Was ein günstiger dedizierter Server bietet und was nicht

Ein günstiger dedizierter Server zeigt Ihnen schon beim ersten Blick ins Anmeldeprotokoll fremde Versuche, sich als root anzumelden, obwohl außer Ihnen noch niemand seine IP-Adresse kennt. Die ersten Besucher kommen ohne Einladung. Von Juli 2024 bis Juni 2025 zielte am Honeypot des BSI mehr als die Hälfte aller Angriffe gegen die fünf meistattackierten Protokolle auf Port 22, den Zugang für die Fernwartung per SSH.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Die Monatsrechnung für einen dedizierten Server der Einstiegsklasse fällt klein aus. Teuer wird, was nicht auf der Rechnung steht: Sicherheitsupdates, Firewall, Backup und die Stunden, die Sie dafür einplanen müssen. Hier lesen Sie, was am ersten Tag bereitsteht, was fehlt und an welcher Stelle die Arbeit bei Ihnen beginnt.

Das Wichtigste in Kürze

• Der Anbieter liefert Hardware, Strom, Netzanschluss, eine IP-Adresse, die Installation des Betriebssystems, einen Rescue-Modus und in der Regel einen DDoS-Filter im Netz des Anbieters.
• Verwaltete Updates, Support für Ihre Anwendungen, ein Backup und eine fest zugesagte Reparaturfrist gehören in dieser Preisklasse in der Regel nicht zum Paket.
• Am ersten Tag stehen sechs Schritte an, von der Anmeldung per SSH-Schlüssel bis zum Backup außerhalb des Servers, dessen Wiederherstellung Sie einmal geprobt haben.
• Nach einer Schätzung der Redaktion kostet der laufende Betrieb zwei bis vier Stunden im Monat. Bei einem Stundensatz von 95 Euro entspricht das 190 bis 380 Euro.

Wissenstest

Wie gut kennen Sie den dedizierten Server?

5 Fragen aus dem Artikel. Wählen Sie Ihre Antwort, dann decken Sie die Lösung auf.

1 Auf welchen Port zielte am BSI-Honeypot mehr als die Hälfte der Angriffe auf die fünf meistattackierten Protokolle? Aufklappen ↓

Auflösung aufdecken ↓

Richtig: A. Von Juli 2024 bis Juni 2025 entfiel mehr als die Hälfte dieser Angriffe auf Port 22, den Zugang für SSH. Auf das Remote Desktop Protocol an Port 3389 zielten 22 Prozent.

APort 22 (SSH) BPort 3389 (Remote Desktop) CPort 443 (HTTPS)

2 Welche Anmeldung erlaubt OpenSSH in der Grundeinstellung? Aufklappen ↓

Auflösung aufdecken ↓

Richtig: B. In der sshd_config steht PasswordAuthentication ab Werk auf yes. Erst mit dem Wert no akzeptiert der Server ausschließlich Schlüssel.

ANur die Anmeldung per Schlüssel BAuch die Anmeldung per Passwort CKeine Anmeldung von außen

3 Was besagt die 3-2-1-Regel aus dem BSI-Standard 200-4? Aufklappen ↓

Auflösung aufdecken ↓

Richtig: C. Drei aktuelle Versionen wichtiger Dateien gehören auf zwei verschiedene Medien, mindestens eine davon an einen weiteren Ort. Die Platte im Server allein erfüllt keinen dieser Punkte.

ADrei Server, zwei Rechenzentren, ein Administrator BDrei Sicherungen am Tag, zwei Tage Aufbewahrung, ein Test CDrei Versionen auf zwei Medien, eine davon an einem weiteren Ort

4 Wie viele Sicherheitshinweise veröffentlichte das Debian-Sicherheitsteam im September 2026? Aufklappen ↓

Auflösung aufdecken ↓

Richtig: B. Im September 2026 erschienen 56 Hinweise, darunter für den Linux-Kernel, OpenSSL, Nginx und PHP. Von Hand müssten Sie also fast täglich nachsehen.

A12 B56 C140

5 Bis wann erhält Debian 13 „Trixie“ reguläre Sicherheitsupdates? Aufklappen ↓

Auflösung aufdecken ↓

Richtig: A. Die reguläre Unterstützung endet am 9. August 2028. Danach übernimmt das LTS-Team bis 30. Juni 2030.

