Einen VPS sichern Sie in Schichten ab: Verkehr filtern, bevor er den Server erreicht, die Verwaltung abschirmen, nur die nötigen Ports öffnen, automatisch aktualisieren, Angriffe erkennen und blockieren, den Schaden begrenzen, falls doch etwas passiert, und Backups aufbewahren, die einen Hack überstehen. Unten stehen die 12 Maßnahmen, die VirtuoLab auf jedem Server umsetzt, mit der Priorität jeder Maßnahme.
Warum braucht ein VPS zusätzliche Absicherung?
Ein VPS (Virtual Private Server) ist ein eigener Server bei einem Hosting-Anbieter, und bei den meisten VPS-Tarifen sind Sie selbst für die Sicherheit verantwortlich. Der Anbieter sorgt dafür, dass die Maschine läuft; was darauf läuft, welche Ports offen sind und ob Updates kommen, ist Ihre Sache. Beim Shared Hosting übernimmt der Anbieter vieles davon, dafür haben Sie weniger Kontrolle. Dieser Unterschied ist wichtig, denn Angreifer durchsuchen das Internet laufend und automatisch nach Servern mit einer bekannten Schwachstelle. Laut dem Data Breach Investigations Report 2025 von Verizon begannen 20% der untersuchten Datenlecks mit einer Schwachstelle und 22% mit missbrauchten Zugangsdaten. Ein neuer Server mit offenem SSH-Port bekommt meist innerhalb weniger Minuten die ersten Anmeldeversuche. Sicherheit ist also kein Extra für später, sondern etwas, das Sie einrichten, bevor der Server live geht.
Welche 12 Maßnahmen gehören zu einem sicheren Server?
Diese Tabelle ist die Checkliste, die VirtuoLab nutzt. Die essenziellen Maßnahmen bekommt jeder Server; welche weiteren nötig sind, hängt davon ab, was auf dem Server läuft und wie sensibel die Daten sind.
Wie richtet man die Serververwaltung sicher ein?
Die Verwaltung eines Servers richten Sie sicher ein, indem Sie SSH nur mit Schlüsseln zulassen und den SSH-Port nicht öffentlich erreichbar machen. Schritt 1: Erstellen Sie ein SSH-Schlüsselpaar und setzen Sie in der SSH-Konfiguration PasswordAuthentication no und PermitRootLogin no, damit das Erraten von Passwörtern sinnlos wird. Schritt 2: Melden Sie sich als normaler Benutzer an und nutzen Sie sudo für Verwaltungsaufgaben, damit jede Aktion einer Person zugeordnet werden kann. Schritt 3: Legen Sie die Verwaltung hinter ein privates Netz wie Tailscale, das auf WireGuard basiert. Der SSH-Port ist dann nur für Geräte in diesem Netz offen, und der Rest des Internets sieht ihn gar nicht. Schritt 4: Geben Sie jedem Administrator einen eigenen Schlüssel, damit Sie den Zugang pro Person entziehen können. Laut Verizon war 2025 bei 30% der Datenlecks ein Dritter beteiligt. Zu wissen, wer Zugriff auf Ihren Server hat, und diesen Zugriff klein zu halten, gehört deshalb zu den ersten Schritten.
Welche Firewall-Regeln braucht ein Webserver?
Ein üblicher Webserver braucht von außen nur Port 443 (HTTPS) und Port 80 nur, um Besucher auf HTTPS umzuleiten und Zertifikate zu erneuern. Alles andere ist geschlossen: Datenbank, Admin-Oberflächen und interne Dienste sind nur vom Server selbst oder über das private Netz erreichbar. Unter Ubuntu und Debian erledigen Sie das mit UFW, einer einfachen Schicht über nftables. Achten Sie dabei auf eine bekannte Falle: Bei einem veröffentlichten Port setzt Docker eigene Firewall-Regeln, und die umgehen die UFW-Regeln. Ein Datenbank-Container mit -p 5432:5432 ist dann von außen erreichbar, obwohl Port 5432 in UFW geschlossen ist. Die Lösung: Container nur auf 127.0.0.1 veröffentlichen oder gar nicht, und sie über ein internes Docker-Netz kommunizieren lassen. Prüfen Sie nach jeder Änderung von außen, welche Ports wirklich offen sind, etwa mit einem Portscan von einem anderen Rechner.
