Maximilian Krieg
Wissen, Technik & Erfahrungen
Nach vielen Jahren war es Zeit, meine bestehende Serverumgebung grundlegend zu modernisieren. Das bisher eingesetzte Ubuntu-Betriebssystem hat sein reguläres Lebensende erreicht und die historisch gewachsene Architektur entspricht in vielen Bereichen nicht mehr dem Stand, den ich heute neu aufbauen würde.
Der Wechsel zu einem neuen Virtual Private Server (VPS) bei einem anderen Provider ist daher eine gute Gelegenheit, nicht nur bestehende Dienste zu migrieren, sondern die technische Basis von Grund auf neu zu planen. Bevor Anwendungen und Workloads folgen, soll zunächst eine solide, sichere und nachvollziehbar dokumentierte Grundlage entstehen.
Ausgangssituation und Zielsetzung
Die bisherige Umgebung war über viele Jahre produktiver Server und zugleich Plattform zum Lernen und Ausprobieren. Entsprechend ist die Architektur mit neuen Technologien, Konzepten und eigenen Anwendungen organisch gewachsen.
Mit dem neuen VPS möchte ich auf einer sauberen Basis starten, bisherige Entscheidungen neu bewerten und moderne Konzepte ausprobieren. Bevor Anwendungen migriert werden, steht daher zunächst eine definierte technische und sicherheitsbezogene Baseline im Mittelpunkt.
Eine besondere Herausforderung wird die Migration eigener, über Jahre gewachsener Software. Einige Abhängigkeiten und Laufzeitumgebungen sind auf aktuellen Betriebssystemen nicht mehr verfügbar. Ziel ist deshalb nicht nur, die Anwendungen wieder lauffähig zu machen, sondern sie zu modernisieren und künftig wartbarer, reproduzierbarer und portabler zu betreiben.
Eine Checkliste als lebendes Dokument
Die folgende Checkliste beschreibt die Themen und Maßnahmen, die ich bei der Bereitstellung und Absicherung eines neuen VPS berücksichtige. Sie ist als lebendes Dokument gedacht und wird mit neuen Erfahrungen, Anforderungen und Erkenntnissen kontinuierlich weiterentwickelt.
Sie stellt keine starre Installationsanleitung dar. Welche Punkte tatsächlich umgesetzt werden, hängt von Einsatzzweck, Schutzbedarf und technischen Rahmenbedingungen ab.
Bewusst verzichte ich auf konkrete Anwendungen und deren Konfiguration. Im Mittelpunkt steht eine allgemeingültige VPS-Basis, die unabhängig von Provider und späteren Workloads auch für zukünftige Systeme als Ausgangspunkt dienen soll.
Grundsystem & Updates
Ein aktuelles und unterstütztes Grundsystem bildet die Basis für einen sicheren und stabilen VPS. Geregelte Updates und eine korrekte Zeitsynchronisation reduzieren bekannte Schwachstellen und schaffen einen definierten Ausgangszustand.
| Maßnahme | Prüfstatus |
|---|---|
| Betriebssystemversion und Supportstatus prüfen | ☐ |
| Paketquellen und aktivierte Repositories prüfen | ☐ |
| System vollständig aktualisieren | ☐ |
| Automatische Sicherheitsupdates aktivieren | ☐ |
| Erweiterte Sicherheitsupdates aktivieren, sofern verfügbar | ☐ |
| Benachrichtigungen über durchgeführte und fehlgeschlagene Updates aktivieren | ☐ |
| Nicht automatisch installierbare Sicherheitsupdates erkennen und melden | ☐ |
| Erforderlichen Neustart nach Updates erkennen und melden | ☐ |
| Hostname und FQDN prüfen bzw. festlegen | ☐ |
| Zeitzone konfigurieren | ☐ |
| Verwendeten Mechanismus zur Zeitsynchronisation ermitteln | ☐ |
| Automatische Zeitsynchronisation aktivieren | ☐ |
| Zeitquellen und Synchronisationsstatus prüfen | ☐ |
| Grundlegenden Neustart durchführen und Systemzustand anschließend kontrollieren | ☐ |
Benutzer & Berechtigungen
Ein restriktives Berechtigungskonzept begrenzt administrative Zugriffe auf das erforderliche Maß. Persönliche Konten und das Least-Privilege-Prinzip verbessern Sicherheit und Nachvollziehbarkeit.