ABis 9. August 2028 BBis 30. Juni 2026 CBis 31. Dezember 2035

Quelle: Dr. Web Fachartikel „Was ein günstiger dedizierter Server bietet und was nicht“

© 2026 Dr. Web | Das Fachportal für Entscheider | Quiz von Dr. Web

Was ist ein günstiger dedizierter Server?

Ein günstiger dedizierter Server ist ein physischer Rechner im Rechenzentrum, den Sie allein mieten und vollständig selbst verwalten. Der Anbieter stellt Maschine, Strom und Netz, für alles darüber sind Sie zuständig.

Vom virtuellen Server unterscheidet sich das Modell bei der Hardware. Ein VPS teilt Prozessor, Arbeitsspeicher und Datenträger mit anderen Kunden auf demselben Host, beim dedizierten Server gehört die Maschine während der Mietzeit nur Ihnen. Rechenzeit zieht Ihnen dort kein Nachbar ab. Für welche Projekte ein VPS die bessere Wahl bleibt, zeigt unser Beitrag zum virtuellen Server.

Der zweite Unterschied betrifft die Verantwortung. Einen Managed Server pflegt der Anbieter: Betriebssystem und Sicherheitsupdates, oft auch Webserver und Datenbank. Mit dem unverwalteten Root-Server bekommen Sie dagegen vollen Administratorzugang und damit jede Pflicht, die an diesem Zugang hängt.

Für eine eigene Maschine statt eines VPS sprechen vor allem zwei Gründe. Eine Datenbank unter gleichmäßig hoher Last konkurriert dort mit keinem Nachbarn um Plattenzugriffe. Außerdem haben Sie volle Kontrolle über Kernel und Virtualisierung: Mit Proxmox teilen manche Teams den Server selbst in mehrere virtuelle Maschinen auf.

Den niedrigen Preis erklären zwei Dinge. Der Anbieter spart sich jede Betreuung, die über Maschine und Netz hinausgeht. Außerdem stammt die Technik in der Einstiegsklasse oft aus einer älteren Hardware-Generation. Für Sie heißt das: viel Rechenleistung pro Euro, aber kein Service im Preis.

Für Entwickler mit Linux-Erfahrung ist dieser Zuschnitt ein Vorteil. Kein Anbieter schreibt Ihnen vor, welche PHP-Version, welche Datenbank oder welcher Container-Stack auf der Maschine läuft. Die Freiheit kostet allerdings Zeit, die auf keiner Rechnung auftaucht.

Was steht am ersten Tag bereit?

Am ersten Tag stehen eine Maschine mit Strom und Kühlung, ein Netzanschluss mit festgelegter Bandbreite, eine öffentliche IP-Adresse, ein frisch installiertes Betriebssystem, ein Rescue-Modus für den Notfall und in der Regel ein DDoS-Filter im Netz des Anbieters bereit. Alles Weitere richten Sie selbst ein.

Die Hardware steht im Rechenzentrum des Anbieters, versorgt mit Strom, Kühlung und Netz. Um defekte Lüfter, Netzteile oder Platten kümmert sich das Personal vor Ort, sobald Sie oder die Überwachung des Anbieters den Fehler melden.

Beim Netzanschluss nennt jedes Angebot eine Bandbreite, etwa 250 Megabit oder 1 Gigabit pro Sekunde. Prüfen Sie im Vertrag zwei Details: ob die Bandbreite garantiert oder mit anderen Kunden geteilt ist und ob ein monatliches Datenvolumen gilt. Für Websites, Schnittstellen und Staging-Umgebungen genügt fast jede Einstiegsanbindung, für Videostreaming oder große Downloads sollten Sie nachrechnen.

Zur Maschine gehört eine öffentliche IPv4-Adresse, viele Anbieter geben zusätzlich einen IPv6-Bereich dazu. Weitere IPv4-Adressen kosten meist extra, weil der Adressraum knapp ist: Die europäische Vergabestelle RIPE NCC hat ihre letzten freien IPv4-Adressen im November 2019 vergeben. Für mehrere Websites reicht trotzdem eine Adresse, denn der Webserver unterscheidet die Domains am Hostnamen.

Das Betriebssystem installieren Sie über das Kundencenter des Anbieters aus einer Liste fertiger Abbilder, typischerweise Debian, Ubuntu, AlmaLinux oder Rocky Linux, oft auch ein Virtualisierungssystem wie Proxmox. Nach wenigen Minuten meldet sich ein frisches System mit den Standardeinstellungen der Distribution. Genau diese Grundeinstellungen sind der Ausgangspunkt Ihrer Arbeit.

