Ein SSH-Schlüsselpaar ist die sicherste Methode, um sich bei einem Server anzumelden, sicherer als ein Passwort. Du erstellst einen privaten und einen öffentlichen Schlüssel, platzierst den öffentlichen Schlüssel auf dem Server und nutzt fortan den privaten Schlüssel, um dich ohne Passwort, aber dennoch verschlüsselt, anzumelden. In diesem Artikel liest du, wie du dies in wenigen Schritten einrichtest, auf Windows, macOS und Linux.
Was ist ein SSH-Schlüsselpaar
SSH-Authentifizierung mit Schlüsseln funktioniert mit zwei zusammengehörigen Dateien: einem privaten Schlüssel, der nur auf deinem eigenen Computer bleibt, und einem öffentlichen Schlüssel, den du auf dem Server platzierst. Beim Anmelden prüft der Server, ob dein privater Schlüssel zum gespeicherten öffentlichen Schlüssel passt, ohne dass der private Schlüssel jemals über das Netzwerk gesendet wird. Dies macht es viel schwieriger einzubrechen als mit einem Passwort, da ein Angreifer nicht nur das Passwort erraten, sondern auch physischen Zugriff auf deinen privaten Schlüssel haben müsste.
Darüber hinaus kannst du den privaten Schlüssel zusätzlich mit einer Passphrase (Kennwortsatz) absichern, sodass selbst wenn jemand die Datei in die Hände bekommt, er ohne Kenntnis dieser Passphrase nichts damit anfangen kann.
SSH-Schlüssel erstellen
Das Erstellen eines Schlüsselpaars funktioniert unter Windows, macOS und Linux nahezu identisch, da sie alle OpenSSH verwenden.
Öffne ein Terminal
Öffne unter macOS und Linux die Terminal-App. Unter Windows 10 oder 11 öffnest du PowerShell oder das integrierte Terminal; dort ist OpenSSH standardmäßig bereits vorhanden.
Generiere das Schlüsselpaar
Führe den Befehl ssh-keygen -t ed25519 -C "[email protected]" aus. Funktioniert dein System nicht mit ed25519, nutze dann ssh-keygen -t rsa -b 4096 als Alternative.
Wähle einen Speicherort
Drücke Enter, um den Standardspeicherort (meist ~/.ssh/id_ed25519) zu akzeptieren, oder gib einen eigenen Pfad an, wenn du mehrere Schlüssel verwalten möchtest.
Lege eine Passphrase fest
Gib eine Passphrase ein, um den privaten Schlüssel zusätzlich abzusichern. Lässt du dieses Feld leer, funktioniert der Schlüssel zwar auch, aber ohne diese zusätzliche Sicherheitsebene.
Nach diesen Schritten stehen zwei Dateien bereit: ein privater Schlüssel (ohne Erweiterung) und ein öffentlicher Schlüssel mit der Erweiterung .pub. Den öffentlichen Schlüssel darfst du teilen, den privaten Schlüssel niemals.
Öffentlichen Schlüssel auf dem Server platzieren
Um mit dem Schlüssel tatsächlich anmelden zu können, muss der öffentliche Schlüssel dem Server bekannt sein. Dies kann auf verschiedene Arten erfolgen.
Mit dem Befehl ssh-copy-id benutzer@server-ip wird der öffentliche Schlüssel automatisch zur Datei authorized_keys auf dem Server hinzugefügt. Hast du diesen Befehl nicht zur Verfügung, zum Beispiel unter Windows ohne zusätzliche Tools, kopiere dann manuell den Inhalt der .pub-Datei und füge ihn in die Datei ~/.ssh/authorized_keys auf dem Server ein.
Arbeitest du mit einem Bedienfeld wie Plesk, kannst du öffentliche SSH-Schlüssel oft auch direkt über die Oberfläche beim Benutzerkonto hinzufügen, ohne selbst Dateien bearbeiten zu müssen. Überlegst du, zu einem anderen Anbieter zu wechseln, schau dir dann die Seite über den Wechsel zu Tandata an für mehr Informationen darüber, wie das abläuft, einschließlich der Übertragung des Zugriffs auf deinen Server.
Schlüssel verwenden und verwalten
Sobald der öffentliche Schlüssel auf dem Server liegt, meldest du dich mit ssh benutzer@server-ip an. Hast du eine Passphrase festgelegt, fragt das System danach; ohne Passphrase meldest du dich direkt an.
Verwendest du mehrere Schlüssel für verschiedene Server oder Projekte, zum Beispiel für dein Webhosting und separate VPS-Umgebungen, kannst du dies übersichtlich halten mit einer Konfigurationsdatei (~/.ssh/config), in der du pro Server angibst, welcher Schlüssel verwendet werden soll.
Möchtest du die Passwortauthentifizierung vollständig deaktivieren, sodass nur noch Schlüssel Zugriff gewähren, passt du dies in der SSH-Serverkonfiguration an. Tu dies erst, nachdem du sicher weißt, dass die Schlüsselverbindung funktioniert. Fragen hierzu oder zu anderen Servereinstellungen findest du immer in der Wissensdatenbank, oder stelle sie über den 24/7-Support.
Häufig gestellte Fragen
Ist ed25519 besser als RSA?
Ed25519-Schlüssel sind kürzer, schneller zu verarbeiten und werden von den meisten modernen Systemen unterstützt. RSA ist nach wie vor sicher, wird aber meist nur verwendet, wenn ein System ed25519 nicht unterstützt.
Was, wenn ich meine Passphrase vergesse?
Es gibt keine Möglichkeit, eine vergessene Passphrase wiederherzustellen. Du musst dann ein neues Schlüsselpaar erstellen und den alten öffentlichen Schlüssel vom Server entfernen.
Kann ich dasselbe Schlüsselpaar auf mehreren Servern verwenden?
Ja, du kannst denselben öffentlichen Schlüssel bei mehreren Servern hinzufügen. Für mehr Übersicht und Sicherheit ist es jedoch ratsam, pro Umgebung ein eigenes Schlüsselpaar zu verwenden.
Ist SSH mit Schlüsseln auch relevant, wenn ich nur E-Mail hoste?
Für reine E-Mail-Verwaltung über eine geschäftliche E-Mail-Lösung brauchst du meist keinen SSH-Zugriff. SSH ist vor allem relevant, wenn du auch Server- oder Dateiverwaltung über die Kommandozeile vornimmst.
Wo finde ich meine SSH-Einstellungen in Plesk?
In Plesk findest du die Einstellungen für SSH-Schlüssel meist unter dem Benutzerkonto oder den Hosting-Einstellungen, wo du öffentliche Schlüssel hinzufügen oder entfernen kannst.
Fazit
Ein SSH-Schlüsselpaar zu erstellen kostet ein paar Minuten, bringt aber einen deutlich sichereren und oft auch einfacheren Zugriff auf deinen Server als die Anmeldung mit nur einem Passwort. Generiere das Schlüsselpaar, platziere den öffentlichen Schlüssel auf dem Server und bewahre den privaten Schlüssel gut auf, eventuell mit einer Passphrase. So verbindest du dich fortan schnell und sicher mit deiner Umgebung.