Was ist SSH?
SSH steht für Secure Shell.
SSH ist ein verschlüsseltes Protokoll, über das sich Administratoren aus der Ferne an einem Server anmelden, Befehle ausführen und Dateien übertragen.
Ohne Fachbegriffe, für Betriebe ohne eigene IT.
Auf dieser Seite3 Abschnitte
Einfach erklärt
SSH ist der verschlüsselte Wartungszugang zu einem Server. Ihr IT-Dienstleister meldet sich damit aus der Ferne an, gibt Befehle ein, spielt Updates ein oder kopiert Dateien. Alles, was dabei übertragen wird, ist verschlüsselt. Das ist wie der Schlüssel zum Hintereingang eines Technikraums: Wer ihn hat, kann dort alles tun.
Statt eines Passworts nutzt man meist ein Schlüsselpaar. Der öffentliche Teil liegt auf dem Server, der private bleibt auf dem Rechner des Administrators. Nur wer den passenden privaten Schlüssel besitzt, kommt hinein.
Warum Sie das betrifft
SSH-Zugänge sind Generalschlüssel zu Ihren Servern. Wer einen gültigen Schlüssel hat, kann Daten lesen, ändern oder löschen. Deshalb sollten Sie wissen, wer einen besitzt. Wechselt Ihr IT-Dienstleister oder verlässt ein Administrator die Firma, müssen seine Schlüssel vom Server entfernt werden. Sonst bleibt der Zugang bestehen, auch wenn der Vertrag längst beendet ist.
Was Sie tun können
- Lassen Sie sich eine Liste geben, welche Personen oder Firmen SSH-Zugang zu welchem Server haben.
- Fragen Sie, ob die Anmeldung mit Passwort abgeschaltet ist.
- Fragen Sie, ob der Zugang für das ganze Internet offen ist oder nur über ein VPN und von festen Adressen aus.
Achtung: Meldet das Programm beim Verbinden, der Schlüssel des Servers habe sich geändert, ist das kein Fehler zum Wegklicken. Entweder wurde der Server neu aufgesetzt oder jemand hat sich dazwischengeschaltet. Erst klären, dann verbinden.
Protokoll
SSH (Secure Shell) ist in RFC 4251 bis 4254 beschrieben: Architektur, Transportschicht mit Schlüsselaustausch und Server-Authentisierung, Benutzer-Authentisierung und das Verbindungsprotokoll mit Kanälen für Shell, Port-Weiterleitung und Subsysteme wie SFTP. Der Server lauscht standardmäßig auf TCP-Port 22. Beim ersten Verbinden speichert der Client den Host-Schlüssel in known_hosts (Trust on First Use). Für Benutzerschlüssel ist Ed25519 üblich (RFC 8709). OpenSSH nutzt seit Version 10.0 (April 2025) standardmäßig den hybriden Post-Quanten-Schlüsselaustausch mlkem768x25519-sha256 und unterstützt DSA nicht mehr.
Über SSH laufen auch Dateiübertragungen (SFTP, scp, rsync) und Tunnel, etwa ssh -L 5432:localhost:5432 admin@server für eine Datenbank, die nur lokal lauscht. Für viele Server und wechselnde Personen bietet OpenSSH Zertifikate: Eine eigene Zertifizierungsstelle signiert Benutzerschlüssel mit Ablaufdatum, die Server vertrauen nur dieser Stelle.
# Schlüssel erzeugen und auf dem Server hinterlegen
ssh-keygen -t ed25519 -C "admin@dienstleister.example 2026-10"
ssh-copy-id -i ~/.ssh/id_ed25519.pub admin@server.ihre-firma.de
# /etc/ssh/sshd_config.d/10-haertung.conf
PasswordAuthentication no
KbdInteractiveAuthentication no
PermitRootLogin no
AllowUsers admin
Typische Fehler
- Passwortanmeldung offen. Ein Server mit Port 22 im Internet sieht laufend automatisierte Anmeldeversuche. Seit OpenSSH 9.8 sperrt
PerSourcePenaltiesauffällige Quellen standardmäßig für eine Weile. Eine Anmeldung nur mit Schlüssel ersetzt das nicht. - Alte Schlüssel in
authorized_keys. Schlüssel ehemaliger Mitarbeitender oder Dienstleister bleiben jahrelang gültig. Ein Kommentar je Schlüssel mit Person und Datum erleichtert das Aufräumen. - Private Schlüssel ohne Passphrase. Ein gestohlener Laptop wird zum Serverzugang. Besser mit Passphrase und
ssh-agentoder als Hardware-Schlüssel (ed25519-sk). - Host-Key-Prüfung abgeschaltet.
StrictHostKeyChecking noin Skripten macht einen Man-in-the-Middle-Angriff unsichtbar. - Agent-Weiterleitung auf fremde Server. Mit
ForwardAgentkann ein Administrator des Zielservers die geladenen Schlüssel nutzen, solange die Verbindung besteht.
Prüfen
sshd -T | grep -E 'passwordauthentication|kbdinteractiveauthentication|permitrootlogin'
ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub
ssh -v admin@server.ihre-firma.de
sshd -T zeigt die tatsächlich wirksame Konfiguration nach allen eingebundenen Dateien. Den Fingerabdruck des Host-Schlüssels über einen zweiten Weg weitergeben, damit Nutzer ihn beim ersten Verbinden vergleichen können.