Für den Notfall startet der Rescue-Modus den Server mit einem Minimalsystem aus dem Netz des Anbieters statt von der eigenen Platte. Im Rettungssystem prüfen Sie Dateisysteme, kopieren Daten herunter oder nehmen eine Firewall-Regel zurück, die Sie versehentlich ausgesperrt hat. Probieren Sie den Rescue-Modus am besten einmal aus, bevor Sie ihn nachts um drei brauchen.

Der DDoS-Schutz filtert Überlastungsangriffe im Netz des Anbieters, bevor die Datenflut die Leitung zum Server verstopft. Gegen eine schwache Passwortanmeldung, ein veraltetes CMS oder eine offen erreichbare Datenbank hilft dieser Filter nicht, denn solche Angriffe kommen mit wenigen, unauffälligen Paketen aus.

Was gehört nicht zum Paket?

Nicht im Paket sind verwaltete Updates, Support für Ihre Anwendungen, ein Backup und eine vertraglich zugesagte Reparaturfrist. Die Hardware hat zudem meist schon einige Betriebsjahre hinter sich. Keiner dieser Punkte ist ein Mangel, solange Sie ihn vor der Bestellung kennen.

Keine verwalteten Updates

Der Anbieter spielt keine Sicherheitsupdates ein, startet den Server nicht neu und hebt die Distribution nicht auf die nächste Hauptversion. Für Kernel, OpenSSL, Webserver und PHP erscheinen laufend neue Versionen. Auf Ihren Server gelangen nur die Pakete, die Sie selbst einspielen.

Ein ungepatchtes System gefährdet nicht nur Ihre eigenen Daten. Ein gekaperter Server verschickt Spam oder beteiligt sich an Angriffen auf fremde Rechner. Lesen Sie deshalb in den Vertragsbedingungen nach, unter welchen Umständen der Anbieter den Netzzugang Ihrer Maschine sperren darf.

Kein Support für Ihre Anwendungen

Der Support des Anbieters endet an der Hardware und am Netz. Ein hängender PHP-Prozess, eine volle Datenbank, ein abgelaufenes Zertifikat oder ein falscher DNS-Eintrag bleiben Ihre Sache. Ob überhaupt eine Reaktionszeit zugesagt ist, steht in den Geschäftsbedingungen.

Kein Backup

Die Platte im Server speichert Ihre Daten, sichert sie aber nicht. Ein Backup gehört auf ein anderes System an einem anderen Ort. Einrichten müssen Sie die Sicherung selbst, manche Anbieter verkaufen zusätzlichen Backup-Speicher als Option.

Besonders heikel sind Einstiegsmodelle mit nur einem Datenträger ohne RAID. Fällt diese eine Platte aus, ist alles verloren, was nicht anderswo liegt. Wie real das Risiko ist, zeigt der Cloud-Speicheranbieter Backblaze, der die Ausfälle seiner Festplatten seit 2013 veröffentlicht: Im zweiten Quartal 2026 fielen dort aufs Jahr gerechnet 1,73 Prozent von 354.415 Festplatten aus.

Hardwaretausch ohne feste Frist

Fällt ein Bauteil aus, tauscht der Anbieter das defekte Teil. Wie lange der Tausch dauern darf, regelt der Vertrag. In der Einstiegsklasse steht dort häufig nur ein Tausch nach bestem Bemühen, im Englischen Best Effort, statt einer festen Frist in einem Service Level Agreement.

Eine Verfügbarkeitszusage in Prozent ändert daran wenig. Gutschriften berechnen sich aus der Monatsmiete und fallen bei einem günstigen Server entsprechend klein aus, den Umsatzausfall eines Onlineshops ersetzen sie nicht.

Ältere Hardware-Generation

Einstiegsserver arbeiten oft mit Prozessoren und Arbeitsspeicher aus älteren Generationen. Für eine Handvoll Websites, einen Git-Server oder eine Staging-Umgebung reicht die Rechenleistung, für Datenbanken unter hoher Last oder KI-Inferenz greifen Sie besser zu einem jüngeren Modell.

