Linux-Post-Installation-Checkliste: Grundkonfiguration des Servers

Niveau: Anfänger / Fortgeschritten
Geschätzte Zeit: ~40 Minuten
Ziel: Die wesentliche Erstkonfiguration eines Linux-VPS abschließen – SSH-Zugriff absichern, einen Sudo-Benutzer anlegen, eine Firewall konfigurieren, automatische Sicherheitsupdates einrichten und grundlegende Wartungsaufgaben mit Cron planen.

Einführung

Die ersten 30 Minuten nach der Bereitstellung eines VPS sind die wichtigsten. Ein frisch installierter Linux-Server ist weit offen: Root-Login über SSH ist meist aktiviert, es sind keine Firewall-Regeln vorhanden, und die Pakete sind bereits veraltet. Diese Linux-Checkliste zur Nachinstallation deckt jeden wichtigen Schritt für ein produktionsreifes oder Dev-Umgebungs-Setup ab – vom Anlegen eines Sudo-Benutzers und der Konfiguration der SSH-Schlüsselauthentifizierung bis hin zur Aktivierung von UFW und der Planung automatischer Sicherheitsupdates. Folgen Sie dieser Anleitung einmal, um sich vor den häufigsten Angriffsvektoren zu schützen, bevor Sie etwas darauf bereitstellen.

Diese Anleitung deckt Ubuntu-, Debian- und AlmaLinux-(RHEL-kompatible)-VPS-Instanzen ab.

Voraussetzungen

Stellen Sie vor Beginn sicher, dass folgende Bedingungen erfüllt sind:

• Betriebssystem: Ubuntu 20.04/22.04/24.04 LTS, Debian 11/12/13 oder AlmaLinux 8/9/10
• Zugriff: Root-SSH-Zugriff auf den Server (Passwort oder Schlüssel – Sie härten dies im Verlauf der Anleitung)
• Lokaler Rechner: SSH-Client verfügbar (ssh unter Linux/macOS, PuTTY oder Windows Terminal unter Windows)
• Erforderliche Kenntnisse: Grundlegende Nutzung der Linux-Kommandozeile – Navigieren in Verzeichnissen, Bearbeiten von Dateien mit nano
• Geschätzte Zeit: ~40 Minuten für einen sauberen ersten Durchlauf

Schritt 1: Den Server-Hostnamen festlegen

Ein passender Hostname macht Logs lesbar und verhindert Verwechslungen bei der Verwaltung mehrerer Server.

Aktualisieren Sie zunächst /etc/hosts, damit das System seinen neuen Hostnamen lokal auflösen kann. Öffnen Sie die Datei:

sudo nano /etc/hosts

Fügen Sie die Zeile für 127.0.1.1 hinzu oder aktualisieren Sie sie (oder 127.0.0.1, falls 127.0.1.1 nicht existiert), damit sie Ihrem neuen Hostnamen entspricht. Wenn Sie beispielsweise web-01 verwenden möchten:

127.0.1.1   web-01

Speichern und beenden (Strg+O, Enter, Strg+X).

Legen Sie anschließend den Hostnamen global mit hostnamectl fest:

sudo hostnamectl set-hostname <YOUR_HOSTNAME>

Überprüfen Sie, ob die Änderung angewendet wurde:

hostnamectl

Erwartete Ausgabe:

Static hostname: web-01
       Icon name: computer-vm
         Chassis: vm
      Machine ID: a1b2c3d4e5f6...
         Boot ID: ...
Operating System: Ubuntu 24.04.1 LTS
          Kernel: Linux 6.8.0-31-generic
    Architecture: x86-64

Schritt 2: Alle Pakete aktualisieren

Führen Sie sofort ein vollständiges Systemupdate durch. Pakete, die mit einem frischen VPS-Image ausgeliefert werden, sind fast immer veraltet.

Ubuntu/Debian (APT):

sudo apt update && sudo apt upgrade -y

AlmaLinux/RHEL (DNF):

sudo dnf update -y

Prüfen Sie nach Abschluss des Updates, ob ein Neustart erforderlich ist.

Debian/Ubuntu:

cat /var/run/reboot-required 2>/dev/null && echo "Reboot required" || echo "No reboot needed"

AlmaLinux/RHEL:

sudo dnf install -y dnf-utils
needs-restarting -r

Falls ein Neustart erforderlich ist, starten Sie jetzt neu, bevor Sie fortfahren – einige Kernel- und Bibliotheksupdates werden erst nach einem Neustart wirksam:

sudo reboot

Schritt 3: Einen Sudo-Benutzer anlegen

Als Root für die tägliche Arbeit angemeldet zu sein, ist unsicher und schlechte Praxis. Legen Sie einen regulären Benutzer an und gewähren Sie ihm sudo-Rechte.

