vServer absichern: die ersten 30 Minuten nach dem Kauf

Einen vServer absichern machst du am besten direkt nach der Bereitstellung, denn eine neue IP-Adresse wird schnell von Bots nach offenen Ports und schwachen Passwörtern gescannt. In einer halben Stunde legst du die Grundlage: Updates, ein eigener Benutzer, SSH-Keys, Passwort- und Root-Login aus, eine Firewall mit ufw, fail2ban und automatische Sicherheitsupdates.

vServer absichern ist deine Aufgabe: Das musst du vorher wissen

Ein VPS bei MC-Node ist self-managed: Du bekommst Root-Zugriff und kümmerst dich selbst um Updates und Sicherheit, auch wenn unser Support mitdenkt, wenn du nicht weiterkommst. Die Schritte unten gehen von Ubuntu aus, das du beim KVM-VPS und beim VDS bei der Bestellung wählst und beim Premium-VPS selbst im VPS-Panel installierst. Sie gelten für jeden Linux-VPS, vom günstigen VPS bis zum Premium-VPS mit Ryzen 9. Führe die Befehle als root aus oder mit sudo davor, sobald du als dein eigener Benutzer arbeitest. Nutzt du Windows Server, spring zum Abschnitt über RDP.

Schritt 1: Updates und ein eigener Benutzer

Melde dich mit den Daten aus deiner Bereitstellungsmail an (siehe per SSH verbinden) und bring zuerst alles auf den neuesten Stand:

apt update && apt upgrade -y
[ -f /var/run/reboot-required ] && reboot

Die zweite Zeile startet den VPS nur neu, wenn ein Update das verlangt, meist nach einem neuen Kernel. Ändere danach das Root-Passwort mit passwd (oder über das VPS-Panel, siehe Root-Passwort ändern) und leg einen eigenen Benutzer mit Adminrechten an:

adduser deinname
usermod -aG sudo deinname

Ab jetzt arbeitest du als deinname und setzt sudo vor Admin-Befehle. Root muss sich dann nicht mehr direkt anmelden, und diese Tür schließt du in Schritt 3.

Schritt 2: SSH-Keys statt Passwörter

Ein SSH-Key ist ein Schlüsselpaar: Der private Teil bleibt auf deinem eigenen Computer, den öffentlichen Teil legst du auf den Server. Raten ist dann aussichtslos, egal wie oft ein Bot es versucht. Erstelle das Paar auf deinem eigenen Computer; Windows 10 und 11, macOS und Linux haben ssh-keygen eingebaut:

ssh-keygen -t ed25519

Wähle eine Passphrase, dann reicht eine gestohlene Schlüsseldatei allein nicht aus. Leg danach den öffentlichen Teil auf den VPS. Unter macOS und Linux:

ssh-copy-id deinname@deine-ip

Unter Windows gibt es ssh-copy-id nicht; in PowerShell erledigst du dasselbe mit:

type $env:USERPROFILE\.ssh\id_ed25519.pub | ssh deinname@deine-ip "mkdir -p ~/.ssh && cat >> ~/.ssh/authorized_keys"

Arbeitest du lieber mit PuTTY, folge SSH-Keys mit PuTTYgen einrichten. Teste in einem neuen Fenster: ssh deinname@deine-ip sollte dich jetzt ohne das Passwort deines Accounts anmelden, nur mit der Passphrase deines Schlüssels.

Schritt 3: Passwort-Login und Root-Login aus

Jetzt, wo der Schlüssel funktioniert, darf die Tür für Passwörter zu. Leg eine eigene Einstellungsdatei an:

sudo nano /etc/ssh/sshd_config.d/00-absicherung.conf

mit diesen zwei Zeilen:

PasswordAuthentication no
PermitRootLogin no

Warum das 00- im Namen? OpenSSH nimmt von jeder Einstellung den ersten Wert, auf den es stößt, und die Dateien in sshd_config.d werden in alphabetischer Reihenfolge gelesen, vor dem Rest von sshd_config. Auf Cloud-Images liegt manchmal eine Datei wie 50-cloud-init.conf mit PasswordAuthentication yes; mit 00- hast du Vorrang. Prüfen und neu starten:

sudo sshd -t && sudo systemctl restart ssh
sudo sshd -T | grep -Ei '^(passwordauthentication|permitrootlogin)'

Die letzte Zeile sollte passwordauthentication no und permitrootlogin no anzeigen. Schließ deine aktuelle Sitzung erst, wenn du dich in einem zweiten Fenster erneut anmelden konntest.

