IPServerSec

Ihr Server läuft. Das ist keine Aussage über seine Sicherheit.

IPServerSec ist ein Härtungs- und Frühwarnsystem für Linux-Server, das ich selbst geschrieben habe. Über Jahre aus echten Angriffen auf echte Server gewachsen. Jede Version läuft zuerst auf meiner gesamten Serverflotte, bevor sie je auf ein Kundensystem kommt. Was es tut, steht auf dieser Seite vollständig.

Ein gehackter Server sieht aus wie ein gesunder Server

Die Seite lädt. Die Mails gehen raus. Die Datenbank antwortet in 4 Millisekunden. Und im Hintergrund läuft seit Wochen ein fremder Prozess.

14 Tage. So lange blieb ein Angreifer unentdeckt, im globalen Median, bei den Vorfällen des Jahres 2025. Die Zahl stammt aus M-Trends 2026 von Mandiant, der forensischen Einheit von Google, die jedes Jahr die eigenen Einsätze auswertet. Und es ist die günstigste Zahl, denn gezählt werden nur die Fälle, die überhaupt aufgefallen sind. Über die anderen führt niemand Statistik. Die laufen noch.

Ein guter Angreifer zerstört nichts. Er hält Ihren Server am Leben, weil ein funktionierender Server für ihn wertvoller ist als ein kaputter.

Ihr Server ist selten das Ziel. Er ist die Ressource.

Beim Wort Hackerangriff denken die meisten an Datendiebstahl. Das kommt vor. Der häufigere Fall ist ein anderer: Ein Angreifer gliedert Ihren Server in seine Infrastruktur ein und gibt ihm eine Aufgabe.

Er verteilt Schadsoftware an die Besucher Ihrer Webseite. In einem Verzeichnis, das Sie nie öffnen, hostet er eine Phishing-Seite. Er verschickt Spam in Ihrem Namen, tausendfach. Er greift andere Unternehmen an, als einer von vielen. Er schürft Kryptowährung, wenn nachts ohnehin nichts los ist.

Ihre Rechnung dafür kommt, lange bevor jemand das Wort Angriff in den Mund nimmt. Die Adresse Ihres Servers landet auf internationalen Sperrlisten, und plötzlich kommen Ihre Angebote bei Kunden nicht mehr an. Google markiert Ihre Domain als schädlich. Missbrauchsmeldungen laufen bei Ihrem Hoster auf, und der schaltet ab, ohne mit Ihnen zu diskutieren. Dann steht alles, und Ihre Kunden rufen bei Ihnen an, nicht bei Ihrem Hoster.

Was IPServerSec tut

14 Schutzschichten, die ineinandergreifen. Welche davon ich auf Ihrem Server scharfschalte und wie fein ich sie einstelle, entscheidet die Eingangsprüfung.

Abwehr am Eingang. Eine verhaltensbasierte Angriffserkennung, gespeist aus einem weltweiten Netzwerk, in dem sich Server gegenseitig vor neuen Angreifern warnen, wertet die Protokolle laufend aus und sperrt automatisch. Das läuft ohne Ihr Zutun. Davor steht eine Anwendungsfirewall auf Basis des OWASP Core Rule Set, die typische Muster für SQL-Injection, Cross-Site-Scripting, Remote-Code-Execution und Path-Traversal einschließlich Local-File-Inclusion abfängt. Dazu Köder auf Pfaden, die ein echter Besucher niemals aufruft, netzweite Sperren für Wiederholungstäter und Sperren ganzer Netzbereiche. Durchgesetzt wird das auf 2 Ebenen: im Webserver und in der Paketfilterung des Betriebssystems.

Erkennung im Inneren. Alle 12 Stunden prüft Ihr Server die überwachten Systempfade mit kryptografischen Prüfsummen. Die Referenzdatenbank liegt auf einem getrennten System, damit ein Angreifer mit vollen Rechten sie nicht einfach mitverändert. Bei Webanwendungen kommen der Abgleich mit den offiziellen Prüfsummen des Herstellers und die Suche nach verschleiertem Schadcode dazu. Und weil ein großer Teil des Schadens, für den Sie haften, auf dem Weg nach draußen entsteht, beobachtet das System auch den ausgehenden Verkehr: ungewöhnliches Mailaufkommen, unbekannte Verbindungsziele, Last zu Zeiten ohne Betrieb.