| Maßnahme | Prüfstatus |
|---|---|
| Separaten administrativen Benutzer einrichten | ☐ |
| Home-Verzeichnis und Login-Shell prüfen | ☐ |
| Administrative Rechte über Privilege Escalation vergeben | ☐ |
| Privilege Escalation praktisch testen | ☐ |
| Direkte Root-Anmeldung für den normalen Betrieb vermeiden | ☐ |
| Nicht benötigte Benutzerkonten identifizieren und ggf. deaktivieren | ☐ |
| Berechtigungen sicherheitsrelevanter Dateien prüfen | ☐ |
| Least-Privilege-Prinzip anwenden | ☐ |
Administration & Management
Administrative Schnittstellen benötigen besonderen Schutz, da sie weitreichenden Zugriff auf das System ermöglichen. Sichere Authentisierung und eine begrenzte Erreichbarkeit reduzieren die damit verbundene Angriffsfläche.
SSH-Zugriff
SSH stellt häufig den primären administrativen Zugang zu einem Linux-VPS dar. Schlüsselbasierte Authentisierung und eine restriktive Konfiguration schützen diesen besonders kritischen Zugang.
| Maßnahme | Prüfstatus |
|---|---|
| Schlüsselbasierte Authentifizierung einrichten | ☐ |
| Schlüsselanmeldung erfolgreich testen | ☐ |
| Private Schlüssel mit Passphrase schützen | ☐ |
| Passwortbasierte Remote-Anmeldung deaktivieren | ☐ |
| Direkten Root-Remotezugriff deaktivieren | ☐ |
| Leere Passwörter verbieten | ☐ |
| Nicht benötigte Remote-Funktionen deaktivieren | ☐ |
| Benötigte Funktionen wie Tunneling bewusst freigeben | ☐ |
| Konfiguration vor Aktivierung auf Fehler prüfen | ☐ |
| Effektiv angewendete Konfiguration kontrollieren | ☐ |
Management-Netzwerk
Ein separater Managementpfad trennt administrative Zugriffe von öffentlich erreichbaren Diensten. Gleichzeitig sollte ein unabhängiger Notfallzugang bei Fehlkonfigurationen erhalten bleiben.
| Maßnahme | Prüfstatus |
|---|---|
| Prüfen, ob Managementdienste öffentlich erreichbar sein müssen | ☐ |
| Öffentlichen Managementzugriff möglichst vermeiden bzw. beschränken | ☐ |
| Wenn sinnvoll separaten verschlüsselten Management-Tunnel verwenden | ☐ |
| Eigenen Management-Adressbereich definieren | ☐ |
| Routing des Managementnetzes prüfen | ☐ |
| Managementzugriff auf notwendige Quellen beschränken | ☐ |
| Managementzugriff praktisch testen | ☐ |
| Verhalten bei Ausfall des Management-Tunnels berücksichtigen | ☐ |
| Unabhängigen Notfallzugang über den Hosting-Provider sicherstellen und testen | ☐ |
Firewalls
Firewalls beschränken die Netzwerkkommunikation auf tatsächlich erforderliche Verbindungen. Mehrere voneinander unabhängige Firewall-Ebenen ermöglichen dabei ein mehrschichtiges Sicherheitskonzept.
