# Wie härte ich SSH auf einem neuen VPS ab?

> SSH auf neuem VPS in 6 Schritten absichern: nur Schlüssel, sudo-Benutzer, Root-Login aus, dann sshd -t. Dusk mit 2 GB RAM: $5.25 pro Monat.

- URL: https://gloamport.com/de/guides/how-to-harden-ssh-on-a-vps/
- Zuletzt aktualisiert: 2026-11-10
- Herausgeber: Gloamport (https://gloamport.com)

Sechs Änderungen an sshd_config dauern etwa zehn Minuten. Lassen Sie Ihre erste Sitzung offen, bis die letzte getestet ist.

**Kurze Antwort — Wie härte ich SSH auf einem neuen VPS ab?**

Um SSH auf einem neuen VPS abzusichern, legen Sie einen sudo-Benutzer an, installieren Ihren öffentlichen Schlüssel und setzen dann PasswordAuthentication no, PermitRootLogin no und AllowUsers in einer Drop-in-Datei unter /etc/ssh/sshd_config.d/. Prüfen Sie sie mit sshd -t und laden Sie den Dienst neu. Gloamport Dusk, 1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic, kostet $5.25 pro Monat bei 12 Monaten.

## Welche sshd_config-Optionen sind auf einem neuen VPS am wichtigsten?

| Option | Wert | Standard laut sshd_config-Handbuch |
| --- | --- | --- |
| `PasswordAuthentication` | `no` | `yes` |
| `KbdInteractiveAuthentication` | `no` | `yes` (die Datei von Debian setzt `no`) |
| `PermitRootLogin` | `no` | `prohibit-password` |
| `PubkeyAuthentication` | `yes` | `yes` |
| `AllowUsers` | Ihr sudo-Benutzer | alle Benutzer |
| `MaxAuthTries` | `3` | 6 |
| `LoginGraceTime` | `30` | 120 Sekunden |

Standardwerte laut sshd_config(5), geprüft am 2026-11-10. Die Werte in der mittleren Spalte sind die Wahl dieses Leitfadens.

## Warum SSH vor allem anderen absichern?

SSH ist der einzige Dienst, den jeder VPS ab der ersten Minute offen anbietet, deshalb ist es die erste Tür, die man verriegelt. Passwort-Raten gegen Port 22 beginnt, sobald eine Adresse aktiv ist, und eine reine Schlüssel-Anmeldung entfernt diese ganze Angriffsklasse.

Root over SSH. Paste a public key at checkout and password login stays switched off; leave it empty and the team sets a temporary root password, shown in your dashboard, that you change at first login. Wenn Sie bei der Bestellung einen Schlüssel eingefügt haben, ist die Passwort-Anmeldung bereits aus, und dieser Leitfaden ergänzt die übrigen Grenzen. Wenn Sie ein temporäres Root-Passwort erhalten haben, ändern Sie es beim ersten Login mit `passwd`, bevor Sie irgendetwas anderes tun. Laut Gloamports Umfrage unter 10. November 2026 nehmen 6 Hosts Monero und verlangen bei der Registrierung keine E-Mail-Adresse. Auf diesen Servern sind daher der SSH-Schlüssel und die Kontonummer die einzigen Geheimnisse, die die Maschine schützen.

## Wie härte ich SSH auf einem neuen VPS ab, Schritt für Schritt?

Gehen Sie in dieser Reihenfolge vor und lassen Sie die erste Sitzung bis zum Ende offen.

