Cloud-Server absichern: Grundschutz für Zugang, Netzwerk und Updates

Ein neu bereitgestellter Cloud-Server ist aus dem Internet erreichbar und wird oft schon nach wenigen Minuten von automatisierten Scans angesprochen. Die wichtigste Grundabsicherung besteht aus sechs Maßnahmen: Zugang per SSH-Schlüssel statt Passwort, eine Firewall mit möglichst wenigen offenen Ports, automatische Sicherheitsupdates, Zwei-Faktor-Authentisierung für das Anbieterkonto, Protokollierung und getestete Backups. Der Anbieter schützt die Plattform, aber Betriebssystem, Anwendungen und Zugriffsrechte liegen bei unmanaged Servern in Ihrer Verantwortung. Dieser Guide erklärt die Grundlagen herstellerneutral; konkrete Befehle finden Sie in der Dokumentation Ihres Betriebssystems und Anbieters.

Verantwortungsteilung

Bei Managed-Angeboten verschiebt sich ein Teil der Aufgaben zum Anbieter. Lesen Sie, welche Leistungen genau enthalten sind.

1. Zugang absichern

• SSH-Schlüssel statt Passwort: Passwortanmeldung per SSH deaktivieren und Schlüsselpaare verwenden. Privaten Schlüssel schützen, mit Passphrase.
• Kein direkter Root-Login: Einen normalen Benutzer mit Administrationsrechten (sudo) verwenden.
• Zwei-Faktor-Authentisierung für das Konto beim Anbieter und für Verwaltungsoberflächen.
• Eigene Zugänge pro Person, keine geteilten Passwörter. Konten ausscheidender Mitarbeiter sofort entfernen.
• Minimale Rechte: Jeder Benutzer und jedes Programm nur mit den Rechten, die er braucht.

2. Netzwerk und Firewall

Erlauben Sie nur den Verkehr, den Sie brauchen, und blockieren Sie den Rest.

1. Öffnen Sie nur die Ports für Ihre Dienste, etwa 80 und 443 für Websites.
2. Beschränken Sie SSH auf bekannte IP-Adressen oder greifen Sie über ein VPN oder einen Bastion-Host zu.
3. Machen Sie Datenbanken nicht öffentlich erreichbar, sondern nur über private Netzwerke oder lokale Verbindungen.
4. Nutzen Sie die Firewall des Anbieters und, falls nötig, zusätzlich die Firewall des Betriebssystems.
5. Prüfen Sie regelmäßig, welche Ports offen sind.

3. Updates und Patches

Die meisten erfolgreichen Angriffe nutzen bekannte Schwachstellen in nicht aktualisierter Software. Richten Sie automatische Sicherheitsupdates für das Betriebssystem ein und planen Sie Wartungsfenster für Anwendungen und Bibliotheken. Verwenden Sie Betriebssystem-Versionen, die noch Sicherheitsupdates erhalten, und planen Sie das Ende der Unterstützung ein. Testen Sie größere Updates möglichst vorher in einer Kopie der Umgebung.

4. Anwendungen und Konfiguration

• Standardzugänge und Beispielanwendungen entfernen.
• Verwaltungsoberflächen (etwa Datenbankverwaltung) nicht öffentlich betreiben oder zusätzlich schützen.
• Nur nötige Dienste starten.
• TLS (HTTPS) einsetzen, mit automatischer Zertifikatserneuerung und aktuellen Protokollversionen.
• Geheimnisse wie Passwörter und API-Schlüssel nicht im Quellcode ablegen, sondern in sicherer Verwaltung.

5. Protokolle und Überwachung

Aktivieren Sie die Protokollierung von Anmeldungen, Systemereignissen und Anwendungsfehlern. Prüfen Sie auffällige Anmeldeversuche und richten Sie Warnungen für ungewöhnliche Ereignisse ein. Werkzeuge, die wiederholt fehlgeschlagene Anmeldungen sperren, reduzieren Angriffe auf Anmeldedienste. Zentrale Protokollspeicherung außerhalb des Servers erschwert Angreifern das Verwischen von Spuren. Mehr zur Überwachung im Guide zu Monitoring und SLA. Beachten Sie, dass Protokolle personenbezogene Daten enthalten können, etwa IP-Adressen, und Aufbewahrungsfristen beachtet werden müssen.

6. Backups als letzte Verteidigungslinie

Kein Schutz ist perfekt. Ein getrenntes, getestetes Backup ermöglicht die Wiederherstellung nach einem Vorfall. Ein Backup, das im selben Konto liegt und mit denselben Zugangsdaten gelöscht werden kann, schützt nicht vor einem Angreifer, der Ihr Konto übernimmt. Mehr dazu im Guide zu Backups.

Rechtliche Aspekte

Die DSGVO verlangt nach Art. 32 angemessene technische und organisatorische Maßnahmen und nach Art. 33 die Meldung von Datenpannen an die Aufsichtsbehörde in der Regel binnen 72 Stunden, sofern ein Risiko für Betroffene besteht. Unternehmen aus bestimmten Sektoren können zusätzlich dem NIS-2-Regelwerk unterliegen, das in Deutschland durch ein Umsetzungsgesetz eingeführt wurde. Ob Sie betroffen sind, prüfen Sie anhand der offiziellen Informationen des BSI. Weitere Einzelheiten zu Verträgen mit dem Hoster stehen im DSGVO-Guide.

Checkliste für den Start

1. Zwei-Faktor-Authentisierung für das Anbieterkonto aktivieren.
2. Server mit aktuellem Image und SSH-Schlüssel anlegen.
3. Passwort-Anmeldung und Root-Login deaktivieren.
4. Firewall konfigurieren, nur benötigte Ports öffnen.
5. Automatische Sicherheitsupdates einschalten.
6. Dienste nur mit nötigen Rechten betreiben.
7. Backups einrichten und Wiederherstellung testen.
8. Monitoring und Warnungen aktivieren.
9. Dokumentation anlegen, wer welche Zugänge hat.

Typische Fehler

• Standardkonfiguration unverändert lassen.
• Datenbank ohne Firewall im Internet erreichbar.
• Geteilte Zugangsdaten oder Schlüssel im Team.
• Veraltete Software, weil Updates „später“ erledigt werden sollen.
• Zugangsdaten in öffentlichen Repositories.
• Keine Prüfung, wer Zugriff hat.

Häufige Fragen

Reicht die Firewall des Anbieters?

Sie ist eine gute Basis, ersetzt aber nicht die Absicherung des Betriebssystems und der Anwendungen. Mehrere Schutzschichten erhöhen die Sicherheit.

Wie finde ich heraus, ob mein Server angegriffen wird?

Prüfen Sie Protokolle auf fehlgeschlagene Anmeldungen, unbekannte Prozesse und ungewöhnliche Auslastung und richten Sie Warnungen ein. Bei Verdacht trennen Sie den Server vom Netz und holen Fachhilfe.

Brauche ich einen Sicherheits-Dienstleister?

Für kleine Projekte genügt oft die Grundabsicherung. Bei sensiblen Daten oder hoher Kritikalität kann ein externer Sicherheitsdienstleister sinnvoll sein.

Quellen und weiterführende Informationen

• BSI — IT-Grundschutz und Empfehlungen zur Server-Absicherung
• Bundesbeauftragte für den Datenschutz und die Informationsfreiheit — Meldung von Datenpannen
• Datenschutzkonferenz — Orientierungshilfen