Provider-Ebene
Eine vorgelagerte Provider-Firewall kann unerwünschten Verkehr bereits vor dem VPS filtern. Ihre Funktionsweise und das Zusammenspiel mit der lokalen Firewall müssen deshalb bekannt sein.
| Maßnahme | Prüfstatus |
|---|---|
| Prüfen, ob der Hosting-Provider eine vorgelagerte Firewall bereitstellt | ☐ |
| Aktivierungsstatus prüfen | ☐ |
| Prüfen und dokumentieren, ob Policies stateful oder stateless arbeiten | ☐ |
| Bei stateless Policies erforderlichen Rückverkehr berücksichtigen | ☐ |
| Default-Verhalten des Regelwerks prüfen | ☐ |
| Regelreihenfolge bzw. Priorisierung verstehen | ☐ |
| IPv4-Regelwerk prüfen | ☐ |
| IPv6-Regelwerk prüfen | ☐ |
| Managementzugriffe möglichst bereits auf Provider-Ebene beschränken | ☐ |
| Nur tatsächlich benötigte öffentliche Dienste zulassen | ☐ |
| Änderungen von extern testen | ☐ |
| Recovery-Verfahren bei fehlerhafter Konfiguration kennen | ☐ |
Host-Ebene
Die lokale Firewall schützt den VPS unabhängig von externen Sicherheitsmechanismen. Sie bildet die unmittelbar am Betriebssystem durchgesetzte Netzwerkzugriffskontrolle.
| Maßnahme | Prüfstatus |
|---|---|
| Host-Firewall unabhängig von der Provider-Firewall aktivieren | ☐ |
| Stateful-/Stateless-Verhalten prüfen | ☐ |
| Eingehenden Verkehr standardmäßig blockieren | ☐ |
| Ausgehendes Default-Verhalten bewusst festlegen | ☐ |
| Nur tatsächlich benötigte Ports freigeben | ☐ |
| Managementnetz bzw. Management-Tunnel berücksichtigen | ☐ |
| Loopback-Verkehr korrekt behandeln | ☐ |
| Rückverkehr bestehender Verbindungen berücksichtigen | ☐ |
| IPv4-Regelwerk prüfen | ☐ |
| IPv6-Regelwerk prüfen | ☐ |
| Firewall-Logging bedarfsgerecht aktivieren | ☐ |
| Zusammenspiel von Provider- und Host-Firewall testen | ☐ |
| Effektiv erreichbare Ports von extern überprüfen | ☐ |
Netzwerk & DNS
Eine definierte Netzwerk- und DNS-Konfiguration ist Voraussetzung für einen kontrollierbaren Serverbetrieb. Adressierung, Routing, Dienste und Namensauflösung sollten einem dokumentierten Sollzustand entsprechen.
IP-Konfiguration & Dienste
Die Netzwerkkonfiguration bestimmt die grundlegende Erreichbarkeit des Systems. Nur tatsächlich benötigte Netzwerkdienste sollten aktiv und erreichbar sein.
| Maßnahme | Prüfstatus |
|---|---|
| Zugewiesene IPv4-Adressen dokumentieren | ☐ |
| Zugewiesene IPv6-Adressen und Präfixe dokumentieren | ☐ |
| Aktive Netzwerkinterfaces erfassen | ☐ |
| Default Routes für IPv4 und IPv6 prüfen | ☐ |
| Routingtabelle auf unerwartete Einträge kontrollieren | ☐ |
| Aktive Netzwerkdienste und Listener vollständig ermitteln | ☐ |
| Zweck und Notwendigkeit der Netzwerkdienste bewerten | ☐ |
| Nicht benötigte Netzwerkdienste deaktivieren | ☐ |
| Nach Änderungen aktive Listener erneut kontrollieren | ☐ |
| IPv4-Konnektivität testen | ☐ |
| IPv6-Konnektivität testen | ☐ |
| MTU insbesondere bei zusätzlichen Tunneln prüfen | ☐ |
Namensauflösung
DNS stellt die Zuordnung zwischen Namen und Netzwerkadressen her. Eine konsistente Forward- und Reverse-Auflösung erleichtert Betrieb, Administration und Fehleranalyse.
