DSGVO-konforme Serverhärtung: Virtualmin gegen DDoS & Brute-Force-Angriffe für Vereinswebsites

Warum Vereinswebsites ein beliebtes Angriffsziel sind

Vereinswebsites speichern sensible Daten wie Mitgliederlisten, Bankverbindungen oder persönliche E-Mails. Genau diese Informationen machen sie für Angreifer interessant. Ohne ausreichenden Schutz können DDoS-Angriffe die Website lahmlegen und Brute-Force-Attacken versuchen, Zugangsdaten zu knacken. Die DSGVO verlangt von dir als Betreiber, angemessene technische Maßnahmen zu ergreifen, um diese Daten zu schützen. Mit einem eigenen Server und Virtualmin hast du die volle Kontrolle – und kannst dich effektiv absichern, ohne auf externe Cloud-Dienste angewiesen zu sein.

Grundlagen: Virtualmin-Server sicher konfigurieren

Bevor du dich mit speziellen Angriffen beschäftigst, solltest du die Basisabsicherung deines Servers prüfen. Dazu gehören regelmäßige Updates, die Verwendung von SSH-Keys statt Passwörtern und die Konfiguration einer Firewall. Virtualmin bietet dir hierfür eine benutzerfreundliche Oberfläche, aber auch die Kommandozeile ist dein Freund.

1. Firewall mit UFW oder iptables einrichten

Eine Firewall ist deine erste Verteidigungslinie. Mit UFW (Uncomplicated Firewall) kannst du schnell Regeln definieren. Erlaube nur notwendige Ports wie 22 (SSH), 80 (HTTP) und 443 (HTTPS). Blockiere alle anderen eingehenden Verbindungen. Beispiel:

sudo ufw default deny incoming
sudo ufw allow 22/tcp
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw enable

Zusätzlich kannst du mit Fail2ban Brute-Force-Angriffe auf SSH und Webdienste erkennen und IPs automatisch sperren.

2. SSH-Härtung

Statt Passwörtern solltest du SSH-Keys verwenden. Deaktiviere den Passwort-Login in der Datei /etc/ssh/sshd_config:

PasswordAuthentication no
PermitRootLogin no

Ändere außerdem den Standard-Port von 22 auf einen höheren Port, um automatische Angriffe zu reduzieren. Vergiss nicht, die Firewall entsprechend anzupassen.

DDoS-Schutz ohne Cloud-Dienste

DDoS-Angriffe zielen darauf ab, deinen Server mit Anfragen zu überfluten. Ohne externe Dienste musst du auf Server-Ebene gegensteuern. Hier sind effektive Methoden:

1. Rate Limiting mit mod_evasive (Apache) oder ngx_http_limit_req_module (Nginx)

Begrenze die Anzahl der Anfragen pro IP und Zeitfenster. Für Apache installierst du mod_evasive und konfigurierst es in der VirtualHost-Datei:

<IfModule mod_evasive20.c>
DOSHashTableSize 3097
DOSPageCount 2
DOSSiteCount 50
DOSPageInterval 1
DOSSiteInterval 1
DOSBlockingPeriod 10
</IfModule>

Bei Nginx nutzt du das limit_req-Modul, um die Anfragen pro Sekunde zu begrenzen.

2. IPTables-Regeln gegen SYN-Floods

Ein SYN-Flood ist eine häufige DDoS-Form. Mit iptables kannst du die Anzahl der SYN-Pakete pro Sekunde begrenzen:

sudo iptables -A INPUT -p tcp --syn -m limit --limit 5/s -j ACCEPT
sudo iptables -A INPUT -p tcp --syn -j DROP

Diese Regel erlaubt nur 5 neue Verbindungen pro Sekunde und verwirft den Rest. Passe den Wert an deine Bedürfnisse an.

3. Schutz vor HTTP-Floods mit Fail2ban

Fail2ban kann auch gegen HTTP-Floods helfen, indem es IPs sperrt, die zu viele Anfragen senden. Erstelle eine Filterdatei für deinen Webserver und überwache die Logs.

Brute-Force-Schutz für Webanwendungen und E-Mail

Brute-Force-Angriffe zielen auf Login-Seiten, E-Mail-Konten und andere Zugänge. Virtualmin bietet dir mehrere Ansatzpunkte:

1. Fail2ban für Virtualmin und Webmin

Konfiguriere Fail2ban so, dass es auch die Logs von Virtualmin und Webmin überwacht. So werden IPs, die wiederholt falsche Passwörter eingeben, automatisch gesperrt.

2. Zwei-Faktor-Authentifizierung (2FA) aktivieren

Für Webmin und Virtualmin kannst du 2FA einrichten. Das erhöht die Sicherheit erheblich, selbst wenn ein Passwort gestohlen wird.

3. E-Mail-Passwörter schützen

Verwende für E-Mail-Konten starke Passwörter und aktiviere gegebenenfalls die Rate-Limiting-Funktion von Dovecot oder Postfix, um automatisierte Angriffe zu erschweren.

DSGVO-konforme Logging- und Monitoring-Strategie

Die DSGVO verlangt, dass du Protokolle nicht länger aufbewahrst als nötig. Richte daher eine rotationsbasierte Log-Verwaltung ein, die Logs nach einer bestimmten Zeit automatisch löscht. Außerdem solltest du sicherstellen, dass Logs keine personenbezogenen Daten enthalten oder diese pseudonymisiert werden.

1. Logrotate konfigurieren

Logrotate ist in den meisten Distributionen vorinstalliert. Passe die Konfiguration an, um Logs täglich zu rotieren und nach 30 Tagen zu löschen. Beispiel für eine Datei unter /etc/logrotate.d/:

/var/log/nginx/*.log {
    daily
    rotate 30
    compress
    delaycompress
    missingok
    notifempty
    create 640 www-data adm
    sharedscripts
    postrotate
        systemctl reload nginx
    endscript
}

2. Zentrales Monitoring mit einem Dashboard

Nutze Tools wie Netdata oder Glances, um die Serverlast und verdächtige Aktivitäten im Blick zu behalten. Diese laufen lokal und benötigen keine Cloud-Anbindung.

Backups und Wiederherstellung als Teil der Sicherheitsstrategie

Selbst mit den besten Schutzmaßnahmen kann ein Angriff erfolgreich sein. Deshalb sind regelmäßige Backups unerlässlich. Virtualmin bietet integrierte Backup-Funktionen, die du auf einen externen Speicher oder ein anderes internes Laufwerk legen kannst. Stelle sicher, dass die Backups verschlüsselt sind, um DSGVO-Anforderungen zu erfüllen.

Backup-Strategie

Plane tägliche Backups der Datenbanken und wöchentliche Voll-Backups. Teste die Wiederherstellung regelmäßig, um im Ernstfall schnell reagieren zu können.

Fazit: Sicherheit beginnt mit der richtigen Konfiguration

Die Absicherung deines Virtualmin-Servers gegen DDoS- und Brute-Force-Angriffe ist eine fortlaufende Aufgabe. Mit den hier vorgestellten Maßnahmen – Firewall, Rate Limiting, Fail2ban, 2FA und einer durchdachten Log-Strategie – schaffst du eine solide Basis, die den DSGVO-Anforderungen gerecht wird. Und das alles ohne externe Cloud-Dienste, was dir volle Kontrolle über deine Daten gibt.

Wenn du Unterstützung bei der Einrichtung deines Servers benötigst oder eine zuverlässige Hosting-Umgebung suchst, schau dir unsere Webhosting-Angebote an. Für die passende Domain findest du bei uns ebenfalls eine große Auswahl – besuche unsere Domain-Seite.