SSH-Absicherung: Port ändern & Anmeldung mit SSH-Key

Last updated on 18. August 2025

SSH nutzt standardmäßig Port 22, der weltweit permanent von Bots gescannt wird ein häufiges Einfallstor für Brute-Force-Angriffe. Durch das Umstellen auf einen anderen Port und die Nutzung der schlüsselbasierten Authentifizierung erhöhen Sie die Sicherheit spürbar und vereinfachen die Verwaltung Ihres Servers. In dieser Anleitung zeige ich die Schritte im Detail.

1️⃣ SSH-Port ändern

Standardmäßig läuft SSH auf Port 22, was oft Ziel von automatisierten Brute-Force-Angriffen ist.
Wir ändern den Port z. B. auf 2222:

sudo nano /etc/ssh/sshd_config

Suche nach:

#Port 22

Entferne das # und ändere den Wert auf:

Port 2222

2️⃣ SSH-Key erstellen (Schlüsselpaar)

Auf deinem lokalen Rechner (Windows mit PowerShell oder Git Bash, Linux/Mac im Terminal):

ssh-keygen -t rsa -b 4096 -C "deinemail@domain.com"

• Speicherort: einfach Enter drücken (~/.ssh/id_rsa ist Standard)
• Passphrase: leer lassen oder für zusätzliche Sicherheit ein Passwort vergeben

Den öffentlichen Schlüssel anzeigen:

cat ~/.ssh/id_rsa.pub

Den kompletten Inhalt kopieren.

3️⃣ Public Key auf dem Server hinterlegen

Auf dem Server:

mkdir -p ~/.ssh
chmod 700 ~/.ssh
nano ~/.ssh/authorized_keys

Den kopierten Inhalt aus id_rsa.pub einfügen, speichern und schließen.

Dann Berechtigungen setzen:

chmod 600 ~/.ssh/authorized_keys

4️⃣ SSH nur Schlüssel-basiert erlauben

Datei /etc/ssh/sshd_config erneut bearbeiten:

PermitRootLogin prohibit-password
PasswordAuthentication no
PubkeyAuthentication yes

PermitRootLogin prohibit-password → Root-Login nur mit Key, nicht mit Passwort

PasswordAuthentication no → Passwort-Login komplett deaktivieren

5️⃣ SSH neu starten

sudo systemctl restart ssh

6️⃣ Verbindung testen

Führe den Test in einem zweiten Terminalfenster oder als neue Verbindung (z. B. in PowerShell oder per SSH-Client duplizieren) durch.
So bleibt deine aktuelle Sitzung offen, falls der Login mit dem neuen Port oder Schlüssel nicht funktioniert.

ssh -p 2222 root@DEINE_SERVER_IP

Wenn der Login funktioniert, sind Portänderung und Key-Authentifizierung aktiv.

⚠️ Wichtiger Hinweis:
Deaktiviere den Passwort-Login erst, nachdem du den Login mit dem Key erfolgreich getestet hast , sonst sperrst du dich aus!

---

💡 Vorteile dieser Methode:

• Weniger automatisierte Angriffe, da der Port nicht mehr Standard ist
• Brute-Force auf Passwörter ist wirkungslos
• Zugang nur mit deinem privaten Schlüssel möglich
• Von überall aus sicher einloggen