[Startseite](https://hmbastion.com/de/) [Blog](https://hmbastion.com/de/blog/) Sicherheit Sicherheit 5 Min. Lesezeit # Sichern Sie den SSH-Zugang zu Ihrem VPS und bewahren Sie einen Wiederherstellungsweg SSH ist oft die Eingangstür zu einem Linux VPS. Eine sinnvolle Zugriffsrichtlinie schützt diese Tür und bewahrt zugleich einen getesteten Weg zurück hinein. Die sicherste Änderungsreihenfolge belegt, dass ein Ersatz funktioniert, bevor die bestehende Zugriffsmethode entfernt wird. HM Bastion Redaktion Veröffentlicht 2026-10-26 ## In diesem Ratgeber - [Beginnen Sie mit einem Zugriffsverzeichnis und einem Wiederherstellungsweg](https://hmbastion.com/de/blog/secure-ssh-access-vps/#map-current-access) - [Überprüfen Sie den Host und legen Sie dann individuelle Identitäten an](https://hmbastion.com/de/blog/secure-ssh-access-vps/#verify-identity-and-keys) - [Ändern Sie die Authentifizierung in einer Abfolge, die Sie überprüfen können](https://hmbastion.com/de/blog/secure-ssh-access-vps/#change-authentication-deliberately) - [Begrenzen Sie die Angriffsfläche, ohne Verschleierung mit Schutz zu verwechseln](https://hmbastion.com/de/blog/secure-ssh-access-vps/#limit-administrative-exposure) - [Schließen Sie mit einer wiederholbaren Zugriffsüberprüfung ab](https://hmbastion.com/de/blog/secure-ssh-access-vps/#verify-and-maintain) [Alle Hosting-Ratgeber](https://hmbastion.com/de/blog/) ## Das Wichtigste in Kürze Überprüfen Sie die Serveridentität, verwenden Sie individuelle Konten und geschützte Schlüssel, testen Sie jede Konfigurationsänderung in einer zweiten Sitzung und halten Sie ein separat kontrolliertes Wiederherstellungsverfahren bereit. ## Beginnen Sie mit einem Zugriffsverzeichnis und einem Wiederherstellungsweg Bevor Sie SSH bearbeiten, listen Sie jeden legitimen Zugangsweg zum Server auf: Administratorkonten, Deployment-Jobs, Backup-Clients, Monitoring-Agenten und etwaige externe Wartungsdienstleister. Halten Sie fest, welche Identität jeweils verwendet wird und ob sie eine Shell, Dateiübertragung oder eine eingeschränkte automatisierte Aktion benötigt. Ein vergessener Deployment-Schlüssel kann für jemanden noch lange nützlich bleiben, nachdem eine Person das Projekt verlassen hat. Bestätigen Sie, wie der Zugriff wiederhergestellt würde, falls eine Firewall-Regel oder eine Änderung der Authentifizierung fehlschlägt. Eine Provider-Konsole oder eine Wiederherstellungsumgebung kann relevant sein, aber gehen Sie nicht davon aus, dass eine bestimmte Einrichtung enthalten oder bereits konfiguriert ist. Lassen Sie das Team den verfügbaren Weg bestätigen und wer zu dessen Nutzung berechtigt ist. Bewahren Sie das Verfahren an einem privaten Ort auf, der auch dann erreichbar bleibt, wenn dieser VPS nicht verfügbar ist. Halten Sie die aktuell funktionierende SSH-Sitzung geöffnet, während Sie eine geplante Änderung vornehmen. Verwenden Sie ein anderes Terminal für Tests neuer Verbindungen. Eine bestehende Sitzung, die weiterhin funktioniert, beweist wenig darüber, ob eine neue Verbindung sich authentifizieren kann; das Schließen des ersten Terminals ist daher der letzte Schritt und nicht der Test selbst. ## Überprüfen Sie den Host und legen Sie dann individuelle Identitäten an Der Hostschlüssel des Servers identifiziert die Maschine; Ihr Benutzerschlüssel authentifiziert Sie gegenüber dieser. Vergleichen Sie den Fingerabdruck des Hostschlüssels mit einem über einen unabhängig vertrauenswürdigen Kanal ermittelten Wert, bevor Sie eine erste Verbindung akzeptieren. Wenn sich ein zuvor bekannter Fingerabdruck ändert, klären Sie, ob