KeyHelp absichern: 2FA, Updates und Backups auf die Storage Box – Teil 2 der Serie

Hinweis: Dieser Beitrag enthält Affiliate-Links (mit * gekennzeichnet). Kaufst du über einen dieser Links, erhalte ich eine kleine Provision — für dich ändert sich der Preis nicht.

Dein KeyHelp läuft, die erste Domain ist drauf — falls nicht, starte mit Teil 1: KeyHelp auf einem Hetzner-Server installieren. Jetzt kommt der Teil, den viele aufschieben und genau einmal bereuen: die Absicherung. Die gute Nachricht vorweg: KeyHelp nimmt dir erstaunlich viel davon ab. Fail2ban gegen SSH-Angriffe? Schon installiert. Let’s-Encrypt-Zertifikate verlängern? Macht KeyHelp automatisch. System-Updates? Laufen von selbst, wenn du es erlaubst.

Bleiben fünf Dinge, die du selbst anstoßen musst. Gehen wir sie der Reihe nach durch — am Ende ist dein Server gegen die häufigsten Pannen gewappnet: geklaute Passwörter, vergessene Updates und den einen Moment, in dem du ein Backup gebraucht hättest.

Schritt 1: Zwei-Faktor-Authentifizierung fürs Panel

Dein KeyHelp-Login ist die Schaltzentrale für alles — Domains, Postfächer, Datenbanken. Ein geklautes Passwort reicht, um das alles zu übernehmen. Deshalb zuerst: 2FA aktivieren. In KeyHelp findest du die Option in deinem Benutzerprofil (oben rechts auf deinen Benutzernamen → Profil bearbeiten → Zwei-Faktor-Authentifizierung). Du scannst den QR-Code mit einer Authenticator-App deiner Wahl (z. B. Aegis, 2FAS oder Google Authenticator) und bestätigst einmal mit dem angezeigten Code.

Wichtig: Sichere die Wiederherstellungs-Codes an einem Ort außerhalb des Servers — Passwort-Manager oder Zettel im Schrank. Falls dein Handy mal verloren geht, kommst du sonst nicht mehr rein. Für den absoluten Notfall gibt es die KeyHelp-Toolbox auf der Konsole, mit der sich 2FA für einen Account zurücksetzen lässt — aber darauf willst du dich nicht verlassen müssen.

Schritt 2: Automatische Updates kontrollieren

KeyHelp aktualisiert sich selbst — gesteuert wird das über die Wartungsintervalle. Prüfe einmal im Admin-Bereich unter Einstellungen → Wartungsintervalle, ob die Aufgaben „Control Panel aktualisieren“ und „Server-Dienste aktualisieren“ auf „Aktiviert“ stehen — ab Werk sind sie das. Dort siehst du auch, wann jede Aufgabe zuletzt gelaufen ist und in welchem Rhythmus sie ausgeführt wird.

Ob die Automatik funktioniert, verrät dir das Dashboard: Unter Anwendungen listet KeyHelp jede installierte Komponente mit Versionsstand — von Debian über PHP bis zur Backup-Software Restic. Steht dort „Die Software auf Ihrem Server ist auf dem neuesten Stand“, ist alles gut.

Schritt 3: Login-Schutz fürs Panel schärfen

KeyHelp bringt einen eigenen Brute-Force-Schutz für die Login-Maske mit — unabhängig von Fail2ban. Unter Konfiguration → Login & Sessions stellst du ein, nach wie vielen Fehlversuchen eine IP gesperrt wird und wie lange. Die Standardwerte sind brauchbar; wer mag, macht sie strenger. Wenn du mit fester IP arbeitest, kannst du zusätzlich die Session-Laufzeit kurz halten — dann fliegen vergessene Logins im Bürorechner schneller raus.

Schritt 4: Fail2ban — läuft schon, aber wirf einen Blick drauf

Hier kommt die Überraschung für alle, die Anleitungen zum „Fail2ban installieren“ gegoogelt haben: KeyHelp richtet Fail2ban bei der Installation automatisch ein, inklusive Schutz für SSH auf Port 22. Bots, die Passwörter durchprobieren, werden nach wenigen Versuchen ausgesperrt. Überzeug dich selbst — verbinde dich per SSH und schau nach:

fail2ban-client status
fail2ban-client status sshd

Das Ergebnis überrascht die meisten: KeyHelp richtet gleich zehn Jails ein — neben SSH auch eigene Schutzregeln für die Datenbank, die Mail-Dienste (Postfix, Dovecot), FTP, phpMyAdmin und die Webmailer (Roundcube, SnappyMail), dazu ein „recidive“-Jail, das Wiederholungstäter länger aussperrt. Die Zahlen auf einem ganz normalen Einsteiger-Server nach wenigen Tagen Laufzeit: über 4.000 abgewehrte SSH-Login-Versuche, fast 600 gebannte IPs. Der Bot-Beschuss ist auf jedem öffentlichen Server Alltag — und genau deshalb gibt es dieses Tutorial. Wer tiefer einsteigen will, kann in /etc/fail2ban eigene Regeln ergänzen — für den Einstieg ist die Vorkonfiguration aber völlig ausreichend. Mehr SSH-Härtung (eigener Benutzer, Root-Login deaktivieren) bekommt ein eigenes Tutorial im Server-Hub.