Schritt 4: Firewall mit ufw (OpenSSH zuerst!)

ufw macht alles dicht, was du nicht ausdrücklich öffnest. Die Reihenfolge ist wichtig: Erlaube SSH, bevor du die Firewall einschaltest, sonst sperrst du dich selbst aus.

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow OpenSSH
sudo ufw allow 25565/tcp
sudo ufw enable
sudo ufw status verbose

Die Zeile mit 25565 ist ein Beispiel für einen Minecraft-Server; öffne nur die Ports, die du wirklich nutzt. Für FiveM ist das Port 30120 über TCP und UDP (siehe FiveM-Server auf dem eigenen vServer), die Ports für Steam-Spiele liest du in Gameserver auf dem vServer mit SteamCMD. Einen Verwaltungsport, etwa den von txAdmin (40120), öffnest du nur für deine eigene IP-Adresse: sudo ufw allow from deine-heim-ip to any port 40120.

Vorsicht mit Docker, und damit auch mit Pterodactyl Wings: Ports, die du mit Docker veröffentlichst, gehen laut Docker-Dokumentation an den Regeln von ufw vorbei. Diese Ports verwaltest du also in Docker oder in deinem Gamepanel, nicht nur in ufw. Und auf dem günstigen VPS teilst du dir über OpenVZ den Kernel mit dem Host: Prüfe dort nach dem Einschalten mit sudo ufw status verbose, ob die Firewall wirklich aktiv ist.

Schritt 5: fail2ban gegen Brute Force

fail2ban liest deine Logdateien und sperrt eine IP-Adresse vorübergehend nach zu vielen fehlgeschlagenen Anmeldeversuchen. Unter Ubuntu ist der Schutz für SSH nach der Installation sofort aktiv:

sudo apt install fail2ban
sudo fail2ban-client status sshd

Willst du strengere Regeln, leg /etc/fail2ban/jail.local an. Ändere jail.conf selbst nicht, denn diese Datei kann bei einem Update überschrieben werden.

[sshd]
maxretry = 5
bantime = 1h

Danach sudo systemctl restart fail2ban. Mit reinen SSH-Keys errät niemand mehr dein Passwort, aber fail2ban hält deine Logs sauber und bremst Bots aus. Hast du dich selbst gesperrt, etwa nach ein paar Versuchen mit dem falschen Schlüssel, entfernst du deine IP-Adresse über die Konsole mit sudo fail2ban-client set sshd unbanip deine-ip.

Schritt 6: automatische Sicherheitsupdates

Auf Ubuntu Server ist unattended-upgrades standardmäßig installiert und spielt Sicherheitsupdates von selbst ein. Prüfe, ob es aktiv ist:

cat /etc/apt/apt.conf.d/20auto-upgrades

Siehst du APT::Periodic::Unattended-Upgrade "1";, passt alles. Falls nicht, installiere es mit sudo apt install unattended-upgrades und schalte es mit sudo dpkg-reconfigure -plow unattended-upgrades ein. Ein neuer Kernel wirkt erst nach einem Neustart, und automatische Neustarts sind standardmäßig aus. Willst du sie doch, setz Unattended-Upgrade::Automatic-Reboot "true"; in /etc/apt/apt.conf.d/50unattended-upgrades, mit einer ruhigen Uhrzeit über Automatic-Reboot-Time. Läuft ein Gameserver darauf, sorg dafür, dass er mit systemd von selbst wieder startet.

Windows Server: RDP absichern

Auf einem Windows-VPS ist Remotedesktop (RDP, Port 3389) die Tür, an die Bots klopfen. Die Grundlagen:

• Ein langes, einzigartiges Passwort für Administrator und keine zusätzlichen Accounts mit schwachen Passwörtern.
• Windows Update aktiviert lassen und Updates auch wirklich mit einem Neustart abschließen.
• In der Windows Defender Firewall die Regel für Remotedesktop auf deine eigene IP-Adresse beschränken, über die Registerkarte Bereich (Scope) dieser Regel.
• Network Level Authentication aktiviert lassen: Dann muss sich jemand zuerst anmelden, bevor eine Sitzung startet.

