Linux-Server absichern: 15 Maßnahmen für mehr Sicherheit

Was bedeutet Linux-Server-Hardening?

Unter Linux-Server-Hardening versteht man die gezielte Absicherung eines Systems durch technische und organisatorische Maßnahmen.

Ziel ist es, unnötige Angriffsflächen zu reduzieren, unberechtigte Zugriffe zu erschweren und die Auswirkungen möglicher Sicherheitsvorfälle zu begrenzen.

Dabei geht es nicht ausschließlich um den Linux-Kernel oder die Einstellungen des Betriebssystems.

Auch Webserver, Datenbanken, Anwendungen, Benutzerkonten, Netzwerkverbindungen und externe Dienste müssen berücksichtigt werden.

Warum Linux nicht automatisch sicher ist

Linux bietet zahlreiche Sicherheitsmechanismen. Ob diese wirksam eingesetzt werden, hängt jedoch von der konkreten Konfiguration und Administration ab.

Ein Server kann beispielsweise technisch aktuell sein, aber trotzdem über unzureichend geschützte administrative Zugänge verfügen.

Ebenso kann eine restriktive Firewall wenig helfen, wenn eine öffentlich erreichbare Webanwendung eine ausnutzbare Sicherheitslücke enthält.

Deshalb sollte Linux-Sicherheit immer als Zusammenspiel mehrerer Schutzmaßnahmen verstanden werden.

Welche Linux-Server sollten besonders geprüft werden?

Besondere Aufmerksamkeit verdienen Systeme, die aus dem Internet erreichbar sind oder wichtige Unternehmensprozesse unterstützen.

• Webserver mit Apache oder Nginx
• Server mit individuellen PHP-Anwendungen
• Datenbankserver mit geschäftskritischen Informationen
• Mailserver und Kommunikationssysteme
• Virtuelle Maschinen in Cloud-Umgebungen
• Server mit externen Schnittstellen
• Systeme mit administrativen Zugängen aus dem Internet
• Ältere Server mit unklarer Wartungshistorie

Auch interne Systeme benötigen geeignete Schutzmaßnahmen. Eine fehlende öffentliche Erreichbarkeit allein bedeutet nicht, dass keine Sicherheitsrisiken bestehen.

15 Maßnahmen, mit denen Unternehmen ihre Linux-Server absichern können

Die folgenden Maßnahmen bilden eine praxisorientierte Grundlage für die Absicherung produktiver Linux-Systeme.

Nicht jede Einstellung lässt sich unverändert auf jede Umgebung übertragen. Vor Änderungen sollten bestehende Abhängigkeiten und mögliche Auswirkungen auf den Betrieb geprüft werden.

1. Unterstützte Linux-Versionen verwenden

Eine wichtige Voraussetzung für einen sicheren Serverbetrieb ist eine Betriebssystemversion, für die geeignete Sicherheitsupdates verfügbar sind.

Wenn die reguläre Unterstützung einer Distribution endet, können bekannte Schwachstellen unter Umständen nicht mehr über den üblichen Update-Prozess behoben werden.

Deshalb sollten Unternehmen regelmäßig prüfen, welche Linux-Distribution und Version eingesetzt werden.

Relevant sind unter anderem:

• Distribution und Versionsstand
• Aktueller Supportstatus
• Verfügbare Sicherheitsupdates
• Abhängigkeiten von älteren Softwarepaketen
• Möglichkeiten für ein kontrolliertes Upgrade

Bei älteren Systemen kann ein Upgrade auf eine unterstützte Version erforderlich werden.

Vor einem solchen Schritt müssen jedoch die Kompatibilität der Anwendungen und die Wiederherstellungsmöglichkeiten geprüft werden.

2. Sicherheitsupdates regelmäßig installieren

Bekannte Sicherheitslücken können ein erhebliches Risiko darstellen, wenn verfügbare Korrekturen nicht eingespielt werden.

Deshalb benötigen produktive Linux-Server einen nachvollziehbaren Update-Prozess.

Dazu gehört nicht nur das Betriebssystem.

Auch Webserver, Datenbanken, Laufzeitumgebungen und weitere installierte Komponenten müssen berücksichtigt werden.