Schritt 5: Backups — der Schritt, der dich eines Tages rettet

Jetzt zum wichtigsten Kapitel. Ein Server ohne externes Backup ist eine Wette, die du irgendwann verlierst: kaputtes Update, gelöschte Datenbank, gehackte Website oder schlicht ein Hardware-Defekt. Die Regel ist einfach: Das Backup gehört auf eine andere Maschine. Ein Backup auf dem Server selbst hilft dir nicht, wenn der Server das Problem ist.

KeyHelp hat dafür eine moderne Backup-Verwaltung an Bord — unter der Haube arbeiten die bewährten Open-Source-Werkzeuge Restic (Backup) und rclone (Übertragung). Als Ziel eignet sich fast alles: ein zweiter Server per SFTP, WebDAV-Speicher oder Cloud-Dienste. Die naheliegendste Lösung, wenn dein Server ohnehin bei Hetzner läuft: eine Hetzner Storage Box* — günstiger Speicherplatz im selben Rechenzentrum-Netz, erreichbar per SFTP und WebDAV, also genau die Protokolle, die KeyHelp spricht.

So richtest du es ein:

• Repository anlegen: In KeyHelp unter Einstellungen → Backup → Repository-Verwaltung ein neues Repository erstellen, als Typ SFTP wählen und die Zugangsdaten deiner Storage Box eintragen (Host, Benutzername, Passwort oder SSH-Key).
• Repository-Passwort setzen — und sichern! KeyHelp verschlüsselt jedes Backup mit einem Passwort, das ist Pflicht. Ohne dieses Passwort sind deine Backups wertlos. Leg es zusätzlich in deinen Passwort-Manager — nicht nur auf den Server.
• Zeitplan festlegen: Nächtliche Backups sind für die meisten Setups ideal — zu einer Uhrzeit, zu der wenig auf dem Server los ist.
• Aufbewahrung begrenzen: Eine sinnvolle Rotation (z. B. 7 tägliche + 4 wöchentliche Sicherungen) hält den Speicherverbrauch im Zaum — Restic speichert ohnehin platzsparend nur Änderungen.

Und dann der Schritt, den fast alle auslassen: Teste die Wiederherstellung. Spiel eine einzelne Datei oder ein Postfach probeweise zurück. Ein Backup, das du nie restauriert hast, ist nur eine Hoffnung — kein Backup.

Und was ist mit den SSL-Zertifikaten?

Nichts zu tun — und genau das ist die Nachricht: Let’s-Encrypt-Zertifikate verlängert KeyHelp automatisch, lange bevor sie ablaufen — dahinter steckt das Wartungsintervall „SSL/TLS-Zertifikate warten“, das dir in Schritt 2 schon begegnet ist. Du erkennst den Normalzustand daran, dass deine Domains im Browser das Schloss-Symbol zeigen. Aktiviert wird Let’s Encrypt übrigens pro Domain: Beim Anlegen (oder später über Domains → Bearbeiten) wählst du im Tab Sicherheit einfach „Let’s-Encrypt-Zertifikat“ aus und setzt den Haken bei „Sichere Verbindung erzwingen“ — mehr ist es nicht. Die Übersicht unter Sicherheit → SSL/TLS-Zertifikate ist dagegen nur für eigene, hochgeladene Zertifikate gedacht; Let’s-Encrypt-Zertifikate tauchen dort gar nicht auf. Nur wenn eine Domain ihre DNS-Einträge wechselt, lohnt ein Kontrollblick.

Wie es jetzt weitergeht

Dein KeyHelp ist damit gegen die häufigsten Ausfälle und Angriffe gewappnet — mit erstaunlich wenig Handarbeit. Die nächsten Etappen:

• Eigene Nameserver einrichten: deine Domain über eigene Nameserver mit Hetzners Secondary DNS betreiben — Teil 3 der Serie.
• SSH richtig härten: eigener Benutzer, Root-Login aus, Schlüssel statt Passwort — Tutorial folgt in Kürze.
• Server-Grundlagen nachholen: Hetzner-Server bestellen und einrichten, falls du Teil 1 übersprungen hast.
• Der komplette Fahrplan: alle Tutorials im Hub Server & Hosting Tutorials.

Quellen: KeyHelp Knowledge Base — Backup, Keyweb — KeyHelp 21.1: Neue Backup-Verwaltung, KeyHelp Wiki — Toolbox, KeyHelp Community — Fail2ban