ein Neuaufbau oder eine geplante Schlüsselrotation dies erklärt. Das Löschen des gespeicherten Fingerabdrucks nur zur Beseitigung der Warnung umgeht diese Identitätsprüfung. Geben Sie jedem Administrator ein benanntes Konto und einen individuellen SSH-Schlüssel. Schützen Sie den privaten Schlüssel auf dem Administratorgerät, vorzugsweise mit einer Passphrase und einem geeigneten lokalen Agenten oder einem Anmeldeprozess, der einen Hardware-Sicherheitsschlüssel verwendet. Installieren Sie nur den öffentlichen Schlüssel auf dem Server. Prüfen Sie Eigentümer und Berechtigungen des Kontohome-Verzeichnisses, des SSH-Verzeichnisses und der Datei mit den autorisierten Schlüsseln anhand der Dokumentation für das installierte Betriebssystem. Halten Sie bei einem Projekt mit zwei Personen fest, welcher Schlüssel zu welcher Person gehört und wann er autorisiert wurde. Testen Sie eine neue Verbindung als dieser benannte Benutzer und überprüfen Sie die beabsichtigte administrative Erhöhung separat. Das gemeinsame Nutzen eines privaten Schlüssels oder einer routinemäßigen Root-Anmeldung macht Ausscheiden, Untersuchungen und gezielten Widerruf unnötig schwierig. ## Ändern Sie die Authentifizierung in einer Abfolge, die Sie überprüfen können | Steuerung | Zu treffende Entscheidung | Nachweis vor der Verschärfung | | --- | --- | --- | | Public-Key-Authentifizierung | Welche benannten Konten und Schlüssel werden akzeptiert? | Eine neue schlüsselbasierte Anmeldung für jeden erforderlichen Administrator | | Passwortauthentifizierung | Wird sie noch von einem genehmigten Ablauf benötigt? | Ersatzzugriff und Wiederherstellung wurden beide getestet | | Keyboard-interactive-Authentifizierung | Hängt eine MFA- oder PAM-Richtlinie davon ab? | Die vollständige beabsichtigte Authentifizierungsabfolge ist erfolgreich | | Direkter Root-Zugriff | Kann die tägliche Administration benannte Konten verwenden? | Der erforderliche Erhöhungsweg funktioniert aus einer neuen Sitzung | Behandeln Sie PasswordAuthentication und KbdInteractiveAuthentication als getrennte Entscheidungen. Das alleinige Deaktivieren der Passwortauthentifizierung beschreibt nicht jeden interaktiven Authentifizierungsweg, während das unterschiedslose Deaktivieren des Keyboard-interactive-Zugriffs eine beabsichtigte MFA-Einrichtung beeinträchtigen kann. Lesen Sie die effektive Richtlinie für Ihre installierte OpenSSH-Version und testen Sie den gesamten Anmeldeablauf einschließlich eines etwaigen zweiten Faktors. Die OpenSSH-Konfiguration kann zusätzliche Dateien und bedingte Match-Abschnitte einbinden. Eine am Ende angehängte Zeile überschreibt nicht unbedingt einen früher geltenden Wert. Validieren Sie die Syntax, bevor Sie eine Änderung anwenden; im dokumentierten Ubuntu-Ablauf führt sudo sshd -t diese Prüfung durch. Prüfen Sie die effektive Konfiguration für den relevanten Verbindungskontext und folgen Sie den Anweisungen zur Dienstverwaltung des Betriebssystems. Die Syntaxvalidierung beweist weder Netzwerkerreichbarkeit noch erfolgreiche Authentifizierung. ## Begrenzen Sie die Angriffsfläche, ohne Verschleierung mit Schutz zu verwechseln Wenn Administratoren von vorhersehbaren Netzwerken aus eine Verbindung herstellen, erwägen Sie, den administrativen Einstiegspunkt auf diese Netzwerke oder einen angemessen verwalteten privaten Zugriffsweg zu beschränken. Berücksichtigen Sie reisende Mitarbeiter, wechselnde Wohnadressen und automatisierte Clients, bevor Sie eine Beschränkung durchsetzen. Prüfen Sie die Regel aus einer tatsächlich neuen Verbindung und behalten Sie während der