Dienste und Berechtigungen nach Aufgaben trennen

Die Bestandsaufnahme erfasst installierte Pakete, automatisch gestartete Dienste, Netzwerkbindungen und lokale Benutzer. Besonders relevant sind Prozesse mit weitreichenden Rechten und gemeinsam genutzte Servicekonten. Nicht mehr benötigte Software wird nach Prüfung ihrer Abhängigkeiten entfernt oder zuverlässig deaktiviert.

Anwendungsdaten, ausführbare Programme und Geheimnisse sollten unterschiedliche Schreibrechte besitzen. Der Webprozess muss beispielsweise hochgeladene Dateien speichern können, benötigt deshalb aber keine Schreibrechte auf sämtliche Programmdateien. Für Ausnahmen werden Zweck, Verantwortlichkeit und eine spätere erneute Prüfung festgehalten.

Administration und Systemschutz kontrolliert verschärfen

SSH-Zugriffe werden auf bekannte administrative Wege begrenzt. Persönlich zuordenbare Konten und gezielt vergebene sudo-Rechte erleichtern die Nachvollziehbarkeit. Bevor eine vorhandene Anmeldemethode abgeschaltet wird, muss ein zweiter verifizierter Zugang funktionieren, damit der Betreiber nicht versehentlich ausgeschlossen wird.

SELinux oder AppArmor können zusätzliche Grenzen setzen, benötigen aber anwendungsbezogene Regeln und Beobachtung. Pauschales Abschalten bei einem Funktionsproblem entfernt auch wirksamen Schutz. Besser ist es, die konkrete verweigerte Aktion zu verstehen und nur die tatsächlich erforderliche Berechtigung anzupassen.

Wartbarkeit und Abnahme zusammen denken

Paketquellen werden auf Herkunft, Signaturprüfung und Pflegezustand geprüft. Sicherheitsupdates müssen zu einem unterstützten Distributionszweig passen; einzelne alte Versionsnummern lassen ohne Berücksichtigung von Hersteller-Backports keine verlässliche Aussage zu. Auch Kernel, Laufzeiten und selbst installierte Zusatzsoftware gehören in den Prüfbereich.

Zur Abnahme werden Anwendungstests, Dienststarts und administrative Arbeitsabläufe wiederholt. Das Ergebnis ist eine verständliche Konfigurationsbasis mit dokumentierten Abweichungen. Für die Planung nennen Sie Distribution, Serverrolle und vorhandenes Konfigurationsmanagement; daraus lässt sich ein angemessener und wartbarer Umfang ableiten.

Ihre Checkliste für den nächsten Schritt

  • Distribution, Paketquellen und selbst installierte Programme vollständig erfassen.
  • SSH-Änderungen nur mit geprüftem alternativem Administrationszugang aktivieren.
  • Dateirechte und Systemschutz anhand realer Anwendungsabläufe abnehmen.

Häufige Fragen

Sollten alle Server dieselben Regeln erhalten?

Eine gemeinsame Grundkonfiguration ist hilfreich. Rollenspezifische Unterschiede etwa bei Datenbanken, Webdiensten und Backup-Systemen müssen ausdrücklich berücksichtigt werden.

Kann Hardening eine kompromittierte Installation bereinigen?

Nein. Bei konkretem Angriffsverdacht müssen Untersuchung, Eindämmung und gegebenenfalls ein sauberer Neuaufbau vor der normalen Härtung geklärt werden.

Quellen & weiterführende Informationen

Ubuntu: Sicherheitsfunktionen ↗

Fachliche Orientierung, Stand 25.10.2026. Der konkrete Befund erfordert Zugriff auf die betroffene Umgebung und eine abgestimmte Prüfung.