Bauteile mit einigen Betriebsjahren haben zudem einen Teil ihrer Lebensdauer hinter sich. In der Langzeitauswertung von Backblaze für 2025 lag die höchste Ausfallrate mit 4,25 Prozent bei Platten mit gut zehn Betriebsjahren. Die Überwachung der Plattenwerte gehört bei gebrauchter Hardware deshalb zum Pflichtprogramm.

Mit welchen Schritten machen Sie den Server am ersten Tag sicher?

Sechs Schritte machen die frische Installation vertrauenswürdig: Anmeldung nur per SSH-Schlüssel, eine Firewall mit Standardverbot, automatische Sicherheitsupdates, Fail2Ban, Monitoring mit Alarm und ein externes Backup, dessen Wiederherstellung Sie getestet haben. Alle sechs sollten erledigt sein, bevor die erste Kundenseite online geht.

Wie wenig Zeit dafür bleibt, zeigt der Lagebericht 2025 des Bundesamts für Sicherheit in der Informationstechnik (BSI). Von Juli 2024 bis Juni 2025 wurden weltweit im Schnitt täglich 119 neue Schwachstellen bekannt, rund 24 Prozent mehr als im Berichtszeitraum davor. Die Versuche, solche Lücken auszunutzen, nahmen am Honeypot des BSI um rund 38 Prozent zu, bereinigt um Sondereffekte. Für die Angriffe auf Port 22, den SSH-Zugang, nennt das BSI Brute-Force-Attacken als typisch: Programme probieren massenhaft Passwörter durch.

Die sechs Schritte gelten unabhängig vom Anbieter. Ob Ihre Maschine bei Kimsufi, bei einem anderen Vermieter von Einstiegsservern oder in einem gemieteten Rack steht, ändert an der Liste nichts. Der Mietvertrag ist mit einer laufenden Maschine erfüllt, die Härtung beginnt mit Ihrer ersten Anmeldung.

1. Anmeldung nur per SSH-Schlüssel

OpenSSH erlaubt in der Grundeinstellung die Anmeldung per Passwort, wie die Handbuchseite zur Konfigurationsdatei sshd_config festhält. Auf genau diese Tür zielen die automatisierten Rateversuche. Das IT-Grundschutz-Kompendium des BSI empfiehlt im Baustein SYS.1.3 für Linux-Server, für die Fernadministration ausschließlich SSH zu nutzen und sich vorrangig mit Zertifikaten statt mit einem Passwort anzumelden.

Auf Ihrem Arbeitsrechner erzeugen Sie dafür ein Schlüsselpaar mit ssh-keygen -t ed25519 und hinterlegen den öffentlichen Teil auf dem Server. Danach setzen Sie in der sshd_config die Werte PasswordAuthentication no und PermitRootLogin no. Testen Sie die neue Anmeldung am besten in einer zweiten Sitzung, bevor Sie die erste schließen, sonst sperren Sie sich bei einem Tippfehler selbst aus. Für die tägliche Arbeit legen Sie einen eigenen Benutzer an, der Administratorrechte nur über sudo erhält. Jeder Befehl mit Administratorrechten steht damit samt Benutzernamen im Protokoll.

2. Firewall mit Standardverbot

Der zweite Schritt schließt jeden Port, den Sie nicht ausdrücklich brauchen. Der BSI-Baustein SYS.1.1 für allgemeine Server verlangt, nicht benötigte Dienste zu deaktivieren oder zu deinstallieren, vor allem Netzdienste. Ein lokaler Paketfilter soll die Kommunikation zusätzlich auf die nötigen Ports beschränken. Mit UFW unter Debian oder Ubuntu genügen dafür wenige Befehle: eingehenden Verkehr standardmäßig verbieten, danach nur SSH, HTTP und HTTPS freigeben.

Wie verbreitet offene Türen sind, zeigen die OWASP Top 10 von 2025. Fehlkonfiguration steht dort auf Platz 2, bei allen getesteten Anwendungen fanden die Autoren irgendeine Form davon. Zu den typischen Fehlern zählt OWASP unnötig offene Ports und Dienste. Angriffe auf der Anwendungsebene, etwa eine SQL-Injection über ein Kontaktformular, erkennt ein Paketfilter allerdings nicht. Dafür braucht die Website eine Web App Firewall, die Inhalte und Muster im Datenverkehr prüft.

