Best Practices für Serversicherheit

Serversicherheit ist das Fundament jedes zuverlässigen Online-Dienstes. Ein einziger kompromittierter Server kann zu Datenschutzverletzungen, Ausfällen, Bußgeldern und dauerhaftem Reputationsschaden führen. Ob Sie einen Server betreiben oder hunderte: An soliden Sicherheitsmaßnahmen führt kein Weg vorbei.

Dieser Leitfaden behandelt die wichtigsten Sicherheitsmaßnahmen, die jede Organisation umsetzen sollte, unabhängig davon, ob Sie Self-Hosting betreiben oder einen Managed-Anbieter nutzen.

Ungepatchte Software ist der häufigste Angriffsvektor für Server-Kompromittierungen. Betriebssystemhersteller und Softwarewartende veröffentlichen regelmäßig Sicherheitspatches, die bekannte Schwachstellen beheben.

• Aktivieren Sie automatische Sicherheitsupdates für Ihr Betriebssystem, wann immer möglich.
• Legen Sie einen regelmäßigen Patching-Zeitplan für Anwendungssoftware wie Datenbanken, Webserver und Laufzeitumgebungen fest.
• Abonnieren Sie Sicherheitshinweise für jede Software in Ihrem Stack, damit Sie sofort über kritische Schwachstellen informiert werden.
• Testen Sie Patches in einer Staging-Umgebung, bevor Sie sie auf die Produktion anwenden, um unerwartete Probleme zu vermeiden.

Wer auf Ihre Server darf und was er dort tun kann, muss klar begrenzt sein. Vergeben Sie grundsätzlich nur die Rechte, die jemand für seine Aufgabe braucht.

• Root-Login deaktivieren: Erlauben Sie niemals direkten SSH-Zugriff als Root-Benutzer. Verwenden Sie stattdessen individuelle Benutzerkonten mit sudo-Berechtigungen.
• SSH-Schlüssel verwenden: Deaktivieren Sie die Passwort-Authentifizierung für SSH vollständig. Verlangen Sie Public-Key-Authentifizierung und rotieren Sie Schlüssel regelmäßig.
• Zwei-Faktor-Authentifizierung aktivieren: Sichern Sie jeden administrativen Zugang zusätzlich ab, auch Control Panels und CI/CD-Pipelines.
• Zugriffe regelmäßig prüfen: Überprüfen Sie mindestens vierteljährlich, wer Zugriff auf Ihre Server hat. Entziehen Sie ehemaligen Mitarbeitern und Auftragnehmern sofort den Zugang.
• Einen Bastion-Host verwenden: Leiten Sie alle SSH-Verbindungen über einen gehärteten Jump-Server, anstatt jeden Server direkt dem Internet auszusetzen.

Was Sie nicht sehen, können Sie nicht schützen. Mit lückenlosem Monitoring erkennen Sie Abweichungen, untersuchen Vorfälle und reagieren schnell.

• Zentralisiertes Logging: Sammeln Sie die Logs aller Server an einer zentralen Stelle, an der Sie sie durchsuchen und auswerten können. Dafür eignen sich der ELK-Stack, Loki oder kommerzielle Lösungen.
• Echtzeit-Alarmierung: Lassen Sie sich bei verdächtigen Aktivitäten alarmieren: wiederholt fehlgeschlagene Anmeldungen, unerwartete Prozesse, ungewöhnlicher Netzwerkverkehr.
• Dateiintegritätsüberwachung: Verwenden Sie Tools, die nicht autorisierte Änderungen an kritischen Systemdateien und Konfigurationen erkennen.
• Netzwerküberwachung: Überwachen Sie ein- und ausgehende Verbindungen. Unerwarteter ausgehender Datenverkehr kann auf einen kompromittierten Server hindeuten, der mit einem Command-and-Control-Server kommuniziert.

Eine sauber konfigurierte Firewall ist der erste Schutz gegen unbefugten Zugriff. Jeder Server braucht strikte Regeln für ein- und ausgehenden Verkehr.

• Standardmäßig blockieren: Blockieren Sie standardmäßig jeglichen Datenverkehr und erlauben Sie nur die spezifischen Ports und Protokolle, die Ihre Anwendung benötigt.
• Öffentliche und private Netzwerke trennen: Datenbankserver, Caches und interne Dienste sollten niemals direkt aus dem Internet erreichbar sein.
• Rate Limiting: Schützen Sie öffentlich zugängliche Dienste vor Brute-Force-Angriffen und Denial-of-Service-Versuchen mit Rate Limiting auf Netzwerk- und Anwendungsebene.
• TLS überall: Verschlüsseln Sie jede Übertragung, wo möglich auch den Verkehr zwischen Ihren internen Diensten.

Backups sind Ihre letzte Verteidigungslinie gegen Datenverlust, ob durch einen Sicherheitsvorfall, Hardwareausfall oder menschliches Versagen verursacht.

• Befolgen Sie die 3-2-1-Regel: Bewahren Sie mindestens drei Kopien Ihrer Daten auf, auf zwei verschiedenen Speichertypen, mit einer Kopie an einem externen Standort.
• Testen Sie Ihre Backups regelmäßig durch vollständige Wiederherstellungsübungen. Ein Backup, das nicht wiederhergestellt werden kann, ist wertlos.
• Verschlüsseln Sie Backups bei Ablage und Übertragung. Dann bleibt der Inhalt geschützt, selbst wenn jemand an den Backup-Speicher kommt.
• Halten Sie Ihren Notfallplan schriftlich fest, und sorgen Sie dafür, dass mehrere Teammitglieder ihn ausführen können.

Bei Stelvion ist Serversicherheit kein Zusatz. Mit Stelvion Managed Hosting bekommen Sie alle oben beschriebenen Maßnahmen und mehr:

• Automatisiertes Patching: Betriebssystem- und Anwendungs-Patches werden zeitnah und automatisch auf allen Managed Servern eingespielt.
• Monitoring rund um die Uhr: Unser Monitoring läuft durchgehend, kritische Probleme werden erkannt, wann immer sie auftreten.
• Isolation pro Kunde: Dedizierte Server sind per VLAN isoliert und pro Kunde verschlüsselt. Mandanten teilen sich nie eine Umgebung.
• Schlüssel im Vault: Zugangsdaten und Schlüssel liegen in einem isolierten Vault, nie im Klartext. Selbst ein Datenbank-Leak gibt sie nicht preis.
• Regelmäßige Backups: Tägliche automatische Backups, deren Wiederherstellung geprüft ist: Sie wissen, dass Ihre Daten sicher sind.
• Zonentrennung: Öffentlich erreichbare Systeme sind strikt von den internen Systemen getrennt, die Kundenserver verwalten.
• Gehärtete Konten: Brute-Force-Schutz, Session-Rotation bei Passwortänderungen und sofortige Sicherheitsbenachrichtigungen schützen jedes Plattform-Konto.
• Vorfallreaktion: Kommt es zu einem Sicherheitsvorfall, untersuchen wir ihn, grenzen ihn ein und beheben ihn, und halten Sie dabei durchgehend auf dem Laufenden.