Wie hält man einen Server automatisch aktuell?
Einen Server halten Sie aktuell, indem Sie Sicherheitsupdates automatisch installieren lassen und den Rest geplant aktualisieren. Unter Ubuntu und Debian übernimmt das Paket unattended-upgrades diese Aufgabe: Es installiert Sicherheitspatches für das Betriebssystem, sobald sie erscheinen. Größere Updates, etwa eine neue Version von PHP, Node.js oder der Datenbank, spielen Sie bewusst und zuerst in einer Testumgebung ein, weil sie Ihre Anwendung beeinträchtigen können. Aktivieren Sie auch eine Meldung, wenn der Server nach einem Kernel-Update einen Neustart braucht, denn bis dahin läuft der alte Kernel weiter. Wie schnell das gehen muss, zeigte der Oktober 2026. Zwei kritische PHP-Lücken wurden öffentlich, bevor es ein Update gab, und in den Niederlanden gingen unter anderem DigiD und MijnOverheid vorsorglich offline. Wer automatisch aktualisiert, ist Stunden nach dem Release geschützt statt Wochen.
Wie erkennt und blockiert man Angriffe?
Angriffe erkennen und blockieren Sie an zwei Stellen: vor dem Server und auf dem Server. Vor dem Server steht eine Web Application Firewall (WAF) mit DDoS-Schutz, etwa von Cloudflare. Sie filtert bekannte Angriffsmuster, schädliche Bots und Überlastungsangriffe, bevor sie Ihren Server erreichen, und der Server nimmt nur Verkehr von Cloudflare an. Auf dem Server liest CrowdSec die Logdateien von SSH, Webserver und weiteren Diensten, erkennt Muster wie wiederholte Anmeldeversuche oder das Abtasten bekannter verwundbarer Pfade und blockiert diese IP-Adressen. CrowdSec teilt diese Signale außerdem mit anderen Nutzern, sodass eine Adresse, die anderswo schon angegriffen hat, auch bei Ihnen blockiert wird. Zusammen fangen diese beiden Schichten den Großteil des automatisierten Verkehrs ab, den jeder Server bekommt. Updates ersetzen sie nicht: Ein gezielter Angriff auf eine ungepatchte Lücke kommt manchmal trotzdem durch einen Filter.
Wie begrenzt man den Schaden, wenn doch etwas passiert?
Den Schaden begrenzen Sie, indem jede Komponente so wenige Rechte wie möglich bekommt, damit ein Eindringling in einer Anwendung nicht gleich den ganzen Server hat. AppArmor legt pro Programm fest, welche Dateien es lesen und schreiben und was es ausführen darf; ein gehackter Webserver kommt dann zum Beispiel nicht an die SSH-Schlüssel. Jede Anwendung läuft unter einem eigenen Benutzer ohne Administratorrechte. Mit Docker gehört dazu: Container nicht als root laufen lassen, nur die nötigen Linux-Capabilities vergeben (cap_drop: ALL, dann hinzufügen, was wirklich gebraucht wird), das Dateisystem wo möglich schreibgeschützt machen und den Docker-Socket nie in einen Container einbinden. Passwörter und API-Schlüssel gehören in geschützte Umgebungsvariablen oder einen Secrets-Tresor, nicht in den Code. So bleibt ein Fehler in einer Komponente wirklich auf diese Komponente begrenzt.
Wie prüft man, ob ein Server gut abgesichert ist?