3. Automatische Sicherheitsupdates

Der BSI-Baustein OPS.1.1.3 zum Patch- und Änderungsmanagement sieht vor, Patches zeitnah nach Veröffentlichung einzuspielen. Unter Debian und Ubuntu erledigt das Paket unattended-upgrades diesen Teil automatisch. Allein im September 2026 veröffentlichte das Debian-Sicherheitsteam 56 Sicherheitshinweise, darunter für den Linux-Kernel, OpenSSL, Nginx und PHP. Von Hand müssten Sie also fast täglich nachsehen.

Zwei Aufgaben bleiben trotz Automatik Handarbeit. Ein neuer Kernel wirkt erst nach einem Neustart, den Sie in ein ruhiges Zeitfenster legen. Außerdem endet die Unterstützung jeder Distribution irgendwann. Den Wechsel auf die nächste Hauptversion nimmt Ihnen keine Automatik ab.

4. Fail2Ban gegen Dauerbeschuss

Fail2Ban liest Protokolldateien wie /var/log/auth.log und sperrt IP-Adressen per Firewall, sobald sie zu viele Fehlanmeldungen erzeugen. Die Zahl der Rateversuche sinkt damit. Das Risiko einer schwachen Anmeldung beseitigt das Werkzeug aber nicht, wie das Projekt selbst schreibt. Für echten Schutz empfehlen die Entwickler Schlüssel oder eine Zwei-Faktor-Anmeldung. Als Ergänzung zum Schlüssel-Login lohnt sich die Installation trotzdem, auch für Webanwendungen mit eigener Anmeldemaske. Fertige Filter bringt das Projekt unter anderem für sshd und Apache mit.

5. Monitoring mit Alarm

Ohne Alarm erfahren Sie von einem Ausfall am Freitagabend womöglich erst am Montag, und zwar von einem verärgerten Kunden. Der BSI-Baustein SYS.1.1 empfiehlt, jeden Server in ein Monitoring einzubinden und Fehlerzustände an das Betriebspersonal zu melden. Erfolgreiche und erfolglose Anmeldungen müssen laut BSI zusätzlich protokolliert werden. Die OWASP Top 10 führen fehlende Protokollierung und Alarmierung sogar als eigene Risikokategorie.

Für den Anfang genügen drei Messpunkte: ein externer Erreichbarkeitstest, der Sie per Mail oder Messenger alarmiert, Warnschwellen für Plattenplatz und Arbeitsspeicher sowie ein regelmäßiger Blick in die S.M.A.R.T.-Werte der Datenträger. Steigende Fehlerzähler in diesen Werten sind ein Grund, das Backup sofort zu prüfen.

6. Externes Backup mit Restore-Test

Das Backup gehört auf einen anderen Rechner an einem anderen Ort. Der BSI-Baustein CON.3 verlangt, die Speichermedien der Datensicherung räumlich getrennt von den gesicherten Systemen aufzubewahren. Der BSI-Standard 200-4 empfiehlt dafür die 3-2-1-Regel: drei aktuelle Versionen wichtiger Dateien auf zwei verschiedenen Medien, davon mindestens eine an einem weiteren Ort.

Werkzeuge wie Restic oder BorgBackup verschlüsseln die Sicherung und übertragen nach dem ersten Lauf nur noch Änderungen. Nach CON.3 muss die Sicherung zudem davor geschützt sein, absichtlich oder versehentlich überschrieben zu werden. Ein Angreifer, der Ihren Server übernimmt, sollte deshalb keinen Schreibzugriff auf das Backup haben: Entweder holt der Backup-Rechner die Daten selbst ab, oder das Ziel nimmt neue Sicherungen an, ohne alte löschen zu lassen. Den Schlüssel der verschlüsselten Sicherung hinterlegen Sie außerhalb des Servers.

Wichtiger als jedes Werkzeug ist der Restore-Test: Nach CON.3 muss regelmäßig geprüft werden, ob sich gesicherte Daten einwandfrei und in angemessener Zeit zurückspielen lassen. Spielen Sie die Sicherung am besten einmal komplett auf einen frischen Server zurück und stoppen Sie die Zeit, denn erst diese Zahl sagt Ihnen, wie lange Ihre Kunden im Ernstfall warten.

Wie viele Stunden kostet der Betrieb im Monat?

Nach einer Schätzung der Redaktion kostet die Ersteinrichtung vier bis acht Stunden, der laufende Betrieb eines einzelnen Servers zwei bis vier Stunden im Monat. Störungen kommen hinzu und lassen sich nicht planen.