Bei geschäftskritischen Anwendungen sollten Updates vorbereitet und ihre möglichen Auswirkungen geprüft werden.

Wie sich notwendige Aktualisierungen kontrolliert durchführen lassen, erklären wir im Beitrag Linux-Server aktualisieren: Updates mit weniger Ausfallrisiko planen.

3. SSH-Zugänge absichern

SSH wird häufig für die Administration von Linux-Servern verwendet.

Ein unzureichend geschützter SSH-Zugang kann deshalb ein besonders relevantes Sicherheitsrisiko darstellen.

Zur Absicherung gehören beispielsweise:

• Individuelle administrative Benutzerkonten
• Geeignete schlüsselbasierte Authentifizierung
• Schutz privater SSH-Schlüssel
• Beschränkung erlaubter Benutzer oder Gruppen
• Deaktivierung nicht benötigter Anmeldeverfahren
• Begrenzung der Netzwerkzugriffe auf SSH
• Protokollierung administrativer Anmeldungen

Wo technisch sinnvoll, können zusätzliche Authentifizierungsfaktoren eingesetzt werden.

Prüfen Sie die SSH-Konfiguration vor dem Aktivieren der Änderungen. Lassen Sie eine funktionierende Sitzung geöffnet und testen Sie den neuen Zugang separat. Klären Sie vorab, wie Sie bei einem Fehler über die Konsole oder einen anderen unabhängigen Verwaltungszugang zurückkehren können.

Eine fehlerhafte Einstellung kann dazu führen, dass Administratoren keinen Zugriff mehr auf den Server erhalten.

4. Direkte Root-Anmeldungen einschränken

Der Root-Benutzer verfügt unter Linux über weitreichende administrative Rechte.

Für den regulären Betrieb ist es häufig sinnvoll, persönliche Benutzerkonten mit gezielt vergebenen administrativen Berechtigungen zu verwenden.

Dadurch lassen sich administrative Tätigkeiten besser zuordnen.

Eine direkte Root-Anmeldung über SSH sollte nur dann zugelassen werden, wenn sie für die jeweilige Umgebung erforderlich und angemessen abgesichert ist.

Vor Änderungen müssen alternative administrative Zugänge überprüft werden.

5. Firewall-Regeln restriktiv konfigurieren

Eine Firewall kann helfen, unerwünschte Netzwerkverbindungen zu begrenzen.

Grundsätzlich sollten nur diejenigen Verbindungen erlaubt werden, die für den vorgesehenen Betrieb tatsächlich notwendig sind.

Ein öffentlich erreichbarer Webserver benötigt beispielsweise andere Netzwerkfreigaben als ein interner Datenbankserver.

Wichtige Fragen sind:

• Welche Dienste müssen aus dem Internet erreichbar sein?
• Welche Verbindungen werden ausschließlich intern benötigt?
• Welche administrativen Zugänge lassen sich einschränken?
• Welche ausgehenden Verbindungen sind erforderlich?
• Welche Regeln werden nicht mehr benötigt?

Firewall-Regeln sollten dokumentiert und nach Änderungen getestet werden.

Bei Cloud-Systemen müssen gegebenenfalls zusätzliche Netzwerkregeln auf Plattformebene berücksichtigt werden.

6. Nicht benötigte Dienste deaktivieren

Jeder zusätzliche Netzwerkdienst kann eine weitere potenzielle Angriffsfläche darstellen.

Deshalb sollten installierte und aktive Dienste regelmäßig überprüft werden.

Besonders wichtig ist die Frage, ob ein Dienst für den aktuellen Betrieb tatsächlich benötigt wird.

Ein nicht verwendeter Dienst sollte nach Prüfung seiner Abhängigkeiten deaktiviert oder entfernt werden.

Das betrifft beispielsweise:

• Nicht mehr benötigte Webdienste
• Veraltete Verwaltungsoberflächen
• Ungenutzte Datenbankinstanzen
• Überflüssige Netzwerkdienste
• Zurückgebliebene Testanwendungen

Vor dem Entfernen sollten technische Abhängigkeiten berücksichtigt werden, damit notwendige Anwendungen nicht unbeabsichtigt ausfallen.

