Sicherheit & Server-Härtung

Diese Anleitung zeigt, wie Sie den Server Ihrer OpenClaw-Instanz mit SSH-Keys, deaktiviertem Passwort-Login, der Firewall UFW und Fail2Ban absichern. Alle Schritte funktionieren unter Ubuntu 24.04 und Debian 13.

Wichtig: Lassen Sie Ihre aktuelle SSH-Sitzung in einem separaten Fenster offen, bis Sie den neuen Login erfolgreich getestet haben. Falls Sie sich aussperren, nutzen Sie den Rescue-Modus im PowerPanel, um Ihr Laufwerk einzubinden und die sshd_config zu reparieren.

Schritt 1

SSH-Keys hinterlegen

SSH-Keys sind kryptografische Schlüsselpaare. Der private Schlüssel bleibt auf Ihrem PC, der öffentliche Schlüssel wird auf den Server hochgeladen und identifiziert Sie dort. Führen Sie dies auf Ihrem lokalen Computer aus:

Lokaler Computer

ssh-keygen -t ed25519 -C "admin-zugriff"

Übertragen Sie nun den öffentlichen Schlüssel auf Ihren Server. (Hinweis: Falls unter Debian ssh-copy-id fehlt, installieren Sie es mit apt install openssh-client):

Lokaler Computer

ssh-copy-id root@ihre-server-ip

Verifizierungs-Test

Bevor Sie mit Schritt 2 fortfahren, stellen Sie sicher, dass Sie sich ohne Passwortabfrage anmelden können:

Neues lokales Terminal-Fenster

ssh root@ihre-server-ip

Schritt 2

Passwort-Login deaktivieren

Da Ihr Key nun funktioniert, deaktivieren wir den Passwort-Login, um Brute-Force-Angriffe zu verhindern. Öffnen Sie die SSH-Konfiguration:

Server Terminal

nano /etc/ssh/sshd_config

Suchen Sie diese Zeilen und passen Sie sie exakt so an (stellen Sie sicher, dass kein # am Zeilenanfang steht):

PasswordAuthentication no
PubkeyAuthentication yes
PermitRootLogin prohibit-password

Prüfen Sie außerdem die Dateien in /etc/ssh/sshd_config.d/ (z. B. 50-cloud-init.conf unter Ubuntu): Eine dortige Zeile PasswordAuthentication yes überschreibt Ihre Einstellung und muss auf no geändert werden.

Speichern: CTRL+O → Enter. Beenden: CTRL+X.

SSH neu starten, um Änderungen zu aktivieren:

Server Terminal

systemctl restart ssh

Schritt 3

Firewall-Konfiguration (UFW)

Wir verwenden UFW (Uncomplicated Firewall). Auf Debian ist diese eventuell nicht vorinstalliert. Nutzen Sie folgende Befehle zur Installation und Einrichtung:

Server Terminal

apt update && apt install ufw -y ufw allow ssh ufw enable

Wichtig: Bei ufw enable müssen Sie die Aktivierung bestätigen. Tippen Sie y und drücken Sie Enter. Ihre SSH-Verbindung bleibt bestehen, da wir SSH im vorherigen Schritt erlaubt haben. Öffnen Sie Port 18789 nicht: Das OpenClaw-Gateway lauscht nur auf 127.0.0.1 und wird über den SSH-Tunnel erreicht.

Schritt 4

Fail2Ban installieren

Fail2Ban bietet eine zusätzliche Schutzebene, indem es IP-Adressen bei auffälligen Login-Versuchen automatisch sperrt:

Server Terminal

apt install fail2ban -y

Prüfen, ob der Dienst aktiv ist:

Server Terminal

systemctl status fail2ban

Server-Härtung abgeschlossen

Ihr Server akzeptiert nun nur noch SSH-Key-Logins und ist durch Firewall und Fail2Ban geschützt. Die offizielle OpenClaw-Dokumentation empfiehlt außerdem, OpenClaw unter einem eigenen Benutzer ohne Root-Rechte zu betreiben und die Konfiguration regelmäßig mit openclaw security audit zu prüfen. Kehren Sie zur Hauptanleitung zurück, um mit OpenClaw fortzufahren.

Zur Installations-Anleitung