Sicherheits-Audit für Vereins-Websites unter Virtualmin: Fail2ban, ModSecurity und Zwei-Faktor-Authentifizierung richtig konfigurieren

Warum Sicherheit für Vereins-Websites wichtig ist

Vereins-Websites enthalten oft sensible Daten wie Mitgliederlisten, Spendeninformationen oder interne Dokumente. Ein Sicherheitsvorfall kann nicht nur finanzielle Schäden verursachen, sondern auch das Vertrauen der Mitglieder erschüttern. Wenn du deine Website auf einem virtuellen Server mit Virtualmin betreibst, hast du bereits eine solide Basis. Doch ohne regelmäßige Sicherheits-Audits und die richtige Konfiguration von Tools wie Fail2ban, ModSecurity und Zwei-Faktor-Authentifizierung (2FA) bleibt deine Website angreifbar. In diesem Artikel zeigen wir dir, wie du diese drei wichtigen Sicherheitskomponenten unter Virtualmin richtig einrichtest.

Fail2ban: Schutz vor Brute-Force-Angriffen

Fail2ban ist ein Intrusion-Prevention-Tool, das Log-Dateien überwacht und bei verdächtigen Aktivitäten automatisch Firewall-Regeln setzt, um angreifende IP-Adressen zu blockieren. Unter Virtualmin ist Fail2ban oft vorinstalliert, aber nicht immer optimal konfiguriert.

Installation und Grundkonfiguration

Prüfe zunächst, ob Fail2ban installiert ist:

sudo apt install fail2ban

Die Hauptkonfiguration erfolgt in /etc/fail2ban/jail.local. Erstelle diese Datei, falls sie nicht existiert, und füge folgende grundlegende Einstellungen hinzu:

[DEFAULT]
bantime = 3600
findtime = 600
maxretry = 5
ignoreip = 127.0.0.1/8

Diese Werte bedeuten: Eine IP wird für 1 Stunde gebannt, wenn sie innerhalb von 10 Minuten 5 fehlgeschlagene Anmeldeversuche unternimmt. Passe ignoreip an, um deine eigene IP oder vertrauenswürdige Netzwerke auszunehmen.

Jails für Virtualmin und Webserver aktivieren

Virtualmin nutzt eigene Log-Dateien. Aktiviere die relevanten Jails, indem du in jail.local Folgendes ergänzt:

[ssh]
enabled = true

[apache-auth]
enabled = true

[apache-badbots]
enabled = true

[webmin-auth]
enabled = true

Für Virtualmin spezifische Jails kannst du auch die mitgelieferten Filter nutzen. Starte Fail2ban neu und überprüfe den Status:

sudo systemctl restart fail2ban
sudo fail2ban-client status

ModSecurity: Web Application Firewall für deine Vereins-Website

ModSecurity ist eine Web Application Firewall (WAF), die HTTP-Anfragen analysiert und bösartige Muster blockiert. In Kombination mit dem OWASP Core Rule Set (CRS) bietet es einen robusten Schutz gegen SQL-Injection, XSS und andere Angriffe.

Installation unter Virtualmin

Virtualmin bietet eine einfache Möglichkeit, ModSecurity zu installieren. Gehe zu System Settings → Features and Plugins und aktiviere ModSecurity. Alternativ installierst du es manuell:

sudo apt install libapache2-mod-security2

Aktiviere das Modul und kopiere die empfohlene Konfiguration:

sudo a2enmod security2
sudo cp /etc/modsecurity/modsecurity.conf-recommended /etc/modsecurity/modsecurity.conf

OWASP Core Rule Set einbinden

Lade das OWASP CRS herunter und entpacke es nach /etc/modsecurity/crs/. Füge dann in deiner Apache-Konfiguration folgende Zeilen hinzu:

Include /etc/modsecurity/crs/crs-setup.conf
Include /etc/modsecurity/crs/rules/*.conf

Setze SecRuleEngine On in modsecurity.conf, um den Schutz zu aktivieren. Teste gründlich, um Fehlalarme zu vermeiden. Überwache das Audit-Log unter /var/log/modsec_audit.log.

Zwei-Faktor-Authentifizierung (2FA) für Virtualmin und Webanwendungen

2FA ist eine der effektivsten Maßnahmen, um unbefugten Zugriff zu verhindern. Virtualmin unterstützt 2FA für die Anmeldung am Control Panel. Zusätzlich solltest du 2FA für alle Webanwendungen (z. B. WordPress) aktivieren.

2FA in Virtualmin aktivieren

Melde dich als Administrator an, gehe zu Webmin → Webmin Users und wähle deinen Benutzer aus. Unter Two-Factor Authentication aktivierst du die Option und scannst den QR-Code mit einer App wie Google Authenticator oder Authy.

2FA für WordPress und andere CMS

Für WordPress gibt es Plugins wie Two Factor Authentication oder Wordfence. Installiere eines davon und konfiguriere es für alle Benutzer mit Schreibrechten. Erzwinge 2FA für Administratoren, um die Sicherheit zu erhöhen.

Regelmäßige Audits und Best Practices

Ein einmaliges Audit reicht nicht aus. Führe regelmäßig folgende Schritte durch:

• Überprüfe die Fail2ban-Logs auf wiederkehrende Angriffe und passe die Regeln an.
• Aktualisiere ModSecurity-Regeln und das OWASP CRS monatlich.
• Teste die 2FA-Einrichtung und halte Backup-Codes sicher.
• Führe Sicherheits-Scans mit Tools wie Nikto oder WPScan durch.
• Halte Virtualmin und alle Komponenten aktuell.

Wenn du deine Vereins-Website auf einem Webhosting-Paket betreibst, achte darauf, dass dein Anbieter regelmäßige Sicherheitsupdates durchführt. Bei einem virtuellen Server liegt die Verantwortung bei dir – umso wichtiger sind die hier beschriebenen Maßnahmen.

Fazit: Sicherheit ist kein Zustand, sondern ein Prozess

Mit Fail2ban, ModSecurity und 2FA kannst du die Sicherheit deiner Vereins-Website unter Virtualmin erheblich verbessern. Die Konfiguration erfordert etwas Einarbeitung, aber der Aufwand lohnt sich. Denke daran: Sicherheit ist kein einmaliges Projekt, sondern ein fortlaufender Prozess. Regelmäßige Audits und Updates sind unerlässlich, um neue Bedrohungen abzuwehren.