3.1 Benutzer hinzufügen

sudo adduser <YOUR_USERNAME>

Unter Ubuntu/Debian werden Sie vom Befehl aufgefordert, ein Passwort festzulegen und optionale Kontaktfelder auszufüllen. Geben Sie das Passwort ein; überspringen Sie den Rest mit Enter.

Unter AlmaLinux/RHEL ist adduser ein Symlink zu useradd und läuft nicht-interaktiv, ohne nach einem Passwort zu fragen, wodurch das Konto gesperrt bleibt. Sie müssen das Passwort manuell festlegen:

sudo passwd <YOUR_USERNAME>

3.2 Sudo-Rechte gewähren

Ubuntu/Debian – fügen Sie den Benutzer der Gruppe sudo hinzu:

sudo usermod -aG sudo <YOUR_USERNAME>

AlmaLinux/RHEL – fügen Sie den Benutzer der Gruppe wheel hinzu:

sudo usermod -aG wheel <YOUR_USERNAME>

3.3 Zugriff überprüfen

Wechseln Sie zum neuen Benutzer und testen Sie sudo:

su - <YOUR_USERNAME>
sudo whoami

Erwartete Ausgabe:

root

Wenn root angezeigt wird, hat der Benutzer funktionierende Sudo-Rechte. Sie können sich nun von der Root-Sitzung abmelden:

exit

Schritt 4: SSH-Schlüsselauthentifizierung konfigurieren

Passwortbasiertes SSH ist anfällig für Brute-Force-Angriffe. Die SSH-Schlüsselauthentifizierung ersetzt das Passwort durch ein kryptografisches Schlüsselpaar – deutlich schwerer anzugreifen. Dies ist eine der wichtigsten Best Practices für die SSH-Konfiguration, die Sie anwenden können.

4.1 Ein SSH-Schlüsselpaar erzeugen (auf Ihrem lokalen Rechner)

Falls Sie noch kein SSH-Schlüsselpaar haben, erzeugen Sie eines auf Ihrem lokalen Rechner (nicht auf dem Server):

ssh-keygen -t ed25519 -C "<YOUR_USERNAME>@<YOUR_HOSTNAME>"

Akzeptieren Sie den Standard-Dateipfad. Legen Sie bei Aufforderung eine Passphrase fest – dies schützt den Schlüssel, falls Ihr lokaler Rechner jemals kompromittiert wird.

4.2 Den öffentlichen Schlüssel auf den Server kopieren

Kopieren Sie den Schlüssel von Ihrem lokalen Rechner aus in das Konto des neuen Benutzers:

ssh-copy-id <YOUR_USERNAME>@<YOUR_SERVER_IP>

Falls ssh-copy-id nicht verfügbar ist (z. B. unter Windows), kopieren Sie den Inhalt von ~/.ssh/id_ed25519.pub manuell und fügen Sie ihn an ~/.ssh/authorized_keys auf dem Server an.

4.3 Den schlüsselbasierten Login testen

Öffnen Sie ein neues Terminalfenster (schließen Sie die aktuelle Sitzung noch nicht) und testen Sie den Login:

ssh <YOUR_USERNAME>@<YOUR_SERVER_IP>

Sie sollten sich anmelden können, ohne nach einem Passwort gefragt zu werden (nur nach der Schlüssel-Passphrase, falls Sie eine festgelegt haben).

Schritt 5: SSH-Konfiguration härten und Root-Login deaktivieren

Nachdem der schlüsselbasierte Login bestätigt wurde (Schritt 4), sperren Sie den SSH-Daemon ab. Das Deaktivieren von Root-Login und Passwortauthentifizierung über SSH ist einer der wirksamsten Schritte in jeder Checkliste zur Linux-Server-Härtung.

