Grundlagen der VPS-Sicherheit

Ihr VPS ist Ihr Server — die Sicherheit liegt vollständig in Ihren Händen. Die meisten Angriffe entstehen nicht durch Schwachstellen auf Provider-Ebene, sondern durch veraltete Software, schwache Passwörter oder Schadcode, der über FTP, Plugins oder kompromittierte lokale Rechner eingeschleust wird.

Wie Server typischerweise kompromittiert werden

1. Veraltete CMS/Plugins Automatisierte Scanner durchsuchen das Web nach WordPress-, Joomla-, OpenCart- und ähnlichen Installationen mit alten Versionen oder unsicheren Plugins. Werden sie fündig → wird Schadcode (iframes, Weiterleitungen, Miner) eingeschleust.

2. Kompromittierte FTP-Zugangsdaten Malware auf Ihrem lokalen Rechner stiehlt FTP-Logins und Passwörter → der Angreifer meldet sich an und schleust Code direkt in Dateien ein.

3. .htaccess-Manipulation Angreifer überschreiben die .htaccess, um Besucher auf Phishing- oder Malware-Seiten umzuleiten oder versteckte Skripte auszuführen.

4. Hochgeladene Schadateien PHP-Dateien, die als Bilder getarnt sind, werden in /uploads, /images o.ä. hochgeladen → und beim Aufruf ausgeführt.

Grundlegende Sicherheitsmaßnahmen (sofort umsetzen)

1. Ausschließlich starke Passwörter & SSH-Schlüssel

   • Root-/Admin-Passwort: mindestens 16 zufällige Zeichen
   • Passwort-Login in SSH deaktivieren — ausschließlich Schlüssel verwenden:

     sudo nano /etc/ssh/sshd_config
     # Ändern oder hinzufügen:
     PasswordAuthentication no
     PermitRootLogin prohibit-password   # oder no
     sudo systemctl restart ssh
     

2. Alles aktuell halten Täglich ausführen:

   sudo apt update && sudo apt upgrade -y && sudo apt autoremove -y
   

3. Korrekte Dateirechte

   • Dateien: 644
   • Ordner: 755
   • wp-config.php / configuration.php: 600

     find /var/www/ -type f -exec chmod 644 {} \;
     find /var/www/ -type d -exec chmod 755 {} \;
     

4. Firewall — nur das Notwendige freigeben UFW-Beispiel (22/SSH, 80/HTTP, 443/HTTPS):

   sudo ufw allow OpenSSH
   sudo ufw allow 80/tcp
   sudo ufw allow 443/tcp
   sudo ufw enable
   sudo ufw status
   

5. Fail2Ban — Schutz vor Brute-Force-Angriffen Installation:

   sudo apt install fail2ban -y
   

   Fail2Ban sperrt IPs automatisch nach mehrfach fehlgeschlagenen Anmeldeversuchen (funktioniert für SSH ohne weitere Konfiguration).

6. Malware-Scanner & Rootkit-Detektoren

   • ClamAV — Datei-Scanner:

   sudo apt install clamav clamav-daemon -y
   sudo freshclam
   sudo clamscan -r /var/www
   

   • Rkhunter — Rootkit- und Malware-Erkennung:

   sudo apt install rkhunter -y
   sudo rkhunter --update
   sudo rkhunter --check
   

   • Lynis — Sicherheitsaudit:

   sudo apt install lynis -y
   sudo lynis audit system
   

7. Backups — Ihr Sicherheitsnetz

• Tägliche automatisierte Backups (nicht nur auf dem Server — auch lokal oder in der Cloud speichern)
• Wiederherstellung regelmäßig testen
• Bei Infektion: Eine saubere Wiederherstellung ist schneller als die manuelle Bereinigung

Wenn Ihre Website/Ihr Server bereits kompromittiert ist

1. Isolieren — Website vorübergehend deaktivieren (index.php umbenennen oder über .htaccess sperren)
2. Alle Passwörter ändern (FTP, CMS-Admin, SSH, Datenbank, Verwaltungspanel)
3. Scan durchführen (ClamAV + Rkhunter + manuelle Prüfung)
4. Manuelle Inspektion:
   • Kürzlich geänderte Dateien:

   find /var/www/ihre_website/ -type f -mtime -7 -ls
   

   • PHP-Dateien in Uploads/Images-Verzeichnissen:

   find /var/www/ihre_website/uploads/ -type f -iname "*.php"
   

   • Verdächtige Code-Muster:

   grep -ril "base64_decode\|eval\|gzinflate\|fromCharCode" /var/www/ihre_website/
   

5. Aus sauberem Backup wiederherstellen
6. CMS, Plugins und Themes aktualisieren
7. .htaccess auf Weiterleitungen/iframes prüfen