| Maßnahme | Prüfstatus |
|---|---|
| DNS-Resolver-Konfiguration prüfen | ☐ |
| Namensauflösung testen | ☐ |
| Interne und externe DNS-Auflösung planen | ☐ |
| Benötigte interne DNS-Records konfigurieren | ☐ |
| Benötigte externe DNS-Records konfigurieren | ☐ |
| A-Records für IPv4 konfigurieren | ☐ |
| AAAA-Records für IPv6 konfigurieren | ☐ |
| PTR-Records für Reverse DNS konfigurieren bzw. beim Provider setzen | ☐ |
| Weitere DNS-Records abhängig vom Einsatzzweck konfigurieren | ☐ |
| Forward- und Reverse-DNS-Auflösung testen | ☐ |
Logging & Benachrichtigungen
Protokollierung schafft Transparenz über Systemzustände und sicherheitsrelevante Ereignisse. Benachrichtigungen ermöglichen eine zeitnahe Reaktion auf Zustände, die administratives Eingreifen erfordern.
Protokollierung
Systemprotokolle bilden eine wesentliche Grundlage für Fehleranalyse und Sicherheitsuntersuchungen. Aufbewahrung, Umfang und Schutz der Daten sollten kontrolliert erfolgen.
| Maßnahme | Prüfstatus |
|---|---|
| Verwendetes Logging-System identifizieren | ☐ |
| Persistente Systemprotokollierung sicherstellen | ☐ |
| Logrotation kontrollieren bzw. konfigurieren | ☐ |
| Maximale Speicherbelegung der Logs begrenzen | ☐ |
| Authentifizierungsereignisse protokollieren | ☐ |
| Firewall-Ereignisse bedarfsgerecht protokollieren | ☐ |
| Update-Ereignisse protokollieren | ☐ |
| Logs auf Fehler und Auffälligkeiten prüfen | ☐ |
| Bei erhöhtem Schutzbedarf Logs an einen externen Speicherort übertragen | ☐ |
| Externe Log-Archivierung bei Bedarf vorsehen | ☐ |
| Protokollierungsumfang auf notwendige Daten beschränken | ☐ |
| Datenschutz- und Compliance-Anforderungen berücksichtigen | ☐ |
Alarmierung
Nicht jedes Ereignis kann regelmäßig manuell geprüft werden. Eine gezielte Alarmierung weist daher auf kritische Fehler, Sicherheitsereignisse oder erforderliche administrative Maßnahmen hin.
| Maßnahme | Prüfstatus |
|---|---|
| Technischen Benachrichtigungskanal einrichten | ☐ |
| Authentifizierte und verschlüsselte Übertragung verwenden | ☐ |
| Zugangsdaten sicher speichern und Dateiberechtigungen prüfen | ☐ |
| Testbenachrichtigung durchführen | ☐ |
| Durchgeführte automatische Updates bei Bedarf melden | ☐ |
| Fehlgeschlagene Updates melden | ☐ |
| Nicht automatisch installierbare Sicherheitsupdates melden | ☐ |
| Erforderliche Neustarts melden | ☐ |
| Kritische Systemereignisse bei Bedarf melden | ☐ |
System-Hardening
System-Hardening reduziert die Angriffsfläche auf die für den vorgesehenen Betrieb erforderlichen Funktionen. Ergänzende Sicherheitsmechanismen erschweren die Ausnutzung verbleibender Angriffswege.
Angriffsfläche reduzieren
Jeder zusätzliche Dienst, Port oder Softwarebestandteil kann potenzielle Angriffsmöglichkeiten schaffen. Nicht benötigte Komponenten sollten deshalb konsequent vermieden werden.
| Maßnahme | Prüfstatus |
|---|---|
| Laufende Dienste inventarisieren | ☐ |
| Nicht benötigte Dienste deaktivieren | ☐ |
| Nicht benötigte Pakete entfernen | ☐ |
| Offene Netzwerkports kontrollieren | ☐ |
| Angriffsfläche anhand von Ports, Diensten und Netzwerkpfaden erfassen | ☐ |
| IPv4 und IPv6 gleichermaßen berücksichtigen | ☐ |
Betriebssystem
Betriebssystemseitige Sicherheitsmechanismen ergänzen die Absicherung einzelner Dienste. Dazu gehören insbesondere restriktive Systemparameter, Zugriffskontrollen und Integritätsmechanismen.
