Ubuntu Server einrichten: sicherer Start

Richten Sie Ubuntu Server in dieser Reihenfolge ein: Version prüfen, Pakete aktualisieren, Administratorkonto absichern, SSH-Schlüssel testen, erst dann die Firewall aktivieren und Überwachung sowie Backups ergänzen. Ändern Sie den SSH-Zugang nie ohne zweite Sitzung oder Anbieter-Konsole, sonst sperren Sie sich leicht selbst aus.

Vor der ersten Änderung: Ausfallpfad klären

Ein frisch bereitgestellter Server ist kein Ausstellungsstück. Bevor Sie Pakete oder SSH ändern, prüfen Sie, wie Sie bei einem Fehler wieder auf die Maschine kommen. Bei einem Mietserver kann das eine Webkonsole, Rettungsumgebung oder serielle Konsole sein.

Notieren Sie außerdem, ob der Anbieter ein fertiges Image installiert hat oder Sie selbst von einem offiziellen Abbild gestartet haben. Diese Anleitung orientiert sich an der aktuellen Ubuntu-LTS-Dokumentation. Auf einer älteren LTS können Paketstände und Vorgaben abweichen.

Halten Sie vor dem Start drei Dinge griffbereit:

• Zugangsdaten für die Anbieter-Konsole oder das Rettungssystem;
• ein aktuelles Backup mit bekanntem Wiederherstellungsweg;
• ein Wartungsfenster, in dem ein Dienst neu starten darf.

Erfassen Sie zuerst den Zustand, ohne etwas zu verändern:

. /etc/os-release
echo "$NAME $VERSION_ID"
uname -r
ip -brief address

Speichern Sie die Ausgabe zusammen mit Servername, öffentlicher Adresse und Zugangsweg. Enthält die Maschine bereits Kundendaten oder Dienste, erstellen und testen Sie vor dem Upgrade einen Wiederherstellungspunkt. Betrieb schlägt Prospekt.

Pakete bewusst aktualisieren

Aktualisieren Sie zunächst nur die Paketlisten und lesen Sie, was ansteht:

sudo apt update
apt list --upgradable

Prüfen Sie vor dem nächsten Schritt, ob ein Kernel, SSH oder ein für die Anwendung wichtiger Dienst betroffen ist. Ein blindes Upgrade mit automatischer Bestätigung spart Sekunden und nimmt Ihnen die Chance, Rückfragen oder Paketänderungen zu sehen.

Wenn Backup, Speicherplatz und Wartungsfenster passen, führen Sie das normale Upgrade interaktiv aus:

sudo apt upgrade

Danach kontrollieren Sie fehlgeschlagene Dienste und die Paketlage:

systemctl --failed
apt list --upgradable

Ein Neustart ist keine reflexhafte Abschlussgeste. Prüfen Sie zuerst, ob das System ihn anfordert und ob Sie über den Ausfallpfad zurückkommen. Fragen Sie nach dem Ausfallpfad, bevor Sie den Zustand ändern.

Administratorkonto und SSH-Schlüssel einrichten

Arbeiten Sie im Alltag nicht unnötig als root. Der Ubuntu-Installer legt üblicherweise einen Benutzer mit sudo-Rechten an; Provider-Images können anders starten. Falls Sie ein separates Administratorkonto benötigen, wählen Sie einen eigenen Namen statt eines kopierten Standardkontos.

Die folgenden Befehle sind ein Muster. Ersetzen Sie serveradmin nur, wenn Sie den gewünschten Namen vorher festgelegt haben:

sudo adduser serveradmin
sudo adduser serveradmin sudo

Erzeugen Sie den Schlüssel auf Ihrem Arbeitsplatz, nicht auf dem Server. Ubuntu empfiehlt Ed25519 als geeigneten Standard:

ssh-keygen -t ed25519
ssh-copy-id serveradmin@SERVER_ADRESSE

SERVER_ADRESSE ist ein Platzhalter. Testen Sie danach eine zweite Verbindung in einem neuen Terminal, während die ursprüngliche Sitzung offen bleibt:

ssh serveradmin@SERVER_ADRESSE
sudo -v

Erst wenn Anmeldung und sudo funktionieren, darf die alte Sitzung enden. Deaktivieren Sie Passwort- oder root-Anmeldung nicht als pauschalen Kopierbefehl: Notzugänge, Automatisierung und Provider-Images unterscheiden sich.