1. **Einen regulären Benutzer anlegen** — Führen Sie adduser aus und nehmen Sie den Benutzer in die Gruppe sudo auf, damit Sie nicht mehr als root arbeiten.
2. **Öffentlichen Schlüssel für diesen Benutzer installieren** — Kopieren Sie Ihren autorisierten Schlüssel zum neuen Benutzer oder führen Sie ssh-copy-id -i von Ihrem eigenen Computer aus. Testen Sie die Anmeldung in einem zweiten Terminal.
3. **Drop-in-Datei schreiben** — Legen Sie /etc/ssh/sshd_config.d/00-hardening.conf mit den Optionen aus der Tabelle an. Debian bindet diesen Ordner am Anfang von sshd_config ein, und der erste Wert einer Option gilt. Deshalb muss der Name früh sortiert werden.
4. **Konfiguration testen** — Führen Sie sshd -t aus. Der Befehl prüft die Konfigurationsdatei und die Schlüssel, ohne etwas neu zu starten. Führen Sie sshd -T aus, um die tatsächlich wirksamen Werte anzuzeigen.
5. **Dienst neu laden** — Starten Sie ssh neu und öffnen Sie eine neue Sitzung als neuer Benutzer, bevor Sie die alte schließen.
6. **Prüfen, dass root und Passwörter abgelehnt werden** — Versuchen Sie aus einem anderen Terminal, sich als root und mit einem Passwort anzumelden. Beides muss fehlschlagen.

## Wie lege ich einen sudo-Benutzer an und gebe ihm meinen Schlüssel?

Legen Sie den Benutzer an, nehmen Sie ihn in die Gruppe `sudo` auf und kopieren Sie den autorisierten Schlüssel des Root-Kontos zu ihm. Verwenden Sie Ihren Schlüssel aus [Wie erzeuge ich einen SSH-Schlüssel für meinen VPS?](https://gloamport.com/de/guides/how-to-generate-an-ssh-key/ "Wie erzeuge ich einen SSH-Schlüssel für meinen VPS?"), falls Sie noch keinen haben. Ersetzen Sie `admin` durch den gewünschten Benutzernamen.

*Benutzer anlegen und Schlüssel kopieren (als root)*

```bash
adduser admin
usermod -aG sudo admin
mkdir -p /home/admin/.ssh
cp /root/.ssh/authorized_keys /home/admin/.ssh/authorized_keys
chown -R admin:admin /home/admin/.ssh
chmod 700 /home/admin/.ssh
chmod 600 /home/admin/.ssh/authorized_keys
```

## Was gehört in die Drop-in-Datei von sshd_config?

Legen Sie die Optionen in eine einzige Drop-in-Datei, damit ein Paket-Upgrade sie nie überschreibt. Das Handbuch von sshd_config sagt, dass bei den meisten Schlüsselwörtern der erste erhaltene Wert gilt und dass die Datei von Debian `/etc/ssh/sshd_config.d/*.conf` am Anfang einbindet. Das Präfix `00-` sorgt also dafür, dass Ihre Datei gewinnt, auch gegenüber Dateien wie der Drop-in-Datei eines Cloud-Images.

*/etc/ssh/sshd_config.d/00-hardening.conf*

```text
PasswordAuthentication no
KbdInteractiveAuthentication no
PubkeyAuthentication yes
PermitRootLogin no
AllowUsers admin
MaxAuthTries 3
LoginGraceTime 30
```

*Testen, dann anwenden*

```bash
sshd -t
sshd -T | grep -E "passwordauthentication|permitrootlogin|allowusers"
systemctl restart ssh
```

> **Schließen Sie nie Ihre einzige Sitzung** Wenn AllowUsers einen Benutzer nennt, dessen Schlüssel fehlt, sperren Sie sich selbst aus. Lassen Sie die erste Sitzung offen, testen Sie eine zweite Anmeldung als neuer Benutzer und schließen Sie erst dann die erste. sshd -t prüft die Syntax, nicht ob Ihr Schlüssel installiert ist.

## Soll ich den SSH-Port ändern oder eine Firewall einrichten?

Ein anderer Port verringert das Log-Rauschen, bietet aber keine echte Sicherheit. Betrachten Sie ihn daher als optional. Das Handbuch erlaubt, ihn mit `Port` zu setzen, und mehrere `Port`-Zeilen sind erlaubt. Wenn Sie den Port ändern, öffnen Sie den neuen Port in Ihrer Firewall, bevor Sie `ssh` neu starten. Volle KVM-Virtualisierung: Ihr eigener Kernel, Ihre eigenen Firewall-Regeln und Ihre eigene Festplattenverschlüsselung, falls Sie sie einrichten, sodass Sie die Firewall betreiben, die zu Ihnen passt.

