Angriffsflächen reduzieren: Ein praxisnaher Härtungsleitfaden für Virtualmin-Server von Vereinen

Warum Server-Härtung für Vereine Pflicht ist

Vereine verwalten oft sensible Mitgliederdaten – von Adressen bis zu Bankverbindungen. Ein ungesicherter Server ist ein Einfallstor für Angreifer und ein Risiko für die DSGVO-Compliance. Die Datenschutz-Grundverordnung fordert in Art. 32 „geeignete technische und organisatorische Maßnahmen“, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dieser Leitfaden zeigt dir, wie du mit einfachen Mitteln die Angriffsfläche deines Virtualmin-Servers reduzierst.

1. SSH absichern: Der erste Schritt

SSH ist mächtig, aber auch ein beliebtes Ziel für Brute-Force-Angriffe. Härte deinen SSH-Zugang mit diesen Maßnahmen:

• Schlüssel statt Passwörter: Deaktiviere die Passwort-Authentifizierung und nutze SSH-Schlüssel. Das eliminiert die Gefahr von Passwort-Rateangriffen.
• Root-Login verbieten: Setze PermitRootLogin no und arbeite mit einem normalen Benutzer, der sudo-Rechte hat.
• Port ändern: Ein alternativer SSH-Port (z. B. 2222) reduziert automatische Scan-Angriffe.
• Zugriff einschränken: Erlaube SSH nur von bestimmten IP-Adressen (z. B. deinem Vereinsbüro) oder nutze ein VPN.

Diese Änderungen nimmst du in /etc/ssh/sshd_config vor und startest den Dienst mit systemctl restart sshd neu.

2. Fail2ban: Automatische Abwehr von Angriffen

Fail2ban überwacht Logfiles und sperrt IP-Adressen, die durch wiederholte Fehlversuche auffallen. Installiere es mit apt install fail2ban (Debian/Ubuntu) und passe die Konfiguration an:

• Jail für SSH: Aktiviere den SSH-Jail und stelle maxretry = 3 sowie bantime = 3600 ein.
• Virtualmin/Webmin schützen: Füge einen Jail für Webmin hinzu, um auch dortige Login-Versuche zu blockieren.
• Benachrichtigungen: Richte E-Mail-Alerts ein, damit du über Sperren informiert wirst.

Fail2ban ist eine einfache und effektive Maßnahme, die auch von kleinen Teams betrieben werden kann.

3. Firewall-Regeln: Nur das Nötigste erlauben

Eine restriktive Firewall ist essenziell. Unter Virtualmin kannst du die Firewall direkt über das Webinterface verwalten (Webmin > Networking > Firewall). Alternativ nutzt du ufw oder iptables. Die Grundregel: Alles verbieten, was nicht explizit benötigt wird.

• SSH: Nur von vertrauenswürdigen IPs oder Ports.
• HTTP/HTTPS: Für Webseiten und Virtualmin (Port 10000) – idealerweise nur über HTTPS.
• Mail-Ports: Nur öffnen, wenn du E-Mail-Dienste nutzt.
• Datenbanken: MySQL/PostgreSQL nur lokal oder über VPN erreichbar machen.

Mit ufw allow 2222/tcp und ufw enable setzt du schnell eine Basis-Firewall um.

4. Automatisierte Sicherheitsupdates

Veraltete Software ist eine der größten Sicherheitslücken. Richte automatische Updates ein, um kritische Patches zeitnah zu installieren:

• Unattended Upgrades: Installiere unattended-upgrades und konfiguriere es für Sicherheitsupdates.
• Virtualmin-Updates: Aktiviere die automatische Update-Funktion in Virtualmin für Webmin und verwandte Pakete.
• Regelmäßige Überprüfung: Prüfe monatlich, ob alle Updates eingespielt wurden, und starte bei Bedarf neu.

So bleibt dein System aktuell, ohne dass du jeden Tag manuell eingreifen musst.

5. DSGVO-Konformität nach Art. 32

Die oben genannten Maßnahmen sind nicht nur sicherheitstechnisch sinnvoll, sondern auch ein wichtiger Baustein für die DSGVO-Compliance. Art. 32 fordert unter anderem:

• Die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme sicherzustellen.
• Die regelmäßige Überprüfung und Bewertung der Wirksamkeit der technischen Maßnahmen.

Dokumentiere deine Härtungsmaßnahmen und halte fest, wie du sie überprüfst. Das zeigt im Ernstfall, dass du deine Pflichten ernst nimmst.

6. Weitere Härtungstipps

• Minimale Dienste: Deaktiviere alle nicht benötigten Dienste und Ports.
• Regelmäßige Backups: Sichere deine Daten und teste die Wiederherstellung.
• Log-Überwachung: Nutze Tools wie logwatch oder journalctl, um verdächtige Aktivitäten zu erkennen.
• Benutzerkonten: Vergib starke Passwörter und nutze die Zwei-Faktor-Authentifizierung für Virtualmin.

Wenn du einen neuen Server benötigst oder dein Hosting erweitern möchtest, schau dir unsere Webhosting-Pakete und virtuellen Server an. Für Domain-Fragen besuche unsere Domain-Seite.