Eine belastbare Studie zum Zeitaufwand pro Server haben wir nicht gefunden. Die Aufstellung beruht deshalb auf den typischen Routineaufgaben eines Linux-Servers mit einigen Websites, nicht auf gemessenen Werten. Ein eingespieltes Team mit Automatisierung liegt darunter, ein Neuling im ersten Jahr deutlich darüber.

Einen Anhaltspunkt für den Wert dieser Stunden liefert die Projektplattform freelancermap. Im Freelancer-Kompass 2026 liegt der mittlere Stundensatz über alle IT-Disziplinen bei 95 Euro, im Fachbereich IT-Infrastruktur ebenfalls bei 95 Euro.

Ein Rechenbeispiel: Angenommen, Sie setzen drei Stunden im Monat zu je 95 Euro an und mieten den Server für 15 Euro im Monat. Der Betrieb würde dann 285 Euro im Monat kosten, das Neunzehnfache der Miete. Im ersten Jahr kämen sechs Stunden Ersteinrichtung für 570 Euro hinzu. Zusammen mit der Miete wären das 4.170 Euro, von denen 180 Euro auf die Hardware entfielen.

Für eine Agentur mit Linux-Kenntnissen im Team ist diese Zeit oft ohnehin eingeplant, weil die Administratoren auch andere Systeme betreuen. Mit Konfigurationswerkzeugen wie Ansible verteilt sich der Aufwand für Härtung und Updates zudem auf viele Maschinen: Eine einmal geschriebene Konfiguration rollen Sie auf jeden weiteren Server aus.

Weniger Stunden kostet auch ein Server, dessen Betrieb dokumentiert ist. Der BSI-Baustein SYS.1.1 empfiehlt, jede Aufgabe am Server nachvollziehbar festzuhalten: wer, wann, was. Alles, was sich automatisch dokumentieren lässt, soll auch automatisch dokumentiert werden. Eine kurze Betriebsdokumentation mit Zugängen, Diensten und Wiederanlaufschritten spart beim ersten Ausfall mehr Zeit, als das Aufschreiben gekostet hat.

Betreiben Sie dagegen einen einzelnen Server ohne eigene Admin-Erfahrung, kippt die Rechnung schnell. Halten Sie in diesem Fall den monatlichen Aufpreis eines verwalteten Angebots gegen Ihre eigenen Stunden. Welche Aufgaben ein verwaltetes Angebot im Einzelnen abdeckt, von der Überwachung bis zur Wiederherstellung, zeigt unser Überblick zum Server Management.

Welche Pflichten bleiben rechtlich bei Ihnen?

Rechtlich bleiben Sie für die Sicherheit der Verarbeitung nach Art. 32 DSGVO verantwortlich, einschließlich der Fähigkeit, Daten nach einem Zwischenfall rasch wiederherzustellen. Mit dem Anbieter des Servers schließen Sie einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Artikel 32 nennt unter den Maßnahmen ausdrücklich die Fähigkeit, die Verfügbarkeit personenbezogener Daten bei einem physischen oder technischen Zwischenfall „rasch wiederherzustellen“. Außerdem verlangt der Artikel ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Maßnahmen. Der protokollierte Restore-Test aus der Checkliste dient Ihnen damit zugleich als Nachweis gegenüber Aufsichtsbehörde und Auftraggebern.

Auf den Anbieter können Sie sich bei einem Datenleck über eine Lücke im Betriebssystem nicht herausreden. Betriebssystem und Anwendungen eines unverwalteten Servers administrieren allein Sie, also verantworten Sie auch deren Sicherheit. Der Anbieter steht für seinen Teil ein: Rechenzentrum, Hardware und Netz.

Gelingt trotzdem ein Einbruch, läuft eine Frist. Nach Art. 33 DSGVO melden Sie eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden der zuständigen Aufsichtsbehörde, es sei denn, die Verletzung führt voraussichtlich zu keinem Risiko für die Betroffenen. Ohne Protokolle und Monitoring aus der Checkliste können Sie in dieser Zeit nicht belegen, was auf dem Server passiert ist.

Den Vertrag zur Auftragsverarbeitung bieten viele Anbieter als festen Bestandteil der Bestellung an. Prüfen Sie darin vor allem den Standort der Rechenzentren und die Liste der Unterauftragnehmer. Rechenzentren in der EU ersparen Ihnen die zusätzliche Prüfung einer Übermittlung in ein Drittland nach Kapitel V der DSGVO.