Sobald SSH dicht ist, folgen die nächsten Schichten: ein privater Tunnel ([Wie richte ich WireGuard auf einem VPS ein?](https://gloamport.com/de/guides/how-to-set-up-wireguard-on-a-vps/ "Wie richte ich WireGuard auf einem VPS ein?")) und ein verschlüsseltes Datenvolumen ([Kann ich eine VPS-Festplatte mit LUKS verschlüsseln?](https://gloamport.com/de/guides/how-to-encrypt-a-vps-disk-with-luks/ "Kann ich eine VPS-Festplatte mit LUKS verschlüsseln?")). Dusk mit 2 GB RAM kostet $5.25 pro Monat bei 12 Monaten; siehe [die Preisseite](https://gloamport.com/de/pricing/ "Was kostet ein Gloamport-VPS?").

**Zusammenfassung**

- Als sudo-Benutzer arbeiten, nicht als root.
- Setzen Sie `PasswordAuthentication no` und `KbdInteractiveAuthentication no`.
- Setzen Sie `PermitRootLogin no`, sobald der sudo-Benutzer funktioniert.
- Verwenden Sie `AllowUsers`, um festzulegen, wer sich anmelden darf.
- Legen Sie die Optionen in eine Drop-in-Datei, deren Name früh sortiert wird, etwa `00-hardening.conf`.
- Führen Sie `sshd -t` vor jedem Neustart aus und halten Sie eine zweite Sitzung offen.
- Dusk kostet $5.25 pro Monat bei 12 Monaten.

## SSH auf einem VPS absichern: häufige Fragen

### Was bedeutet PermitRootLogin prohibit-password?

Es erlaubt root, sich mit einem Schlüssel, aber nicht mit einem Passwort anzumelden. Das Handbuch nennt dies als Standard, und `no` geht einen Schritt weiter.

### Warum hat meine Änderung in sshd_config keine Wirkung?

Der erste Wert einer Option gilt, und Debian bindet den Ordner sshd_config.d zuerst ein. Eine frühere Drop-in-Datei setzt die Option womöglich schon. Nennen Sie Ihre Datei daher `00-hardening.conf` und prüfen Sie mit `sshd -T`.

### Wie teste ich die Konfiguration, ohne SSH zu zerstören?

Führen Sie `sshd -t` aus, das nur die Konfigurationsdatei und die Schlüssel prüft. Halten Sie beim Neustart eine zweite Sitzung offen.

### Muss ich die Passwort-Anmeldung abschalten, wenn ich bei der Bestellung einen Schlüssel eingefügt habe?

Bei Gloamport ist die Passwort-Anmeldung bei einem eingefügten Schlüssel bereits aus. Die Optionen in einer Drop-in-Datei sorgen dafür, dass das nach Upgrades so bleibt.

### Was bewirkt MaxAuthTries?

Es begrenzt die Anmeldeversuche pro Verbindung. Das Handbuch nennt 6 als Standard, und dieser Leitfaden setzt 3.

## Quellen

1. [Handbuchseite sshd_config(5)](https://manpages.debian.org/trixie/openssh-server/sshd_config.5.en.html) — Debian (checked 2026-11-10)
2. [Handbuchseite sshd(8) (-t und -T)](https://manpages.debian.org/trixie/openssh-server/sshd.8.en.html) — Debian (checked 2026-11-10)
3. [Handbuchseite ssh-copy-id(1)](https://manpages.debian.org/trixie/openssh-client/ssh-copy-id.1.en.html) — Debian (checked 2026-11-10)

---

Gloamport: Gloamport ist ein VPS-Anbieter, der Linux-KVM-Server ohne KYC verkauft. Bestellt wird mit einer Kontonummer, bezahlt wird mit Krypto, zuerst Monero. Betrieben wird er von DomaineGoat LLC, einem in Panama eingetragenen Unternehmen. Eine Bestellung fragt nach einem Tarif, einer Münze und, nur wenn Sie wollen, einer E-Mail-Adresse: kein Name, keine Postanschrift, keine Telefonnummer und kein Ausweisdokument. Bei der 12-Monats-Laufzeit ist jeder Tarif mindestens 25 % günstiger als ein genannter vergleichbarer Tarif aus einer Umfrage unter 38 VPS-Anbietern ohne KYC, die Krypto annehmen, gelesen am 10. November 2026.