Ob ein Server gut abgesichert ist, prüfen Sie mit einem Audit vorab und laufender Überwachung danach. Lynis ist ein Open-Source-Audit-Tool, das Hunderte Einstellungen auf dem Server prüft und eine Liste mit Verbesserungen sowie einen Hardening-Wert liefert; VirtuoLab lässt es nach der Einrichtung und danach regelmäßig laufen. Die laufende Überwachung übernehmen auditd, das wichtige Systemaktionen protokolliert, etwa wer was mit Administratorrechten getan hat, und AIDE, das einen Fingerabdruck der Systemdateien speichert und meldet, wenn sich eine Datei unerwartet ändert. Für größere Umgebungen, oder wenn Sie Vorgaben wie NIS2 erfüllen müssen, sammelt Wazuh die Meldungen aller Server zentral. Wazuh ist eine EDR- und SIEM-Plattform: Sie verknüpft Ereignisse und meldet verdächtiges Verhalten. Für einen einzelnen kleinen Server ist Wazuh meist zu schwer; dort reichen Lynis, auditd und AIDE.
Wie richtet man Backups ein, die einen Hack überstehen?
Backups, die einen Hack überstehen, sind verschlüsselt, liegen an einem anderen Ort und lassen sich vom Server selbst nicht löschen. Das Letzte ist wichtig: Erlangt Ransomware oder ein Eindringling Administratorrechte auf Ihrem Server und sind die Backups von dort erreichbar, werden sie oft als Erstes gelöscht. Laut Verizon spielte Ransomware 2025 bei 44% der Datenlecks eine Rolle. Ein gutes Konzept folgt der 3-2-1-Regel: drei Kopien, auf zwei Arten von Speicher, davon eine an einem anderen Ort. Verschlüsseln Sie Backups, bevor sie den Server verlassen, mit einem Schlüssel, der nicht auf dem Server liegt. Selbstverständlich ist das nicht: Laut der Cybersecuritymonitor 2025 des niederländischen Statistikamts CBS verschlüsseln nur 33% der Unternehmen mit 2 bis 10 Beschäftigten ihre Daten, gegenüber 91% der Unternehmen mit 250 oder mehr. Testen Sie schließlich mindestens jedes Quartal eine Wiederherstellung, denn ein Backup, das Sie nie zurückgespielt haben, ist eine Annahme und kein Backup.
Was sollte man überwachen, und wer reagiert?
Überwachen Sie drei Dinge: Verfügbarkeit (ist die Seite erreichbar und schnell), Zustand des Servers (Speicherplatz, Arbeitsspeicher, ablaufende Zertifikate) und Sicherheitsmeldungen (blockierte Angriffe, geänderte Dateien, unerwartete Anmeldungen). SSL-Zertifikate von Let's Encrypt sind 90 Tage gültig und erneuern sich automatisch, aber eine Meldung bei einer fehlgeschlagenen Erneuerung verhindert eine Seite mit Browserwarnung. Genauso wichtig ist die Frage, wer reagiert. Eine Meldung, die niemand ansieht, schützt nichts. Ehrlich dazu, wie das bei VirtuoLab läuft: Das Monitoring misst Tag und Nacht und sendet sofort Meldungen, die Bearbeitung durch einen Menschen erfolgt werktags von 09:00 bis 18:00 Uhr. VirtuoLab ist ein Ein-Personen-Unternehmen und hat keine rund um die Uhr besetzte Leitstelle. Brauchen Sie die, ist ein spezialisiertes SOC die bessere Wahl, und VirtuoLab kann Ihren Server daran anbinden.
Die Checkliste in Kürze
Hilfe beim Absichern Ihres Servers?
Soll jemand Ihren VPS oder Ihr Hosting prüfen, einrichten oder betreuen? Vereinbaren Sie ein kostenloses Kennenlerngespräch mit VirtuoLab. Sie sprechen direkt mit dem Entwickler, Mustafa Kose: rufen Sie +31 6 43913632 an oder schreiben Sie an info@virtuolab.dev. Nach dem Gespräch erhalten Sie einen Festpreis für die Arbeit und eine ehrliche Einschätzung, was Sie selbst tun können und was nicht nötig ist.