| Maßnahme | Prüfstatus |
|---|---|
| Kernel-Parameter für Netzwerk- und Prozesshärtung prüfen | ☐ |
| Geeignete Kernel-Hardening-Parameter setzen | ☐ |
| Änderungen dokumentieren | ☐ |
| Mandatory-Access-Control-Mechanismen aktivieren bzw. vorhandene Konfiguration prüfen | ☐ |
| Sicherheitsprofile kontrollieren | ☐ |
| Berechtigungen kritischer Systemdateien prüfen | ☐ |
| Schutz gegen wiederholte fehlgeschlagene Anmeldungen bei Bedarf einrichten | ☐ |
| System-Auditing bei entsprechendem Schutzbedarf aktivieren | ☐ |
| Sicherheitsrelevante Ereignisse bzw. Syscalls bei Bedarf überwachen | ☐ |
| Integritätsüberwachung kritischer Systemdateien bei Bedarf einrichten | ☐ |
| Mechanismen zur Erkennung unerwarteter Systemmodifikationen bei Bedarf einsetzen | ☐ |
| Sicherheits- und Schwachstellenstatus regelmäßig prüfen | ☐ |
Protokolle & Kryptografie
Veraltete Protokolle und kryptografische Verfahren können sichere Kommunikation erheblich schwächen. Eine definierte kryptografische Baseline beschränkt den VPS auf angemessen sichere Verfahren.
| Maßnahme | Prüfstatus |
|---|---|
| Veraltete bzw. nicht benötigte Netzwerk- und Managementprotokolle deaktivieren | ☐ |
| Veraltete Protokollversionen deaktivieren | ☐ |
| Veraltete Verschlüsselungsalgorithmen und Cipher deaktivieren | ☐ |
| Veraltete Hash- und Signaturverfahren deaktivieren | ☐ |
| Veraltete Schlüsselaustauschverfahren deaktivieren | ☐ |
| Mindestanforderungen für Verschlüsselung und Authentifizierung definieren | ☐ |
| Nur aktuell unterstützte kryptografische Verfahren verwenden | ☐ |
Backup & Recovery
Backups und Wiederherstellungsverfahren begrenzen die Auswirkungen von Fehlern, Ausfällen und Datenverlust. Entscheidend ist nicht nur die Sicherung, sondern deren nachgewiesene Wiederherstellbarkeit.
Datensicherung
Backups stellen relevante Daten und Konfigurationen unabhängig vom laufenden VPS sicher. Mindestens eine Sicherung sollte deshalb außerhalb des Systems aufbewahrt werden.
| Maßnahme | Prüfstatus |
|---|---|
| Zu sichernde Basiskonfiguration bestimmen | ☐ |
| Relevante Systemkonfiguration sichern | ☐ |
| Benutzer- und Berechtigungskonfiguration berücksichtigen | ☐ |
| Remote-Administrationskonfiguration berücksichtigen | ☐ |
| Firewall- und Managementkonfiguration berücksichtigen | ☐ |
| Mindestens eine Sicherung außerhalb des VPS vorhalten | ☐ |
| Backup-Aufbewahrung und Rotation definieren | ☐ |
| Backup testweise wiederherstellen | ☐ |
Snapshot
Snapshots ermöglichen die schnelle Rückkehr zu einem definierten Systemzustand, beispielsweise nach fehlgeschlagenen Änderungen. Sie ergänzen klassische Backups, ersetzen diese jedoch nicht.