7. Benutzerkonten und Berechtigungen überprüfen

Auf produktiven Servern sammeln sich mit der Zeit häufig Benutzerkonten und Zugriffsrechte an.

Das kann besonders dann passieren, wenn mehrere Administratoren oder externe Dienstleister nacheinander mit dem System gearbeitet haben.

Unternehmen sollten regelmäßig prüfen:

• Welche Benutzerkonten existieren?
• Welche Konten werden tatsächlich benötigt?
• Wer besitzt administrative Berechtigungen?
• Welche SSH-Schlüssel sind hinterlegt?
• Welche technischen Servicekonten existieren?
• Welche Zugänge gehören ehemaligen Mitarbeitern oder Dienstleistern?

Ein bewährtes Prinzip ist die Vergabe möglichst geringer notwendiger Berechtigungen.

Dieses Vorgehen wird als Least Privilege bezeichnet.

Wenn die bisherige Serverbetreuung weggefallen ist, sollte die Überprüfung administrativer Zugänge besonders sorgfältig erfolgen.

Weitere Informationen dazu finden Sie im Beitrag Linux-Administrator weg? So übernehmen Unternehmen ihre Server sicher.

8. Webserver und Anwendungen absichern

Ein sicher konfiguriertes Linux-Betriebssystem allein schützt nicht vor Sicherheitslücken in Webanwendungen.

Deshalb sollten auch Apache, Nginx, PHP-Anwendungen und weitere öffentlich erreichbare Dienste regelmäßig geprüft werden.

Wichtige Bereiche sind:

• Unterstützte Softwareversionen
• Sichere Konfigurationen
• Geeignete Datei- und Verzeichnisberechtigungen
• Schutz administrativer Oberflächen
• Vermeidung unnötiger Informationsfreigaben
• Kontrolle eingesetzter Erweiterungen und Abhängigkeiten

Bei individuellen Anwendungen kann zusätzlich eine Prüfung des Anwendungscodes erforderlich sein.

Insbesondere ältere PHP-Anwendungen sollten nicht ohne Kompatibilitätsprüfung auf neue Laufzeitumgebungen umgestellt werden.

9. Datenbanken vor unberechtigten Zugriffen schützen

Datenbanken enthalten häufig besonders wichtige Unternehmensinformationen.

Deshalb sollten ihre Netzwerkzugriffe und Berechtigungen gezielt eingeschränkt werden.

Eine Datenbank muss nicht automatisch aus dem öffentlichen Internet erreichbar sein.

Wenn ausschließlich lokale oder interne Anwendungen darauf zugreifen, sollten die Netzwerkfreigaben entsprechend begrenzt werden.

Zusätzlich sollten Datenbankkonten nur die Berechtigungen erhalten, die für ihre Aufgaben erforderlich sind.

Administrative Datenbankzugänge sollten nicht für gewöhnliche Anwendungsabfragen verwendet werden.

10. TLS und verschlüsselte Verbindungen einsetzen

Bei der Übertragung sensibler Informationen sollten geeignete verschlüsselte Verbindungen verwendet werden.

Das betrifft beispielsweise:

• HTTPS-Verbindungen zu Webanwendungen
• Administrative Fernzugriffe
• Verbindungen zwischen Anwendungen und Datenbanken
• Kommunikation mit externen Schnittstellen
• Übertragung von Backups

Wichtig sind außerdem die Verwaltung von Zertifikaten und die Vermeidung veralteter oder unsicherer Protokollkonfigurationen.

Eine verschlüsselte Verbindung schützt jedoch nicht automatisch vor Sicherheitslücken in der Anwendung selbst.

11. Sicherheitsrelevante Ereignisse protokollieren

Ohne geeignete Protokolle ist es schwierig, ungewöhnliche Aktivitäten nachzuvollziehen.

Deshalb sollten wichtige System- und Sicherheitsereignisse erfasst werden.

Dazu können gehören:

• Administrative Anmeldungen
• Fehlgeschlagene Authentifizierungsversuche
• Änderungen an wichtigen Systemdiensten
• Relevante Anwendungsfehler
• Firewall-Ereignisse
• Ungewöhnliche Zugriffsversuche

Die Protokollierung sollte zur jeweiligen Infrastruktur passen.