gesamten Änderung den vereinbarten Wiederherstellungsweg bei. Das Ändern des SSH-Ports kann Hintergrund-Scanrauschen reduzieren, ersetzt jedoch keine starke Authentifizierung oder zeitnahe Updates. Vermeiden Sie unnötige Weiterleitung und Agent-Weiterleitung in alltäglichen Sitzungen. Ein Deployment-Job, der nur Dateien überträgt, sollte nicht automatisch dieselben Fähigkeiten erben wie ein menschlicher Administrator. Beschränken Sie jede Automatisierungsidentität auf die Aufgabe, die ihr Eigentümer erklären kann. Halten Sie OpenSSH und das Betriebssystem über ihren unterstützten Update-Prozess aktuell. Prüfen Sie Authentifizierungsfehler zusammen mit erfolgreichen Anmeldungen, Quellnetzwerken und geplanter Wartung. Eine hohe Zahl fehlgeschlagener öffentlicher Versuche ist ein Grund, die Exposition zu bewerten; sie ist kein Beweis dafür, dass auf ein bestimmtes Konto erfolgreich zugegriffen wurde. ## Schließen Sie mit einer wiederholbaren Zugriffsüberprüfung ab - Eine neue Sitzung verifiziert den erwarteten Host-Fingerabdruck und authentifiziert sich mit der vorgesehenen Identität. - Jeder Administrator kann genehmigte Arbeiten mit der erforderlichen Erhöhungsmethode ausführen. - Deployment- und Backup-Jobs sind weiterhin mit ihren eigenen eingeschränkten Identitäten erfolgreich. - Die bisherige Zugriffsmethode wird erst entfernt, nachdem Ersatz und Wiederherstellungsprüfungen bestanden sind. - Bei einer ausscheidenden Person werden Kontozugriff und individuelle Schlüssel zeitnah überprüft. Wiederholen Sie die Überprüfung, nachdem Sie einen Maintainer hinzugefügt, einen Server neu aufgebaut oder Ihre Authentifizierungsrichtlinie geändert haben. Bewahren Sie das genehmigte Zugriffsverzeichnis auf, ohne private Schlüssel in Projektnotizen oder Support-Tickets zu kopieren. Wenn Sie Hilfe anfordern, geben Sie die Serverreferenz, das Betriebssystem, den ungefähren Fehlerzeitpunkt und die genaue nicht geheime Fehlermeldung an. Eine klare Fehlerbeschreibung ist nützlicher als die Weitergabe der Kontrolle über eine Administrator-Anmeldeinformation. Produktbeispiele beziehen sich auf den veröffentlichten HM Bastion-Katalog. Verfügbarkeit, Preise und wählbare Optionen werden bei der Konfiguration einer Bestellung angezeigt. ## Wählen Sie Ihr nächstes Fundament. [Planen Sie eine unabhängige Wiederherstellungskopie](https://hmbastion.com/de/blog/backup-restore-drill-rpo-rto/) [Cloud-VPS-Ressourcen vergleichen](https://hmbastion.com/de/hosting/?category=cloud) [Ein Zugriffsproblem besprechen](https://hmbastion.com/de/support/) ## Quellen und weiterführende Literatur - [Ubuntu Server: OpenSSH-Konfiguration und -Validierung](https://ubuntu.com/server/docs/how-to/security/openssh-server/) - [OpenSSH-Handbuch: Server-Authentifizierungskontrollen](https://man.openbsd.org/sshd_config) - [OpenSSH-Handbuch: Client-Identitätsprüfungen und Weiterleitung](https://man.openbsd.org/ssh) ## Weiter entdecken [ Sicherheit 5 Min. Lesezeit ## Führen Sie eine Wiederherstellungsübung durch: Machen Sie aus RPO und RTO ein Wiederherstellungsverfahren Legen Sie Wiederherstellungsziele fest, erstellen Sie einen stimmigen Backup-Satz und messen Sie eine sichere Wiederherstellung mit Prüfungen auf Anwendungsebene. ](https://hmbastion.com/de/blog/backup-restore-drill-rpo-rto/) [ Planung 5 Min. Lesezeit ## Hosting mit getesteter Umschaltung und realistischem Rollback-Plan umziehen Anwendungsdaten, Zielprüfungen, DNS-Änderungen und den Punkt planen, ab dem ein Rollback Datenabgleich erfordert. ](https://hmbastion.com/de/blog/hosting-migration-cutover-rollback/)