| Maßnahme | Prüfstatus |
|---|---|
| Snapshot-Funktion des Providers prüfen | ☐ |
| Snapshot-Strategie für Erstellung, Rotation und Aufbewahrung definieren | ☐ |
| Snapshot vor größeren bzw. risikobehafteten Änderungen erstellen | ☐ |
| Snapshot nach erfolgreicher Basiskonfiguration erstellen | ☐ |
| Snapshot testweise zurückspielen | ☐ |
| System-, Netzwerk- und Managementfunktion nach Restore überprüfen | ☐ |
Wiederherstellung & Notfallvorsorge
Ein dokumentiertes Recovery-Verfahren reduziert Ausfallzeiten und Unsicherheiten im Störungsfall. Wiederherstellung und Notfallzugänge sollten daher praktisch getestet werden.
| Maßnahme | Prüfstatus |
|---|---|
| Wiederherstellungsverfahren dokumentieren | ☐ |
| Unterschied zwischen Backup und Snapshot berücksichtigen | ☐ |
| Notfallplan für vollständigen Systemausfall dokumentieren | ☐ |
| Vorgehen bei vermuteter bzw. bestätigter Kompromittierung dokumentieren | ☐ |
| Recovery-Zugänge regelmäßig auf Funktionsfähigkeit prüfen | ☐ |
Monitoring & Betriebskontrollen
Der Sicherheitszustand eines VPS verändert sich während seines Lebenszyklus. Automatische Überwachung und regelmäßige Prüfungen helfen, Abweichungen vom definierten Sollzustand frühzeitig zu erkennen.
Kontinuierliche Überwachung
Monitoring überwacht wichtige Systemzustände automatisiert und fortlaufend. Kritische Veränderungen können dadurch erkannt werden, ohne auf eine manuelle Kontrolle warten zu müssen.
| Maßnahme | Prüfstatus |
|---|---|
| VPS-Erreichbarkeit überwachen | ☐ |
| Festplattenbelegung überwachen | ☐ |
| Kritische Systemdienste überwachen | ☐ |
| Update- und Patchstatus überwachen | ☐ |
| Neustartbedarf überwachen | ☐ |
| Zeitsynchronisation überwachen | ☐ |
| Optional CPU, RAM und Systemlast überwachen | ☐ |
| Sicherheitsrelevante Ereignisse bei Bedarf überwachen | ☐ |
| Integritätsstatus bei entsprechender Überwachung kontrollieren | ☐ |
| Veränderungen der öffentlich erreichbaren Angriffsfläche erkennen | ☐ |
| Alarmierungsweg testen | ☐ |
Periodische Prüfungen
Nicht alle sicherheitsrelevanten Eigenschaften lassen sich sinnvoll kontinuierlich überwachen. Wiederkehrende Prüfungen ergänzen das Monitoring deshalb um eine umfassendere Bewertung des Systemzustands.
| Maßnahme | Prüfstatus |
|---|---|
| Feste Kontrollintervalle definieren | ☐ |
| Sicherheitsupdates und fehlgeschlagene Updates kontrollieren | ☐ |
| Betriebssystem-Supportstatus kontrollieren | ☐ |
| Benutzer und administrative Berechtigungen kontrollieren | ☐ |
| Aktive Netzwerkdienste und Listener mit dem Sollzustand vergleichen | ☐ |
| Offene Ports kontrollieren | ☐ |
| Provider-Firewall kontrollieren | ☐ |
| Host-Firewall kontrollieren | ☐ |
| IPv4- und IPv6-Angriffsfläche kontrollieren | ☐ |
| DNS- und Reverse-DNS-Einträge kontrollieren | ☐ |
| Logs auf Auffälligkeiten prüfen | ☐ |
| Systemzustand und Speicherbelegung kontrollieren | ☐ |
| Schwachstellenstatus kontrollieren | ☐ |
| Verwendete Protokolle und kryptografische Verfahren auf Veraltung prüfen | ☐ |
| Backup- und Snapshot-Status kontrollieren | ☐ |
| Wiederherstellung regelmäßig praktisch testen | ☐ |
| Notfallzugang kontrollieren | ☐ |
| Ergebnisse und notwendige Maßnahmen dokumentieren | ☐ |
Dokumentation
Eine aktuelle Dokumentation macht Konfiguration und Sollzustand des VPS nachvollziehbar und reproduzierbar. Sie unterstützt Administration, Fehleranalyse, Sicherheitsprüfungen und Wiederherstellung.