OpenSSH ändern, ohne sich auszusperren

Ubuntu unterstützt lokale Snippets im Verzeichnis sshd_config.d. Das hält eigene Einstellungen getrennt von der Paketdatei. Prüfen Sie vor jeder Aktivierung die gesamte wirksame Konfiguration.

Öffnen Sie ein eigenes Snippet nur dann, wenn Sie eine konkrete Richtlinie umsetzen wollen:

sudoedit /etc/ssh/sshd_config.d/local-hardening.conf

Schreiben Sie dort keine übernommenen Internet-Vorgaben hinein. Prüfen Sie jede Direktive in der zu Ihrer Installation gehörenden Handbuchseite. Vor einem Neustart ist der Syntaxcheck Pflicht:

sudo sshd -t

Nur eine leere Ausgabe gilt hier als bestandener Syntaxcheck. Halten Sie die zweite Sitzung und die Anbieter-Konsole bereit, wenn Sie den Dienst anschließend neu starten:

sudo systemctl restart ssh.service
sudo systemctl status ssh.service --no-pager

Öffnen Sie danach erneut eine zusätzliche SSH-Verbindung. Der laufende Dienst allein beweist nicht, dass Ihre gewünschte Anmeldung funktioniert.

UFW erst nach der SSH-Regel aktivieren

UFW ist unter Ubuntu das Standardwerkzeug für eine einfache Host-Firewall und zunächst deaktiviert. Prüfen Sie den Zustand und die vorhandenen Anwendungsprofile:

sudo ufw status verbose
sudo ufw app list
sudo ufw app info OpenSSH

Zeigen Sie die geplante SSH-Regel zunächst ohne Anwendung an und fügen Sie sie erst danach hinzu:

sudo ufw --dry-run allow OpenSSH
sudo ufw allow OpenSSH

Fügen Sie nur Regeln für tatsächlich installierte Dienste hinzu. Aktivieren Sie UFW erst, wenn OpenSSH erlaubt ist, der Konsolenzugang funktioniert und Sie die Folgen geprüft haben:

sudo ufw enable
sudo ufw status verbose

Testen Sie wieder eine neue SSH-Verbindung. Eine bestehende Sitzung kann offen bleiben, obwohl neue Verbindungen bereits blockiert sind. Genau deshalb gehört der zweite Test zum Ablauf.

Anbieterwahl und Betriebsgrenzen

Die Ubuntu-Kommandos sind bei einem VPS und einem dedizierten Server ähnlich. Der Rückweg ist es nicht. Vergleichen Sie deshalb nicht nur CPU und Speicher, sondern auch Konsole, Rettungssystem, Snapshots, Backup-Export und technische Hilfe.

Für den deutschsprachigen Markt können Sie Hetzner, netcup, IONOS, OVHcloud, Contabo und DigitalOcean gegenüberstellen. Die Links sind Ausgangspunkte, kein pauschales Ranking.

Bei einem nicht verwalteten Server bleiben Betriebssystem, Updates, Firewall, Dienste und Wiederherstellung Ihre Aufgabe. Der Preis beantwortet nicht, wer nachts auf einen ausgefallenen SSH-Dienst reagiert. Reaktionszeit zählt in Minuten, aber Verantwortung beginnt vor dem Ausfall.

Abschlusskontrolle für den laufenden Betrieb

Kontrollieren Sie nach der Einrichtung Zeit, Plattenbelegung, fehlgeschlagene Dienste und Erreichbarkeit. Installieren Sie nicht vorsorglich jeden Dienst, den ein Tutorial erwähnt. Jede offene Schnittstelle und jedes zusätzliche Paket wird Teil Ihres Wartungsplans.

Ein Backup gilt erst nach einer Wiederherstellung als belastbar. Halten Sie außerdem fest, wie Sie aus der Anbieter-Konsole ein defektes SSH-Snippet korrigieren. Damit endet die Einrichtung nicht bei einem grünen Terminal, sondern bei einem nachvollziehbaren Betriebszustand.