SSH & HärtungStand: 02.11.2026

Netcup SSH absichern: Keys, Port und Fail2ban

Root-Zugriff ist mächtig. Dieser Guide zeigt die Reihenfolge, mit der du SSH absicherst, ohne dich auszusperren.

1. Key statt Passwort

Erzeuge lokal einen ED25519-Key und kopiere den Public Key auf den Server. Danach deaktivierst du Passwort-Login. Teste die Key-Anmeldung in einer zweiten Sitzung, bevor du die alte schließt.

ssh-keygen -t ed25519 -a 100 -C "[email protected]"
ssh-copy-id -i ~/.ssh/id_ed25519.pub [email protected]

# Auf dem Server:
sudo sed -i 's/^#\?PasswordAuthentication.*/PasswordAuthentication no/' /etc/ssh/sshd_config
sudo sed -i 's/^#\?PermitRootLogin.*/PermitRootLogin prohibit-password/' /etc/ssh/sshd_config
sudo sshd -t && sudo systemctl reload ssh

Hinweis: Öffne eine zweite SSH-Sitzung und teste den Key-Login, bevor du die erste schließt. Sonst riskierst du eine Aussperrung.

2. Port ändern

Ein anderer Port reduziert automatische Scans, ist aber kein Sicherheitsmerkmal. Öffne den neuen Port zuerst in der SCP- und Host-Firewall, dann ändere sshd_config und starte den Dienst neu.

# In /etc/ssh/sshd_config:
Port 2222

sudo ufw allow 2222/tcp
sudo sshd -t && sudo systemctl restart ssh
ssh -p 2222 [email protected]

Hinweis: Erst Firewall, dann sshd. Wenn du die Reihenfolge umdrehst, ist der neue Port blockiert.

3. Fail2ban

Fail2ban sperrt IPs nach wiederholten Fehlversuchen. Für SSH reicht ein Jail auf das auth.log; teste den Status nach dem Start.

sudo apt install fail2ban
sudo systemctl enable --now fail2ban
sudo fail2ban-client status sshd

4. Aussperrung vermeiden

Wenn du dich aussperrst, hilft die SCP-Konsole oder das Rescue-System. Halte eine Sicherung der sshd_config und einen zweiten Zugangsweg bereit; deaktiviere Passwort-Login erst nach erfolgreichem Key-Test.

SCP-Konsole und Rescue-System testen, bevor du brauchst.
sshd_config vor Änderungen kopieren.
Key-Login in zweiter Sitzung verifizieren.
Root-Login nur mit Key, nicht mit Passwort.

Offizielle Quellen

Erster ServerzugangPasswort, Konsole und erster Login.Rescue-SystemZugang bei Aussperrung.SCP-FirewallPorts freigeben.Login-TroubleshootingOffizielle Fehlersuche.

Passende Tarife

RS 1000 G12.5

Bestseller

Root-Server • G12.5

2 Monate gratis

21,73 €/ Monatinkl. 19 % MwSt.12 Monate Laufzeit

4 dedizierte Kerne (AMD EPYC 9645) · 8 GB RAM · 128 GB NVMe · 2.5 Gbit/s

GB6: 2.290/7.559 · Steal: 0,0 %

Aktuellen Code laden…

VPS 1000 G12.5

Bestseller

VPS • G12.5

1 Monat gratis

14,50 €/ Monatinkl. 19 % MwSt.12 Monate Laufzeit

4 vCores (x86) · 8 GB RAM · 128 GB SSD · 2.5 Gbit/s

GB6: 1.720/4.650 · Steal: 1,2 %

Aktuellen Code laden…

Häufige Fragen

Welchen SSH-Key-Typ soll ich nehmen?

ED25519 ist eine gute Wahl für neue Keys. RSA 4096 funktioniert weiterhin, ist aber größer und langsamer. Entscheidend ist ein starkes Passwort auf dem Key.

Warum kann ich mich nach der Portänderung nicht verbinden?

Meist fehlt die Freigabe in der SCP- oder Host-Firewall. Öffne den neuen Port zuerst, prüfe sshd -t und starte den Dienst neu.

Quelle

Wie komme ich zurück, wenn ich mich ausgesperrt habe?

Nutze die SCP-Konsole oder das Rescue-System, um sshd_config zu korrigieren. Teste den Zugang, bevor du die alte Sitzung schließt.

Quelle