Was ist SSH – und wie sichert man es richtig ab?

Was SSH ist

Secure Shell ist das Standardprotokoll für den verschlüsselten Fernzugriff auf Server, üblicherweise auf Port 22. Es liefert eine verschlüsselte Verbindung, Authentifizierung beider Seiten und Integritätsschutz. Neben der Shell dient SSH auch für Dateiübertragung (SFTP/SCP), Tunnel und Port-Weiterleitungen sowie als Transport für Automatisierung und Backups.

Beim Verbindungsaufbau prüft der Client den Host-Key des Servers. Die Warnung "host key verification failed" ist kein Ärgernis, sondern genau der Mechanismus, der Umleitungen sichtbar macht.

Warum SSH ein Hauptziel ist

Ein SSH-Zugang mit Root-Rechten ist der Generalschlüssel. Angreifer suchen automatisiert das gesamte Internet nach offenem Port 22 ab und probieren Zugangsdaten aus Leaks durch. Zusätzlich stehlen Infostealer private Schlüsseldateien direkt von Entwicklerrechnern – meist unverschlüsselt, weil sie ohne Passphrase erzeugt wurden.

Konfiguration, die sich bewährt

Authentifizierung - Passwort-Anmeldung deaktivieren: `PasswordAuthentication no` - Nur Schlüssel oder Zertifikate zulassen; Ed25519 bevorzugen - Private Schlüssel immer mit Passphrase, besser im Hardware-Token (FIDO2-fähige Schlüsselarten) - Root-Login abschalten: `PermitRootLogin no`, Administration über einen Benutzer mit sudo

Erreichbarkeit - SSH nicht ungefiltert ins Internet stellen. Zugriff über VPN, Bastion-Host oder ZTNA - Wenn öffentlich unvermeidbar: Quell-IP-Beschränkung und Brute-Force-Schutz (fail2ban) - Portwechsel reduziert Rauschen in den Logs, ist aber keine Sicherheitsmaßnahme

Härtung - Zugriff auf Gruppen begrenzen: `AllowGroups ssh-users` - Agent- und X11-Weiterleitung abschalten, wenn nicht benötigt - Kurze Timeouts, aktuelle Krypto-Algorithmen - Zentrale Protokollierung aller Anmeldungen inklusive Schlüssel-Fingerprint

Schlüsselverwaltung – der am häufigsten vernachlässigte Punkt. In gewachsenen Umgebungen liegen in `authorized_keys` Schlüssel ehemaliger Mitarbeitender und alter Dienstleister. Abhilfe: Inventar aller autorisierten Schlüssel, automatisierte Verteilung, regelmäßige Rezertifizierung – oder gleich SSH-Zertifikate mit kurzer Gültigkeit statt dauerhafter Schlüssel.

Häufige Fehler

• Gemeinsam genutzte Schlüssel für ganze Teams – keine Zurechenbarkeit
• Schlüssel ohne Passphrase auf Laptops
• Automatisierungskonten mit Root-Rechten und ohne Kommandobeschränkung
• Kein Monitoring erfolgreicher Anmeldungen außerhalb der Geschäftszeiten

Nächster Schritt

Infostealer-Logs enthalten regelmäßig SSH-Schlüssel und Server-Adressen. Risikomonitor prüft, ob Ihre Domains und Systeme dort auftauchen.

[Kostenlose Erstanalyse anfordern](/kontakt)