Auch die Aufbewahrung, der Schutz vor Manipulation und datenschutzrechtliche Anforderungen müssen berücksichtigt werden.

Bei wichtigen Systemen kann eine zentrale Protokollierung sinnvoll sein, damit relevante Informationen nicht ausschließlich auf dem betroffenen Server liegen.

12. Monitoring und Alarmierung einrichten

Monitoring hilft dabei, technische Probleme und bestimmte sicherheitsrelevante Auffälligkeiten frühzeitig zu erkennen.

Typische Überwachungsbereiche sind:

• Erreichbarkeit des Servers
• CPU- und Speicherauslastung
• Verfügbarer Speicherplatz
• Status wichtiger Dienste
• Fehlermeldungen
• Ungewöhnliche Netzwerkaktivitäten
• Ergebnisse automatisierter Backup-Prozesse

Eine Überwachung ist jedoch nur dann hilfreich, wenn Warnmeldungen tatsächlich ausgewertet werden.

Deshalb sollten Zuständigkeiten und Reaktionswege festgelegt werden.

Ein Monitoring-System ersetzt außerdem keine vollständige Sicherheitsüberprüfung.

13. Backups gegen Datenverlust und Manipulation absichern

Backups sind ein wichtiger Bestandteil der IT-Sicherheit.

Sie können helfen, Daten nach technischen Defekten, Fehlbedienungen oder bestimmten Sicherheitsvorfällen wiederherzustellen.

Ein geeignetes Backup-Konzept sollte berücksichtigen:

• Welche Daten und Konfigurationen gesichert werden
• Wie häufig Sicherungen notwendig sind
• Wo Backups gespeichert werden
• Wie Sicherungen vor unberechtigter Veränderung geschützt werden
• Welche Zugänge für die Wiederherstellung erforderlich sind
• Wie Wiederherstellungstests durchgeführt werden

Backups sollten nicht ausschließlich vom Schutz des produktiven Servers abhängen.

Je nach Infrastruktur können getrennte Zugriffsrechte, unveränderbare Sicherungen oder andere Schutzmechanismen sinnvoll sein.

Wichtig: Ein vorhandenes Backup ist noch kein Nachweis dafür, dass eine vollständige Wiederherstellung möglich ist.

14. Zusätzliche Schutzmechanismen gezielt einsetzen

Linux bietet verschiedene Mechanismen, mit denen sich Prozesse und Anwendungen zusätzlich einschränken lassen.

Dazu gehören beispielsweise SELinux oder AppArmor, sofern sie von der eingesetzten Distribution und Umgebung unterstützt werden.

Auch systemd bietet Möglichkeiten, bestimmte Dienste mit zusätzlichen Einschränkungen auszuführen.

Solche Mechanismen können helfen, die Auswirkungen einzelner Sicherheitsprobleme zu begrenzen.

Allerdings müssen die Regeln zur jeweiligen Anwendung passen.

Eine unvorbereitete Aktivierung restriktiver Einstellungen kann legitime Funktionen beeinträchtigen.

Deshalb sollten zusätzliche Schutzmechanismen kontrolliert eingeführt und getestet werden.

15. Regelmäßige Sicherheitsprüfungen und klare Verantwortlichkeiten etablieren

Linux-Server-Sicherheit ist keine einmalige Aufgabe.

Neue Softwareversionen, geänderte Anwendungen und wechselnde Administratoren können die Sicherheitslage im Laufe der Zeit verändern.

Deshalb sollten Unternehmen regelmäßig überprüfen, ob ihre Server weiterhin angemessen abgesichert sind.

Eine solche Prüfung kann unter anderem umfassen:

• Supportstatus des Betriebssystems
• Installierte Sicherheitsupdates
• Administrative Benutzerkonten
• SSH- und Firewall-Konfiguration
• Aktive Netzwerkdienste
• Wichtige Datei- und Verzeichnisberechtigungen
• Backup- und Wiederherstellungsverfahren
• Monitoring und Alarmierung
• Dokumentation und Zuständigkeiten

Entscheidend ist, dass erkannte Probleme anschließend bewertet und notwendige Maßnahmen umgesetzt werden.