Mehr über die Lizenz, RDP und wann Linux klüger ist, liest du in Windows VPS mieten; die Anmeldung selbst steht in per Remotedesktop verbinden.

Was der DDoS-Schutz kann und was nicht

Jeder VPS bei MC-Node hat DDoS-Schutz über das Netzwerk von PletX, immer aktiv und im Preis inbegriffen (siehe wie der DDoS-Schutz funktioniert). Er filtert Angriffe, die deine Verbindung mit einer Flut an Traffic lahmlegen wollen. Aber ein DDoS-Filter schaut auf den Traffic, nicht darauf, wer sich anmeldet: Ein erratenes Passwort, ein geleakter Token oder eine Lücke in einem veralteten Plugin hält er nicht auf. Dafür sind die Schritte oben da. Für Gameserver liest du mehr in was ein DDoS-Angriff ist und deinen Minecraft-Server absichern.

Dein Sicherheitsnetz: die Konsole und ein Backup

ufw ohne SSH-Regel eingeschaltet oder ein Tippfehler in den SSH-Einstellungen? Dann ist dein VPS nicht kaputt, nur per SSH nicht erreichbar. Im VPS-Panel gibt es eine Konsole: Du arbeitest dann, als säßest du vor dem Bildschirm des Servers, unabhängig von SSH und Firewall. Melde dich dort an und nimm die Änderung zurück, etwa mit sudo ufw disable oder indem du 00-absicherung.conf löschst.

Regle außerdem Backups, am besten bevor du große Änderungen machst: Leg eine Kopie deiner Konfiguration und deiner Daten an einem anderen Ort als dem VPS selbst ab, damit ein Fehler oder ein Hack nicht das Ende deines Projekts ist.

Häufige Fragen

Wie sichere ich einen neuen vServer ab?

Bring zuerst alles auf den neuesten Stand und leg einen eigenen Benutzer mit sudo-Rechten an. Melde dich danach mit einem SSH-Key an, schalte Passwort- und Root-Login aus, schließ mit ufw alle Ports außer SSH und dem, was du wirklich nutzt, und installiere fail2ban. Prüfe zum Schluss, ob automatische Sicherheitsupdates aktiv sind.

Sollte ich den SSH-Port ändern?

Kannst du, aber es ist keine echte Absicherung. Ein anderer Port spart Rauschen in deinen Logs, weil weniger Bots ihn finden; wer gezielt sucht, findet ihn trotzdem. SSH-Keys, Passwort-Login aus und fail2ban erledigen die eigentliche Arbeit. Änderst du den Port, öffne den neuen Port zuerst in ufw.

Was mache ich, wenn ich mich ausgesperrt habe?

Nutze die Konsole im VPS-Panel. Sie funktioniert unabhängig von SSH und Firewall, du kannst dich dort also anmelden und die Änderung zurücknehmen, etwa mit ufw disable oder indem du deine neue SSH-Einstellungsdatei löschst.

Schützt der DDoS-Schutz vor Hackern?

Nein, nicht vor Einbrüchen. Der DDoS-Schutz filtert Angriffe, die deine Verbindung mit Traffic überfluten wollen, und ist bei MC-Node auf jedem VPS immer aktiv. Gegen erratene Passwörter und Lücken in Software helfen Updates, SSH-Keys, eine Firewall und fail2ban.

Ist ein VPS bei MC-Node managed oder unmanaged?

Self-managed: Du bekommst Root- oder Administrator-Zugriff und kümmerst dich selbst um Updates und Sicherheit. Unser Support denkt mit, wenn du nicht weiterkommst. Willst du diese Verwaltung lieber nicht, ist ein fertiger Gameserver oft die bessere Wahl.

Weiterlesen

• Windows VPS mieten: Lizenz, RDP und wann Linux klüger ist
• Deinen Minecraft-Server absichern: Whitelist, Rechte, DDoS
• Welchen VPS wählen? Günstig, KVM, Premium oder VDS