Agenturen, die Websites ihrer Kunden betreiben, stehen in einer Kette aus zwei Verträgen. Gegenüber den Kunden handelt die Agentur selbst als Auftragsverarbeiter und braucht einen eigenen Vertrag nach Art. 28 DSGVO. Den Serveranbieter führt dieser Vertrag als weiteren Auftragsverarbeiter, für den der Kunde vorab seine Genehmigung erteilt.

Für wen lohnt sich ein günstiger dedizierter Server und für wen nicht?

Ein günstiger dedizierter Server lohnt sich für Entwickler und Agenturen mit Linux-Kenntnissen und gut planbarer Last. Für Betriebe, die nachts einen Dienstleister auf Abruf brauchen, ist das Modell die falsche Wahl.

Gut aufgehoben sind auf einer solchen Maschine vor allem Aufgaben, bei denen ein Ausfall von einigen Stunden ärgerlich, aber nicht geschäftskritisch wäre. Typische Einsatzfelder sind:

• Staging- und Testumgebungen, die nur mit anonymisierten Produktionsdaten arbeiten
• Git-Server, CI-Runner und Build-Maschinen mit festem Rechenbedarf
• Interne Werkzeuge wie Wiki, Ticketsystem oder Monitoring-Zentrale
• Backup-Ziele für andere Server an einem anderen Standort

Mit einem Managed-Angebot sind Sie besser bedient, sobald nachts um drei jemand am Telefon sein muss. Dasselbe gilt für Onlineshops, deren Umsatz pro Stunde Ausfall die Jahresmiete des Servers übersteigt, und für Teams ohne eigene Linux-Erfahrung. Verträge, die Ihren Kunden feste Wiederherstellungszeiten zusagen, lassen sich auf Hardware ohne zugesagte Reparaturfrist ebenfalls schwer absichern.

Eine Zwischenlösung bauen manche Teams selbst. Zwei günstige Server in getrennten Rechenzentren sichern sich gegenseitig und gleichen einen Teil der fehlenden Redundanz aus, die der BSI-Baustein SYS.1.1 für Server mit hohen Verfügbarkeitsanforderungen empfiehlt. Die Pflegezeit verdoppelt sich dabei allerdings.

Ein günstiger dedizierter Server gleicht einem Rohbau zum Grundstückspreis: Dach, Strom- und Wasseranschluss sind da, Schloss, Rauchmelder und Versicherung bringen Sie selbst mit. Unsere Einschätzung: Ein Nachteil ist das nicht, solange Sie die Stunden für Härtung und Pflege von Anfang an einplanen. Teuer wird erst der Server, der ohne diese Stunden ans Netz geht.

Glossar: 14 wichtige Fachbegriffe zum dedizierten Server

Auftragsverarbeitung

Auftragsverarbeitung heißt nach Art. 28 DSGVO die Verarbeitung personenbezogener Daten durch einen Dienstleister im Auftrag eines Verantwortlichen. Der zugehörige Vertrag regelt Zweck, Sicherheitsmaßnahmen, Unterauftragnehmer und Standorte. Bei der Servermiete ist der Rechenzentrumsbetreiber in dieser Rolle, eine Agentur gegenüber ihren Kunden ebenfalls.

Best Effort

Best Effort bezeichnet eine Leistungszusage nach bestem Bemühen ohne feste Frist. Bei Servern betrifft die Formel meist den Tausch defekter Hardware: Der Anbieter verspricht, sich zu kümmern, garantiert aber keinen Zeitpunkt. Für die Planung eines Ausfalls zählt deshalb allein, ob der Vertrag eine konkrete Reparaturfrist nennt.

DDoS-Schutz

DDoS-Schutz filtert Überlastungsangriffe, bei denen viele gekaperte Rechner gleichzeitig Datenverkehr auf ein Ziel lenken (Distributed Denial of Service). Beim Hoster läuft der Filter im Netz vor dem Server und erkennt Angriffsmuster, bevor die Leitung voll ist. Gegen Schwachstellen in Anwendungen oder erratene Passwörter wirkt der Filter nicht.

Dedizierter Server

Dedizierter Server bezeichnet einen physischen Rechner im Rechenzentrum, den ein einzelner Kunde exklusiv mietet. Prozessor, Arbeitsspeicher und Datenträger teilt der Kunde mit niemandem, anders als beim virtuellen Server. Wird die Maschine unverwaltet angeboten, spricht man auch vom Root-Server, weil der Kunde vollen Administratorzugang erhält.