Bei allen drei Distributionen enthält /etc/ssh/sshd_config nahe dem Anfang der Datei eine Zeile Include /etc/ssh/sshd_config.d/*.conf, und SSH wendet für jede Einstellung den ersten gefundenen Wert an. Herstellerspezifische Drop-in-Dateien sind bereits vorhanden und überschreiben alles, was Sie später in der Hauptdatei hinzufügen:

• Ubuntu 24.04: 50-cloud-init.conf setzt PasswordAuthentication yes
• AlmaLinux: 50-redhat.conf setzt X11Forwarding yes

Aus diesem Grund ist das Bearbeiten der Haupt-sshd_config unzuverlässig. Erstellen Sie stattdessen eine Härtungs-Drop-in-Datei mit einer niedrigen Nummer (00-), damit sie zuerst gelesen wird und die Herstellerdateien überschreibt. Dieselbe Datei funktioniert bei allen drei Distributionen.

Erstellen Sie die Drop-in-Datei:

sudo tee /etc/ssh/sshd_config.d/00-hardening.conf > /dev/null <<'EOF'
PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys
X11Forwarding no
EOF

Ein 00--Präfix garantiert, dass diese Datei vor herstellerspezifischen Drop-ins wie 50-cloud-init.conf und 50-redhat.conf geparst wird. Da SSH nach dem Prinzip „erster Treffer gewinnt" arbeitet, müssen Sie diese Dateien nicht bearbeiten.

Überprüfen Sie die Syntax der Konfiguration, bevor Sie den Dienst neu starten:

sudo sshd -t

Wenn der Befehl keine Ausgabe liefert, ist die Syntax gültig. Überprüfen Sie nun die effektiven Einstellungen, die der Daemon tatsächlich verwenden wird:

sudo sshd -T | grep -iE "permitrootlogin|passwordauthentication|x11forwarding"

Erwartete Ausgabe:

permitrootlogin no
passwordauthentication no
x11forwarding no

Starten Sie den SSH-Daemon neu, um die Änderungen anzuwenden.

Ubuntu 24.04 (Socket-Aktivierung):

sudo systemctl restart ssh.socket

Debian und ältere Ubuntu-Versionen:

sudo systemctl restart ssh

AlmaLinux/RHEL:

sudo systemctl restart sshd

Überprüfen Sie, ob der Dienst läuft (verwenden Sie sshd unter AlmaLinux, ssh.socket unter Ubuntu 24.04):

sudo systemctl status ssh

Sie sollten Active: active (running) sehen (oder active (listening) bei socket-aktiviertem SSH).

Bestätigen Sie nun, dass der Root-Login blockiert ist. Von Ihrem lokalen Rechner aus:

ssh root@<YOUR_SERVER_IP>

Erwartetes Ergebnis: Die Verbindung wird mit Permission denied (publickey) abgelehnt. Der Root-Login über SSH ist nun deaktiviert.

Schritt 6: Firewall konfigurieren (UFW)

UFW (Uncomplicated Firewall) ist das Standard-Firewall-Tool unter Ubuntu und Debian. Unter AlmaLinux ist firewalld die Standardeinstellung, aber UFW kann dort ebenfalls installiert werden. Dieser Schritt behandelt beide Vorgehensweisen.

6.1 UFW (Ubuntu/Debian)

Unter Debian (insbesondere Debian 13) ist ufw möglicherweise nicht standardmäßig installiert. Installieren Sie es zuerst:

sudo apt update && sudo apt install -y ufw

Prüfen Sie den aktuellen Status:

sudo ufw status

Erlauben Sie SSH, bevor Sie die Firewall aktivieren:

sudo ufw allow ssh

Erlauben Sie HTTP und HTTPS, falls Sie einen Webserver betreiben möchten:

sudo ufw allow http
sudo ufw allow https

Aktivieren Sie die Firewall:

sudo ufw enable

Überprüfen Sie die aktiven Regeln:

sudo ufw status verbose

Erwartete Ausgabe:

Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), disabled (routed)

To                         Action      From
--                         ------      ----
22/tcp                     ALLOW IN    Anywhere
80/tcp                     ALLOW IN    Anywhere
443/tcp                    ALLOW IN    Anywhere

6.2 Firewalld (AlmaLinux/RHEL)

Aktivieren und starten Sie firewalld:

sudo systemctl enable --now firewalld

Erlauben Sie SSH, HTTP und HTTPS:

sudo firewall-cmd --permanent --add-service=ssh
sudo firewall-cmd --permanent --add-service=http
sudo firewall-cmd --permanent --add-service=https
sudo firewall-cmd --reload

Überprüfen:

sudo firewall-cmd --list-all

Schritt 7: Systemuhr synchronisieren (NTP)

Eine genaue Uhrzeit ist erforderlich für Sicherheitsprotokolle (SSL/TLS-Validierung, Kerberos), korrekte Log-Zeitstempel und geplante Aufgaben. Eine nicht synchronisierte Uhr kann SSL-Zertifikatsfehler, fehlgeschlagene Authentifizierung und verwirrende Logeinträge verursachen.

