Ubuntu-Server härten: Root-Login deaktivieren und sicheren Admin-Account einrichten

Login deaktivieren und sicheren Admin-Account einrichten

Ein frisch installierter Ubuntu-Server ist im Netz oft innerhalb von Minuten das Ziel von automatisierten Bot-Netzen und Brute-Force-Angriffen. Das primäre Einfallstor für Angreifer ist dabei fast immer der standardmäßige, weltweit bekannte root-Account. Wer seine Linux-Infrastruktur professionell absichern und das Sicherheitsniveau drastisch erhöhen möchte, deaktiviert den direkten Root-Login und arbeitet stattdessen mit einem individuellen Administrator-Account. Dieser Blogbeitrag zeigt Schritt für Schritt, wie du einen solchen Admin-Zugang unter Ubuntu – auch in Kombination mit Administrationstools wie Webmin – sauber und fehlerfrei einrichtest.

Warum der direkte Root-Login ein Sicherheitsrisiko ist

Standardmäßig ist der root-Benutzer auf fast jedem Linux-System aktiv. Da der Name feststeht, müssen automatisierte Angreifer lediglich das Passwort erraten (Brute-Force), um die vollständige Kontrolle über das gesamte System zu erlangen.

Durch das Sperren des direkten Root-Logins und die Verwendung eines personalisierten Benutzernamens läuft ins Leere, was Angreifer versuchen. Selbst wenn das Passwort des Admin-Users in die Hände Unbefugter geraten sollte, sind keine automatischen Root-Rechte vorhanden, solange der Account von kritischen Systemgruppen getrennt bleibt.

Schritt 1: Einen individuellen Admin-Benutzer anlegen

Statt für den täglichen Login den universellen Standardnamen zu nutzen, wird im ersten Schritt ein völlig neuer Benutzer erstellt.

  • Benutzername wählen: Verwende einen individuellen, nicht vorhersehbaren Namen, der keine Rückschlüsse auf administrative Rollen zulässt.
  • Shell-Zuweisung: Als Login-Shell für administrative Aufgaben sollte zwingend /bin/bash gewählt werden. Reine Minimal-Shells wie /bin/sh bieten keinen komfortablen Befehlsverlauf oder nützliche Tab-Vervollständigungen für den täglichen Server-Betrieb.
  • Primäre Gruppe: Belasse die primäre Gruppe des Benutzers standardmäßig auf users, um ihn sauber vom restlichen Systemkern zu trennen.

Schritt 2: Kritische Systemgruppen strikt meiden

Bei der Einrichtung über Webmin oder die Konsole neigen Einsteiger oft dazu, den neuen Benutzer in klassische Systemgruppen oder sogar direkt in die root-Gruppe zu stecken. Das hebelt jedoch jegliches Sicherheitskonzept aus.

  • Keine Root-Gruppen: Der Account darf unter keinen Umständen Mitglied in Gruppen wie root, disk oder anderen kritischen Systemgruppen sein. Gruppen wie disk gewähren beispielsweise direkten, rohen Zugriff auf die Festplatten und umgehen jegliche Dateirechte.
  • Saubere Trennung: Der Benutzer bleibt ein normaler Systembenutzer ohne pauschale Superuser-Privilegien.

Schritt 3: Gezielte Rechtevergabe über die sudo-Gruppe

Damit der neue Account bei Bedarf Systemaktualisierungen oder Konfigurationsänderungen durchführen kann, benötigt er die Berechtigung zur gezielten Ausführung von Befehlen mit Administratorrechten.

  • Gruppe zuweisen: Weise dem Benutzer in der Verwaltung (entweder über das Webmin-Interface unter den sekundären Gruppen oder direkt über die Konsole) exklusiv die Gruppe sudo zu.
  • Konsolen-Befehl: Alternativ lässt sich dieser Berechtigungsstatus im Terminal schnell mit folgendem Befehl umsetzen:sudo usermod -aG sudo dein_benutzername
  • Dadurch arbeitet der Benutzer im Alltag völlig sicher mit normalen Rechten und fordert die Root-Power nur dann an, wenn sie aktiv benötigt wird.

Schritt 4: SSH-Login testen und absichern

Bevor der eigentliche Root-Zugang komplett gesperrt wird, muss der neue Weg zwingend verifiziert werden, um einen Ausschluss vom System zu verhindern.

  • Verbindungstest: Melde dich testweise in einem neuen Terminal-Fenster per SSH mit dem neuen Benutzernamen und dem dazugehörigen Passwort an.
  • Befehlsprüfung: Teste, ob administrative Befehle reibungslos funktionieren, indem du ihnen das entsprechende Präfix voranstellst (z. B. sudo apt update). Das System merkt sich die erfolgreiche Authentifizierung für die folgenden Minuten, sodass das Passwort nicht für jeden einzelnen Befehl neu eingegeben werden muss.

Fazit

Mit diesen wenigen Schritten ist der Ubuntu-Server gegen die gängigsten automatisierten Angriffe aus dem Internet abgesichert. Der direkte Root-Zugriff ist blockiert, und administrative Aufgaben lassen sich sauber, nachvollziehbar und sicher über den neuen Sudo-Account steuern.

Haftungsausschluss (Disclaimer)

Jegliche Umsetzung der in diesem Artikel beschriebenen Schritte, Konfigurationen und Befehle erfolgt auf eigene Gefahr. Ich übernehme keinerlei Haftung oder Verantwortung für eventuelle Schäden, Datenverluste, Systemausfälle oder Aussperrungen, die durch falsche Konfigurationen oder Fehlbedienungen am Server entstehen.

Aufrufe: 7 Views