Fail2Ban

Fail2Ban ist ein quelloffenes Werkzeug, das Protokolldateien auf wiederholte Fehlanmeldungen durchsucht und die verursachenden IP-Adressen für eine festgelegte Zeit per Firewall sperrt. Das Programm bremst automatisierte Passwortangriffe auf SSH, Mailserver oder Webformulare, ersetzt aber keine starke Authentisierung per Schlüssel.

Härtung

Härtung nennen Administratoren alle Maßnahmen, die die Angriffsfläche eines frisch installierten Systems verkleinern. Zu diesen Maßnahmen zählen abgeschaltete Dienste, eine restriktive Firewall, die Anmeldung per Schlüssel und automatische Sicherheitsupdates. Ein unverwalteter Server kommt ungehärtet, mit den Standardeinstellungen der jeweiligen Distribution.

Long Term Support

Long Term Support (LTS) bezeichnet einen verlängerten Zeitraum, in dem eine Software-Version weiterhin Sicherheitsaktualisierungen erhält. Bei Debian übernimmt ein eigenes LTS-Team nach drei Jahren regulärer Unterstützung zwei weitere Jahre. Für Serverbetreiber legt dieser Zeitraum fest, wann der Umstieg auf die nächste Hauptversion spätestens fällig ist.

Managed Server

Managed Server heißt ein Mietserver, dessen Betriebssystem, Sicherheitsupdates und oft auch Webserver und Datenbank der Anbieter pflegt. Der Kunde erhält meist keinen vollen Administratorzugang, dafür übernimmt der Hoster Überwachung und Störungsbehebung. Mit dem Aufpreis bezahlt der Kunde die Administrationszeit, die er selbst spart.

Paketfilter

Paketfilter heißt eine Firewall auf Netzwerkebene, die eingehende und ausgehende Datenpakete nach Adresse, Port und Protokoll erlaubt oder verwirft. Unter Linux übernehmen nftables oder die vereinfachte Oberfläche UFW diese Aufgabe. Eine Grundregel, die alles verbietet, was nicht ausdrücklich freigegeben ist, gilt als sichere Ausgangslage.

RAID

RAID (Redundant Array of Independent Disks) verbindet mehrere Datenträger zu einem Verbund. Im verbreiteten Modus RAID 1 spiegelt der Server alle Daten auf eine zweite Platte und läuft beim Ausfall einer Platte weiter. Gegen versehentliches Löschen, Schadsoftware oder einen Brand im Rechenzentrum schützt ein RAID nicht.

Rescue-Modus

Rescue-Modus nennt sich ein Notfallsystem, das der Server statt des installierten Betriebssystems aus dem Netz des Anbieters startet. Im Rettungssystem lassen sich Dateisysteme prüfen, Daten sichern oder fehlerhafte Konfigurationen korrigieren, etwa nach einer Firewall-Regel, die den eigenen Zugang blockiert hat.

Restore-Test

Restore-Test bezeichnet das probeweise vollständige Zurückspielen einer Datensicherung auf ein frisches System. Erst dieser Test zeigt, ob das Backup vollständig ist, ob Schlüssel und Passwörter vorliegen und wie lange die Wiederherstellung dauert. Das BSI fordert solche Tests im Baustein CON.3 regelmäßig.

Service Level Agreement

Service Level Agreement (SLA) heißt die vertragliche Zusage eines Dienstleisters zu messbaren Werten wie Verfügbarkeit, Reaktionszeit oder Wiederherstellungszeit. Unterschreitet der Dienstleister diese Werte, sehen viele Verträge Gutschriften auf die Monatsmiete vor. Für den Kunden zählt neben der Prozentzahl vor allem, ob eine verbindliche Reparaturfrist vereinbart ist.

SSH-Schlüssel

SSH-Schlüssel sind ein kryptografisches Schlüsselpaar für die Anmeldung an Servern über Secure Shell. Der öffentliche Teil liegt auf dem Server, der private bleibt auf dem eigenen Rechner. Anders als ein Passwort lässt sich ein solcher Schlüssel praktisch nicht erraten, automatisierte Rateversuche bleiben deshalb wirkungslos.

FAQ: Was ein günstiger dedizierter Server bietet und was nicht

Quellen