Tutorial: Plesk-Server absichern – Firewall, Fail2ban und die wichtigsten Härtungsmaßnahmen

Tutorials
1

Ein öffentlich erreichbares Plesk-Panel wird ab Tag eins von Bots abgeklopft. Mit ein paar Maßnahmen lässt sich die Angriffsfläche deutlich reduzieren. Dieses Tutorial zeigt die wichtigsten Schritte.

1. Plesk Firewall aktivieren

Die Erweiterung Plesk Firewall (unter Tools & Einstellungen → Firewall, ggf. über den Erweiterungskatalog nachinstallieren) verwaltet iptables/nftables-Regeln bequem im Panel:

  1. Firewall-Regelverwaltung aktivieren
  2. Nicht benötigte Dienste schließen – typische Kandidaten:
    • 8447 (Plesk Installer) → nur bei Bedarf öffnen
    • MySQL 3306 von außen → schließen, wenn keine externen Verbindungen nötig
    • FTP (21) → schließen, wenn nur SFTP genutzt wird
  3. Optional: Zugriff auf Port 8443 (Panel) und SSH (22) auf die eigene feste IP oder ein VPN beschränken

Wichtig: Vor dem Aktivieren einer restriktiven Regel für SSH/Panel sicherstellen, dass die eigene IP erlaubt ist – sonst sperrt man sich aus.

2. Fail2ban einrichten

Unter Tools & Einstellungen → IP-Adressen-Sperrung (Fail2Ban):

  1. Fail2ban aktivieren
  2. Empfohlene Jails einschalten: plesk-panel, ssh, plesk-postfix, plesk-dovecot, plesk-wordpress, recidive
  3. Sinnvolle Startwerte: 5 Fehlversuche in 10 Minuten → 30 Minuten Sperre; das recidive-Jail sperrt Wiederholungstäter länger
  4. Die eigene feste IP in die Whitelist (vertrauenswürdige IPs) eintragen

3. SSH härten

In /etc/ssh/sshd_config (oder als Datei unter sshd_config.d/):

PermitRootLogin prohibit-password   # oder: no, mit sudo-User
PasswordAuthentication no           # nur mit hinterlegtem SSH-Key!

Danach systemctl restart sshd. Erst testen, ob der Key-Login funktioniert, bevor die Passwort-Authentifizierung deaktiviert wird.

4. Panel-Login absichern

  • Tools & Einstellungen → Sicherheitsrichtlinie: starke Passwortrichtlinie erzwingen
  • Zwei-Faktor-Authentifizierung für Admin-Accounts aktivieren (Erweiterung „Multi-Factor Authentication")
  • Optional den Panel-Zugriff über eine schönere URL mit Standard-Port 443 konfigurieren und 8443 per Firewall einschränken

5. Automatische Updates & ModSecurity

  • Update-Einstellungen: Plesk-Updates + System-Sicherheitsupdates automatisch installieren
  • Tools & Einstellungen → Web Application Firewall (ModSecurity) aktivieren – Regelsatz „OWASP" oder der kommerzielle „Atomic"-Regelsatz; zunächst im Modus Nur erkennen, nach Sichtung der Logs auf Ein stellen

6. WordPress-Instanzen schützen

Läuft WordPress auf dem Server, übernimmt das WP Toolkit viel Arbeit: Sicherheits-Check ausführen, Auto-Updates für Core/Plugins aktivieren, XML-RPC deaktivieren, wenn es nicht gebraucht wird.

7. Monitoring nicht vergessen

  • Plesk Monitoring/Advanced Monitoring (Grafana) für CPU, RAM, Disk
  • Benachrichtigungen unter Tools & Einstellungen → Benachrichtigungen aktivieren
  • Regelmäßig fail2ban-client status und die Aktionsprotokolle prüfen

Checkliste zum Mitnehmen: Firewall aktiv :white_check_mark: Fail2ban aktiv :white_check_mark: SSH nur mit Key :white_check_mark: 2FA im Panel :white_check_mark: Auto-Updates :white_check_mark: ModSecurity :white_check_mark: Backups extern :white_check_mark:

Welche Maßnahmen setzt ihr zusätzlich ein? Ergänzungen willkommen!