Prüfen Sie den aktuellen Synchronisationsstatus:

timedatectl status

Erwartete Ausgabe:

System clock synchronized: yes
NTP service: active

Wenn der NTP-Dienst als inaktiv oder n/a angezeigt wird, installieren und aktivieren Sie chrony – den empfohlenen NTP-Daemon für Produktionsserver:

Ubuntu/Debian:

sudo apt install chrony -y
sudo systemctl enable --now chrony

AlmaLinux/RHEL:

sudo dnf install chrony -y
sudo systemctl enable --now chronyd

Warten Sie 30–60 Sekunden nach dem Start des Dienstes und überprüfen Sie dann, ob die Synchronisation aktiv ist:

chronyc tracking

Achten Sie auf Leap status: Normal. Das bestätigt, dass die Systemuhr synchronisiert ist und NTP korrekt funktioniert.

Schritt 8: Automatische Sicherheitsupdates aktivieren

Manuelle Updates funktionieren, hängen aber davon ab, dass Sie sich daran erinnern. Automatische Sicherheitsupdates sind ein Sicherheitsnetz – besonders wichtig für unbeaufsichtigte VPS-Instanzen. So konfigurieren Sie automatische Sicherheitsupdates unter Linux, ohne die Stabilität zu beeinträchtigen.

8.1 Ubuntu/Debian – unattended-upgrades

Installieren Sie das Paket:

sudo apt install unattended-upgrades -y

Aktivieren und konfigurieren Sie es:

sudo dpkg-reconfigure --priority=low unattended-upgrades

Überprüfen Sie die Konfiguration:

cat /etc/apt/apt.conf.d/20auto-upgrades

Erwartete Ausgabe:

APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";

Zum Testen ohne Anwendung von Änderungen:

sudo unattended-upgrade --dry-run --debug

8.2 AlmaLinux/RHEL – dnf-automatic

Installieren:

sudo dnf install dnf-automatic -y

Öffnen Sie die Konfigurationsdatei und setzen Sie den Upgrade-Typ auf „nur Sicherheit". Erstellen Sie zunächst ein Backup:

sudo cp /etc/dnf/automatic.conf /etc/dnf/automatic.conf.bak
sudo nano /etc/dnf/automatic.conf

Suchen Sie und setzen Sie:

apply_updates = yes
upgrade_type = security

Aktivieren und starten Sie den Timer:

sudo systemctl enable --now dnf-automatic.timer

Überprüfen:

sudo systemctl status dnf-automatic.timer

Schritt 9: Grundlegende Wartung mit Cron planen

Cron erledigt geplante Aufgaben – Dinge, die regelmäßig ohne manuellen Eingriff erfolgen müssen. Ein einfacher Cron-Job für Aufgaben wie Log-Bereinigung oder Zertifikatserneuerungsprüfungen ist Standardpraxis auf jedem verwalteten Server.

Vorbereitung für AlmaLinux/RHEL:

Auf einem sauberen AlmaLinux-10-System ist nano möglicherweise nicht installiert, und crontab -e öffnet vi. Um stattdessen nano zu verwenden, führen Sie diese einzelne Zeile aus, um sie sauber nacheinander auszuführen und sicherzustellen, dass die Umgebungsvariable bestehen bleibt:

sudo dnf install nano -y && export EDITOR=nano && crontab -e

Bei anderen Systemen (wie Ubuntu/Debian) öffnen Sie einfach die Crontab für den aktuellen Benutzer:

crontab -e

Beim ersten Ausführen (unter Ubuntu/Debian) werden Sie aufgefordert, einen Editor zu wählen. Wählen Sie nano (Option 1).