| Maßnahme | Prüfstatus |
|---|---|
| Systemübersicht und grundlegende Architektur dokumentieren | ☐ |
| Betriebssystem, Version und Supportstatus dokumentieren | ☐ |
| Installations- und Konfigurationsschritte nachvollziehbar dokumentieren | ☐ |
| Wesentliche manuelle Änderungen und Befehle dokumentieren | ☐ |
| Netzwerk, Adressierung und Routing dokumentieren | ☐ |
| DNS-Konfiguration und relevante Records dokumentieren | ☐ |
| Aktive Dienste und vorgesehene Ports dokumentieren | ☐ |
| Provider-Firewall dokumentieren | ☐ |
| Host-Firewall dokumentieren | ☐ |
| Remote- und Managementzugang dokumentieren | ☐ |
| Benutzer- und Berechtigungskonzept dokumentieren | ☐ |
| Hardening- und Kryptografie-Baseline dokumentieren | ☐ |
| Updateverfahren dokumentieren | ☐ |
| Logging und Benachrichtigungen dokumentieren | ☐ |
| Backup-, Snapshot- und Recovery-Verfahren dokumentieren | ☐ |
| Abweichungen von der Baseline dokumentieren | ☐ |
| Dokumentation nach relevanten Änderungen aktualisieren | ☐ |
| Keine Passwörter, privaten Schlüssel oder sonstigen Secrets dokumentieren | ☐ |
Abschluss & Abnahme
Die abschließende Abnahme validiert die Basiskonfiguration als Gesamtsystem. Der erfolgreich geprüfte und dokumentierte Zustand bildet anschließend die Referenz für den weiteren Betrieb.
| Maßnahme | Prüfstatus |
|---|---|
| System vollständig aktualisiert | ☐ |
| Keine unerwarteten Systemfehler vorhanden | ☐ |
| Vollständigen Neustart erfolgreich durchgeführt | ☐ |
| Benötigte Dienste nach Neustart automatisch verfügbar | ☐ |
| Remote- und Managementzugang getestet | ☐ |
| Passwort- und Root-Remotezugriff erwartungsgemäß blockiert | ☐ |
| Provider-Notfallzugang getestet | ☐ |
| Provider- und Host-Firewall getestet | ☐ |
| IPv4- und IPv6-Konnektivität geprüft | ☐ |
| Aktive Dienste und Listener entsprechen dem dokumentierten Sollzustand | ☐ |
| Extern erreichbare Ports entsprechen dem Sollzustand | ☐ |
| Externen Portscan über IPv4 und IPv6 durchführen | ☐ |
| DNS einschließlich A, AAAA und PTR geprüft | ☐ |
| Forward- und Reverse-DNS funktionieren | ☐ |
| Zeitsynchronisation funktioniert | ☐ |
| Automatische Sicherheitsupdates funktionieren | ☐ |
| Update- und Reboot-Benachrichtigungen funktionieren | ☐ |
| Logging funktioniert | ☐ |
| Externe Logübertragung funktioniert, sofern eingesetzt | ☐ |
| Hardening- und Kryptografie-Baseline geprüft | ☐ |
| Veraltete Protokolle und Algorithmen deaktiviert | ☐ |
| Backup erfolgreich wiederhergestellt | ☐ |
| Snapshot erfolgreich erstellt und testweise zurückgespielt | ☐ |
| Tatsächliche Angriffsfläche entspricht dem dokumentierten Sollzustand | ☐ |
| Dokumentation auf finalem Stand | ☐ |
| Regelmäßige Kontrollen eingerichtet | ☐ |
| Abschließenden Baseline-Snapshot erstellen | ☐ |