Meldung und Nachweis. Sie bekommen einen strukturierten Bericht per Mail, sobald ein Prüflauf etwas zu melden hat, bei einem echten Vorfall zusätzlich eine SMS. Routinemeldungen lösen niemals eine SMS aus, denselben Vorfall meldet das System nicht 2-mal in 12 Stunden, und nichtssagende Meldungen wirft das System weg, bevor sie Ihr Postfach erreichen. Ein Alarm, der 20-mal grundlos schrillt, wird beim 21. Mal ignoriert. Das ist keine technische Frage, das ist eine menschliche.

Fundament. Jede Domain läuft unter einem eigenen Systemkonto mit minimalen Rechten, damit ein Einbruch an einer Stelle Sie nicht den ganzen Server kostet. Darunter ein gehärtetes Betriebssystem: automatische Sicherheitsupdates aus definierten Quellen, Kernel-Livepatching, wo möglich, überwachte Zertifikatserneuerung, ein vollständiger Satz Sicherheits-Header, abgesicherte Mailauthentifizierung und Sicherungen auf getrenntem Speicher.

Warum Herkunft fast nichts aussagt

Über Geoblocking erzählen viele Unsinn, deshalb hier die unbequeme Version.

Was Sperren ganzer Netzbereiche können: Sie räumen das Grundrauschen weg. Der überwiegende Teil dessen, was täglich gegen einen Server läuft, ist stumpfes automatisiertes Abtasten aus billigen Rechenzentren. Fällt das weg, wird Ihr Protokoll lesbar, und die Verhaltenserkennung arbeitet auf sauberem Signal statt auf Rauschen.

Als Schutz taugen sie nicht. Der Verkehr eines ernsthaften Angreifers kommt nicht aus dem Land, in dem er sitzt. Er schaltet mehrere VPN-Dienste hintereinander. Für 6 Euro im Monat mietet er einen deutschen Server. Dazu kommt Zugang zu Netzwerken aus mehr als 10.000 echten Privatanschlüssen, eingesammelt über manipulierte Handy-Apps, dazu gekaperte Router in deutschen Wohnzimmern und gehackte Überwachungskameras. Der Angriff sieht dann aus wie der Feierabendverkehr eines Familienvaters aus Dortmund.

Der eigentliche Schutz fragt deshalb nicht, woher eine Anfrage kommt. Er fragt, was sie tut. Herkunft ist ein schwaches Signal. Verhalten ist ein starkes.

3 Wochen, weil 2 Stunden gelogen wären

Zuerst fasse ich nichts an. Ich nehme den Ist-Zustand auf, vollständig und ausschließlich lesend. System, Dienste, offene Ports, Zertifikate, Datenbanken, vorhandene Sicherungen, bereits installierte Schutzsoftware. Sie bekommen einen Befundbericht, der Ihnen sagt, wo Sie wirklich stehen. Dieser Teil tut weh. Er soll das.

Dann härte ich. Erkennung, Regelwerk, Firewall, Integritätsprüfung, Alarmierung, Isolation, Sicherungen, Betriebssystem. Alte, sich widersprechende Schutzsysteme stapele ich dabei nicht, ich ersetze sie. 4 Systeme, die sich gegenseitig blockieren, schützen schlechter als 1 System, das jemand versteht und verantwortet.

Danach kommt die eigentliche Arbeit. Rund 2 Wochen reine Feinjustierung an Ihrem echten Verkehr. Fehlalarme raus, Ausnahmen rein, jede Regel gegen Ihre Anwendung getestet. 3 Wochen statt 2 Stunden, weil ein Filter, der Ihre Kunden aussperrt, schlimmer ist als gar kein Filter.

Am Ende steht die Abnahme. Jede Domain einzeln geprüft, jeder Dienst kontrolliert, dokumentiert, übergeben, im laufenden Betrieb. Der Maßstab ist einfach: Ich plane die Umstellung so und nehme sie so schrittweise ab, dass Ihr Betrieb durchgehend weiterläuft. Kurze Einschränkungen stimme ich vorher mit Ihnen ab.

Ein gehärteter Server verrottet wie jeder andere

Er bekommt neue Domains, neue Anwendungen, neue Abhängigkeiten. Software altert. Regeln, die heute passen, blockieren in 8 Monaten einen Dienst, den es jetzt noch nicht gibt.