Häufige Cron-Job-Beispiele

Eine Aufgabe jede Nacht um 2:00 Uhr ausführen:

0 2 * * * /usr/local/bin/my-maintenance-script.sh >> /var/log/maintenance.log 2>&1

SSL-Zertifikate wöchentlich erneuern (für Certbot-Nutzer):

0 3 * * 0 certbot renew --quiet >> /var/log/certbot-renew.log 2>&1

Temporäre Dateien monatlich löschen:

0 4 1 * * find /tmp -type f -atime +30 -delete

Überprüfen Sie, ob Ihre Cron-Jobs registriert sind:

crontab -l

Sie sollten die von Ihnen hinzugefügten Einträge sehen. Cron liest die Datei automatisch – kein Neuladen erforderlich. Um zu prüfen, ob der Cron-Dienst läuft, verwenden Sie:

Ubuntu/Debian:

sudo systemctl status cron

AlmaLinux/RHEL:

sudo systemctl status crond

Überprüfung

Gehen Sie diese Checkliste durch, um zu bestätigen, dass alles korrekt angewendet wurde:

Hostname prüfen:

hostnamectl | grep hostname

Bestätigen Sie, dass kein Root-SSH-Login möglich ist und die Passwortauthentifizierung deaktiviert ist (dies prüft die aktive Laufzeitkonfiguration):

sudo sshd -T | grep -iE "permitrootlogin|passwordauthentication"

Erwartet:

permitrootlogin no
passwordauthentication no

Bestätigen Sie, dass der SSH-Dienst läuft:

# Für Ubuntu 24.04:
sudo systemctl status ssh.socket

# Für Debian / ältere Ubuntu-Versionen:
sudo systemctl status ssh

# Für AlmaLinux:
sudo systemctl status sshd

Firewall-Status prüfen (Ubuntu/Debian):

sudo ufw status verbose

NTP-Synchronisation prüfen:

timedatectl status | grep -E "synchronized|NTP"

Erwartet:

System clock synchronized: yes
NTP service: active

Automatische Updates prüfen (Ubuntu/Debian):

cat /etc/apt/apt.conf.d/20auto-upgrades

Aktive Cron-Jobs auflisten:

crontab -l

Rollback

So machen Sie bestimmte Schritte rückgängig, falls etwas schiefgegangen ist:

Root-SSH-Login wieder aktivieren (falls Sie sich ausgesperrt haben und über die Konsole wiederherstellen):

# Root-/Passwort-Login vorübergehend für die Wiederherstellung reaktivieren
sudo rm /etc/ssh/sshd_config.d/00-hardening.conf
sudo sshd -t

# SSH neu starten (verwenden Sie die Variante für Ihr System):
sudo systemctl restart ssh.socket   # Ubuntu 24.04
sudo systemctl restart ssh          # Debian / ältere Ubuntu-Versionen
sudo systemctl restart sshd         # AlmaLinux/RHEL

UFW deaktivieren:

sudo ufw disable

unattended-upgrades entfernen (Ubuntu/Debian):

sudo apt remove unattended-upgrades -y

dnf-automatic entfernen (AlmaLinux):

sudo systemctl disable --now dnf-automatic.timer
sudo dnf remove dnf-automatic -y

Einen Cron-Job entfernen:

crontab -e
# Löschen Sie die betreffende Zeile, speichern und beenden

Fazit

Damit ist die vollständige Linux-Checkliste zur Nachinstallation abgedeckt. Sie verfügen nun über einen Server mit einem passenden Hostnamen, vollständig aktualisierten Paketen, einem Nicht-Root-Sudo-Benutzer, eingerichteter SSH-Schlüsselauthentifizierung, deaktiviertem Root-Login, konfigurierter Firewall, synchronisiertem NTP, laufenden automatischen Sicherheitsupdates und einem erweiterbaren Cron-Job-Zeitplan. Dies ist die Grundkonfiguration für einen Linux-Server nach der Installation, die jeder VPS haben sollte, bevor etwas anderes darauf bereitgestellt wird.

Von hier aus hängen die logischen nächsten Schritte davon ab, wofür der Server verwendet wird:

• Webserver: Nginx oder Apache installieren, einen virtuellen Host einrichten und SSL mit Certbot konfigurieren
• Datenbank: MySQL/MariaDB oder PostgreSQL installieren und härten
• Monitoring: Log-Aggregation einrichten (z. B. logrotate) oder einen leichtgewichtigen Monitoring-Agenten
• Zugriffskontrolle: Die sudoers-Konfiguration überprüfen und Teammitglieder nach demselben Muster wie in Schritt 3 hinzufügen

Die Checkliste zur initialen Serverkonfiguration unter Linux endet hier nicht – sie entwickelt sich weiter, während die Rolle des Servers wächst. Aber diese Grundlage ist der nicht verhandelbare Ausgangspunkt.

Dokumentversion: 1.0
Zuletzt aktualisiert: Mai 2026
Verantwortlich: Technisches Dokumentationsteam