Protokolle unbrauchbar und Zertifikate können als ungültig gelten.Ihr VPS ist vollständig selbstverwaltet: Hardening und Wartung innerhalb des Servers übernehmen Sie selbst. Wir helfen Ihnen beim WebOké-Teil, etwa beim VPS-Bildschirm, beim Netzwerk, bei Snapshots und den täglichen Backups.
Möchten Sie mehr lernen? Besuchen Sie den kostenlosen Kurs VPS und Linux-Serververwaltung, Lektion 10.1 Hardening und CIS-Prinzipien oder Lektion 10.4 Abschlusscheck: Ihr Server auf dem Prüfstand.