Auf Wunsch bleibe ich deshalb dran: Befunde aus den Prüfläufen lesen. Updates einspielen, die nicht automatisch laufen dürfen, weil sie Ihre Anwendung berühren. Neue Domains sauber in den Schutz aufnehmen. Speicherplatz, Last und Zertifikatslaufzeiten im Blick behalten. Sie bekommen einen Quartalsbericht, den Sie abzeichnen. Er dokumentiert die durchgeführten Prüfungen und Maßnahmen und dient als Nachweis gegenüber Versicherern, Auftraggebern und Behörden. Welches Gewicht ihm im Einzelfall zukommt, entscheidet die jeweilige Stelle.

Ohne laufende Betreuung arbeiten die eingerichteten Komponenten weiter. Nur nimmt ihre Schutzwirkung mit der Zeit ab, wenn ich neue Anwendungen nicht aufnehme und neue Angriffsmuster nicht einpflege.

Was ich nicht verspreche

Es gibt keine 100-prozentige Sicherheit. Wer sie zusagt, verspricht etwas, das technisch nicht einlösbar ist.

Jeder Server, der aus dem Internet erreichbar ist, trägt ein Restrisiko. Es gibt Lücken, die noch niemand kennt, Angreifer mit Geduld, Geld und Zeit, und den Montagmorgen, an dem ein Mitarbeiter auf etwas klickt, das er nicht hätte anklicken sollen.

Damit verschiebt sich die Frage. Sie lautet nicht, ob Ihr Server absolut sicher ist, denn das kann er nicht sein. Sie lautet, ob Sie das technisch Mögliche und Zumutbare getan haben. Daran misst Sie später jeder: der Versicherer, der nach grober Fahrlässigkeit sucht, die Aufsichtsbehörde, die nach angemessenen Maßnahmen fragt, und im Streitfall ein Gericht.

So fängt es an

Am Anfang steht eine Eingangsprüfung in 6 Stufen: Klärung der Berechtigung, passive Aufklärung ohne jeden Zugriff, aktive Außenprüfung, Innenprüfung mit lesendem Zugang, Suche nach Spuren einer bereits laufenden Übernahme und, wo nötig, die Prüfung des Umfelds aus Netzwerk, Arbeitsplätzen und Branchensoftware. Welche Stufen Sie brauchen, klären wir gemeinsam vor dem ersten Handgriff.

Auf dieser Seite steht kein Preis, und das hat einen sachlichen Grund. Nehmen Sie eine Arztpraxis: Server bei einem Anbieter, Mail bei einem zweiten, Webseite bei einem dritten, dazu ein Netzwerk, das über 15 Jahre gewachsen ist. Das ist 1 Woche Arbeit, davon 2 Tage vor Ort. Ein sauber aufgesetzter eigener Server mit 3 Domains ist an einem Tag erfasst. Beides für denselben Preis anzubieten wäre entweder unseriös oder ein Verlustgeschäft.

Der zweite Grund ist unbequemer. Wer erst anruft, wenn es brennt, konkurriert mit allen anderen, die gleichzeitig anrufen, und zahlt den Preis der Eile. Wer vorher kommt, zahlt den Preis der Arbeit.

Sie melden sich und schildern kurz, was Sie betreiben. Das Erstgespräch ist kostenlos und unverbindlich. Danach erhalten Sie ein schriftliches Angebot mit Festpreis für die Eingangsprüfung, die kostenpflichtig ist. Nehmen Sie das Angebot an und unterzeichnen den Vertrag, lege ich los. Nehmen Sie es nicht an, entstehen Ihnen keine Kosten. Ich stelle niemandem etwas in Rechnung, das er nicht vorher schriftlich beauftragt hat.

Ihr Server läuft. Sie wissen es. Finden Sie heraus, wer es sonst noch weiß.

Diese Seite beschreibt Leistungen unverbindlich und enthält kein Angebot im Sinne des § 145 BGB. Welche Schutzschichten ich einrichte, welche Prüfstufen wir durchlaufen und welcher Aufwand entsteht, ergeben sich erst aus dem schriftlichen Angebot nach der Eingangsprüfung. Die rechtlichen Ausführungen sind allgemeine Information und keine Rechtsberatung.