Ein Sicherheitscheck ohne anschließende Bearbeitung relevanter Risiken bietet nur begrenzten Nutzen.

Welche Linux-Sicherheitsmaßnahmen sollten Unternehmen zuerst umsetzen?

Wenn ein Server über längere Zeit nicht systematisch betreut wurde, können zahlreiche Sicherheitsprobleme gleichzeitig bestehen.

In solchen Situationen ist eine risikoorientierte Priorisierung sinnvoll.

Nicht jede Maßnahme besitzt für jede Infrastruktur dieselbe Dringlichkeit.

Warum die Reihenfolge vom System abhängt

Ein öffentlich erreichbarer Server mit bekannten kritischen Schwachstellen benötigt möglicherweise andere Sofortmaßnahmen als ein internes System mit veralteter Dokumentation.

Auch die Bedeutung der betriebenen Anwendungen spielt eine Rolle.

Deshalb sollte eine Priorisierung nicht ausschließlich anhand einer allgemeinen Checkliste erfolgen.

Was tun bei Verdacht auf einen bereits erfolgten Angriff?

Wenn Hinweise auf eine aktive Kompromittierung bestehen, ist eine gewöhnliche Hardening-Maßnahme nicht ausreichend.

In diesem Fall müssen mögliche Schäden begrenzt und der Vorfall untersucht werden.

Welche ersten Schritte sinnvoll sind, erläutern wir im Beitrag Linux-Server gehackt? Erste Schritte bei einem Sicherheitsvorfall.

Häufige Fehler bei der Absicherung von Linux-Servern

Viele Sicherheitsprobleme entstehen nicht durch das Fehlen einzelner Spezialwerkzeuge, sondern durch unvollständige Prozesse oder ungeprüfte Annahmen.

Nur den SSH-Port ändern

Die Verwendung eines anderen SSH-Ports kann bestimmte automatisierte Zugriffsversuche reduzieren.

Sie ersetzt jedoch keine sichere Authentifizierung, keine angemessenen Zugriffsregeln und keine regelmäßige Wartung.

Firewall aktivieren, ohne Regeln zu prüfen

Eine Firewall kann notwendige Anwendungen oder administrative Zugänge blockieren, wenn Regeln unvorbereitet geändert werden.

Vor der Aktivierung sollten die benötigten Verbindungen bekannt sein.

Alle Sicherheitsmaßnahmen gleichzeitig ändern

Wenn zahlreiche Einstellungen gleichzeitig verändert werden, lassen sich auftretende Probleme schwieriger zuordnen.

Bei produktiven Systemen ist ein dokumentiertes, kontrolliertes Vorgehen sinnvoll.

Backups mit Wiederherstellbarkeit gleichsetzen

Ein erfolgreich gemeldeter Backup-Job beweist nicht automatisch, dass alle benötigten Daten vollständig wiederhergestellt werden können.

Geeignete Wiederherstellungstests sind deshalb wichtig.

Veraltete Anwendungen ignorieren

Ein aktuelles Betriebssystem kann weiterhin unsichere Anwendungen enthalten.

Deshalb müssen auch installierte Laufzeitumgebungen, Bibliotheken und individuelle Anwendungen berücksichtigt werden.

Verantwortlichkeiten nicht festlegen

Selbst gute technische Schutzmaßnahmen verlieren an Wirkung, wenn niemand für Updates, Monitoring und Sicherheitsmeldungen zuständig ist.

Unternehmen sollten deshalb eindeutig festlegen, wer die laufende Administration übernimmt.

Wie läuft ein Linux-Server-Sicherheitscheck ab?

Eine strukturierte Sicherheitsprüfung sollte zunächst den aktuellen Zustand erfassen.

Darauf aufbauend lassen sich Risiken bewerten und geeignete Maßnahmen planen.

1. Serverumgebung erfassen.

   Distribution, Version, installierte Dienste, Anwendungen und technische Abhängigkeiten dokumentieren.

2. Administrative Zugänge überprüfen.

   Benutzerkonten, SSH-Konfiguration, Schlüssel und Berechtigungen kontrollieren.

