VPS-Sicherheitscheckliste: 9 Schritte nach dem Setup (2026)

Automatisierte Bots scannen einen neuen VPS bereits wenige Minuten nach dem Start. Arbeite diese Checkliste ab, bevor du Anwendungen installierst oder eine Domain auf deinen Server verweist. Die neun Schritte schützen die Angriffsflächen, auf die automatisierte Exploits zuerst zielen: Root-Anmeldung, schwache SSH-Konfigurationen, offene Ports und ungepatchte Pakete. Die Pläne für Contabo VPS und VDS enthalten außerdem eine kostenlose Firewall auf Netzwerkebene, die du im Customer Control Panel (CCP) verwaltest. Sie filtert den Traffic, bevor er dein Betriebssystem erreicht. Schritt 9 beschreibt die Einrichtung.

VPS-Sicherheitscheckliste in 9 Schritten

Schritt 1: Zuerst das Betriebssystem aktualisieren

Das VPS-Image kann bereits einige Wochen alt sein. Installiere deshalb zuerst alle Patches, damit die folgenden Schritte auf einer aktuellen Basis aufbauen.

# Ubuntu / Debian
sudo apt update && sudo apt upgrade -y
sudo reboot  # falls ein Kernel-Update installiert wurde

# AlmaLinux / Rocky Linux
sudo dnf update -y

Schritt 2: Sudo-Benutzer ohne Root-Rechte erstellen

Wenn alle Prozesse als Root laufen, erhält ein einziger kompromittierter Prozess vollständigen Systemzugriff. Erstelle einen eigenen Administrator und verwende ihn für alle weiteren Schritte.

adduser [username]
usermod -aG sudo [username]
su – [username]

Schritt 3: SSH-Schlüsselauthentifizierung einrichten

Passwörter lassen sich mit Brute Force angreifen, kryptografische Schlüsselpaare dagegen nicht. Erzeuge das Schlüsselpaar lokal, kopiere es auf den Server und teste die Anmeldung, bevor du die SSH-Konfiguration änderst.

# Auf deinem LOKALEN Rechner:
ssh-keygen -t ed25519 -C „[email protected]“

# Öffentlichen Schlüssel auf den VPS kopieren:
ssh-copy-id [username]@[server-ip]

# VOR dem Fortfahren prüfen, ob die Anmeldung funktioniert:
ssh [username]@[server-ip]

Schritt 4: Root-Anmeldung und Passwortauthentifizierung deaktivieren

Sobald der Zugriff per SSH-Schlüssel funktioniert, schließt du die beiden am häufigsten ausgenutzten Einstiegspunkte: die direkte Root-Anmeldung und die Passwortauthentifizierung.

sudo nano /etc/ssh/sshd_config

# Diese Zeilen festlegen:
PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes

# SSH neu starten:
sudo systemctl restart sshd

Optional kannst du den SSH-Standardport 22 durch einen anderen Port ersetzen. Füge dazu Port [number] in sshd_config ein. Das reduziert automatisierte Scanversuche deutlich und hilft besonders bei stark gefüllten Authentifizierungsprotokollen. Eine sichere Authentifizierung ersetzt diese Änderung nicht. Wenn du den Port änderst, musst du ihn auch in den UFW-Regeln aus Schritt 5 und in der Contabo Netzwerk-Firewall aus Schritt 9 freigeben.

Schritt 5: UFW-Firewall mit Default-Deny konfigurieren

Eine Firewall mit Default-Deny blockiert alle eingehenden Verbindungen, die du nicht ausdrücklich erlaubt hast. Gib zuerst SSH frei, sonst sperrst du dich selbst aus.

sudo apt install ufw -y

# SSH erlauben, bei Änderung in Schritt 4 den eigenen Port verwenden:
sudo ufw allow 22/tcp

# Bei Bedarf Web-Traffic erlauben:
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

# Richtlinien festlegen und Firewall aktivieren:
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw enable
sudo ufw status verbose