3. Netzwerkzugriffe analysieren.

   Erreichbare Dienste, Firewall-Regeln und notwendige Verbindungen prüfen.

4. Softwarestand bewerten.

   Unterstützte Versionen, ausstehende Sicherheitsupdates und bekannte Risiken berücksichtigen.

5. Anwendungen einbeziehen.

   Webserver, Datenbanken und geschäftskritische Anwendungen auf relevante Konfigurationsrisiken untersuchen.

6. Backups und Monitoring prüfen.

   Feststellen, welche Sicherungen vorhanden sind und wie technische Auffälligkeiten erkannt werden.

7. Risiken priorisieren.

   Erkannte Probleme nach möglicher Auswirkung und Dringlichkeit bewerten.

8. Maßnahmen planen.

   Notwendige Änderungen, Tests und mögliche Wartungsfenster festlegen.

9. Änderungen kontrolliert umsetzen.

   Vereinbarte Sicherheitsmaßnahmen durchführen und ihre Auswirkungen überprüfen.

10. Ergebnisse dokumentieren.

    Den aktualisierten Systemzustand und verbleibende Risiken nachvollziehbar festhalten.

Der konkrete Umfang eines Sicherheitschecks hängt von der Serverarchitektur und dem vereinbarten Prüfauftrag ab.

Eine allgemeine Konfigurationsprüfung ist außerdem nicht mit einem vollständigen Penetrationstest oder einer forensischen Untersuchung gleichzusetzen.

Checkliste: Ist Ihr Linux-Server ausreichend abgesichert?

Mit den folgenden Fragen können Unternehmen erste mögliche Schwachstellen ihrer Serveradministration erkennen.

• Wird eine unterstützte Linux-Version eingesetzt?
• Werden Sicherheitsupdates regelmäßig bewertet und installiert?
• Sind administrative SSH-Zugänge angemessen geschützt?
• Werden direkte Root-Anmeldungen auf das notwendige Maß begrenzt?
• Erlaubt die Firewall nur erforderliche Netzwerkverbindungen?
• Sind nicht benötigte Dienste deaktiviert?
• Werden Benutzerkonten und Berechtigungen regelmäßig geprüft?
• Sind Webserver und Anwendungen sicher konfiguriert?
• Sind Datenbankzugriffe angemessen eingeschränkt?
• Werden sensible Verbindungen verschlüsselt?
• Werden relevante Sicherheitsereignisse protokolliert?
• Existiert ein funktionierendes Monitoring mit klaren Zuständigkeiten?
• Werden Backups geschützt und Wiederherstellungen getestet?
• Werden zusätzliche Schutzmechanismen bei Bedarf eingesetzt?
• Finden regelmäßige Sicherheitsprüfungen statt?

Wenn mehrere Fragen nicht eindeutig beantwortet werden können, kann eine strukturierte Bestandsaufnahme sinnvoll sein.

Das bedeutet nicht automatisch, dass der Server bereits kompromittiert wurde. Es zeigt jedoch, dass wichtige Informationen zur Sicherheitslage möglicherweise fehlen.

Fazit: Linux-Server-Sicherheit erfordert regelmäßige Administration

Ein Linux-Server wird nicht allein durch die Installation einer Firewall oder die Änderung einzelner SSH-Einstellungen dauerhaft sicher.

Entscheidend ist eine Kombination aus technischen Schutzmaßnahmen und nachvollziehbaren Administrationsprozessen.

Unterstützte Softwareversionen, kontrollierte Zugriffsrechte, restriktive Netzwerkregeln, geeignete Backups und funktionierendes Monitoring bilden dafür wichtige Grundlagen.

Ebenso wichtig ist die regelmäßige Überprüfung des aktuellen Zustands.

Gerade bei älteren Servern oder Systemen mit wechselnden Administratoren können unbekannte Zugänge, veraltete Anwendungen und fehlende Dokumentation zusätzliche Risiken verursachen.

Unternehmen sollten Linux-Server-Hardening deshalb nicht als einmaliges Projekt betrachten, sondern als Bestandteil einer dauerhaft verantworteten Serveradministration.