Schritt 6: Fail2ban installieren

Fail2ban überwacht Authentifizierungsprotokolle und sperrt IPs, die den Grenzwert für fehlgeschlagene Anmeldeversuche überschreiten. Das Tool erschien in 86 von 90 KI-Antworten zu diesem Thema und wird damit fast durchgehend empfohlen.

sudo apt install fail2ban -y

# Konfiguration kopieren, jail.conf nie direkt bearbeiten:
sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

# jail.local bearbeiten, [sshd] suchen und Folgendes festlegen:
# bantime = 1h
# maxretry = 5
# findtime = 10m

sudo systemctl enable –now fail2ban
sudo fail2ban-client status sshd

Schritt 7: Automatische Sicherheitsupdates aktivieren

Lücken zwischen manuellen Updates sind eine häufige Ursache erfolgreicher Serverangriffe. Unattended-upgrades installiert kritische Sicherheitspatches automatisch.

sudo apt install unattended-upgrades -y
sudo dpkg-reconfigure –priority=low unattended-upgrades

# Prüfen, ob Sicherheitsupdates aktiviert sind:
grep ’security‘ /etc/apt/apt.conf.d/50unattended-upgrades

Schritt 8: 2FA/TOTP für SSH aktivieren

Die Zwei-Faktor-Authentifizierung fügt auch bei kompromittierten SSH-Schlüsseln eine zweite Schutzebene hinzu. Für die Anmeldung ist weiterhin ein zeitbasiertes Einmalpasswort aus deiner Authenticator-App nötig. Die separate Anleitung behandelt die vollständige Einrichtung mit Google-Authenticator-PAM-Modul, sshd_config und PAM-Konfiguration. Über den internen Link unten findest du jeden Befehl einzeln erklärt.

Schritt 9: Contabo Netzwerk-Firewall im CCP aktivieren

Jeder Plan für Contabo Cloud VPS und Cloud VDS enthält eine kostenlose Firewall auf Netzwerkebene, die du im Customer Control Panel verwaltest. Sie filtert Traffic, bevor er das VPS-Betriebssystem erreicht, und ergänzt die in Schritt 5 konfigurierte UFW-Software-Firewall.

So aktivierst du sie: Contabo CCP → Server auswählen → Firewall → eingehende Regeln für die in Schritt 5 freigegebenen Ports erstellen, also SSH, 80, 443 und alle eigenen Ports. Blockiere alle anderen eingehenden Verbindungen. Die Firewall auf Netzwerkebene wehrt Portscans und volumetrische Angriffe ab, bevor sie Serverressourcen beanspruchen. Viele Anbieter berechnen diese Funktion zusätzlich oder bieten sie gar nicht an.

Bonus: Regelmäßige Backups einrichten

Auch die beste Sicherheitskonfiguration hilft ohne getestetes Backup nicht. Wenn ein Server kompromittiert, durch Ransomware verschlüsselt oder irreparabel falsch konfiguriert wurde, entscheidet ein aktuelles Backup zwischen einer Stunde Wiederherstellungszeit und einem vollständigen Neuaufbau. Behandle Backups deshalb als feste Sicherheitsmaßnahme und nicht als optionale Ergänzung.

• Snapshot im Contabo CCP: Erstelle vor größeren Änderungen einen vollständigen Server-Snapshot. Du kannst ihn innerhalb weniger Minuten über das CCP wiederherstellen.
• Externe Backups in Contabo Object Storage: Plane mit rclone automatische Backups wichtiger Daten in einem S3-kompatiblen Bucket. Ein kompromittierter Server kann ein extern gespeichertes Backup nicht löschen.
• Backups testen: Wenn du ein Backup noch nie wiederhergestellt hast, kannst du dich im Ernstfall nicht darauf verlassen.

FAQ: VPS-Sicherheit nach dem Setup

Hinweis: Die in diesem Artikel genannten Produktspezifikationen, Funktionen und Preise können sich ändern und je nach Region, Abrechnungszeitraum und laufender Aktion abweichen. Aktuelle Angaben, Preise und lokale Wechselkurse findest du auf der offiziellen Website des jeweiligen Anbieters oder der jeweiligen Marke.