SSH-Server-Konfigurationsprüfer
Fügen Sie Ihre sshd_config ein oder laden Sie die Datei hoch. Die Prüfung läuft vollständig in Ihrem Browser — nichts wird hochgeladen — und Sie erhalten eine Punktzahl, Befunde pro Zeile und eine gehärtete Konfiguration zum Herunterladen.
sshd_config ist die Datei, die entscheidet, wer sich an Ihrem Server anmelden kann und wie: Root-Anmeldung, Passwortauthentifizierung, welche Chiffren und Schlüsselaustauschalgorithmen angeboten werden und wie lange untätige Sitzungen bestehen bleiben. Dieses Tool prüft Ihre sshd_config im Browser nach den Mozilla-OpenSSH-Richtlinien und den OpenSSH-10.6-Standards, vergibt eine Punktzahl von 0–100, listet jeden Befund zeilenweise auf und erstellt eine gehärtete Konfiguration zum Herunterladen. Es versteht First-Match-Semantik, Match-Blöcke und Include-Zeilen — eine sauber aussehende erste Seite kann also keinen schwachen Match-Block verbergen. Zum Erzeugen von Schlüsseln nutzen Sie die SSH-Schlüssel-Suite; um zu prüfen, ob ein Passwort geleakt wurde, die Passwort-Leak-Prüfung; und falls ein Geheimnis je in einer Konfiguration landet, findet es der Leaked-Secret-Scanner. Der Begleitartikel So härten Sie Ihre SSH-Serverkonfiguration erklärt dieselben Einstellungen in Prosa.
Baseline: Mozilla-OpenSSH-Richtlinien + OpenSSH-10.6-Standards, geprüft am 2026-11-13.
Zuletzt aktualisiert:
🔒 Ihre Konfiguration wird in Ihrem Browser analysiert und verlässt Ihr Gerät nie. Kein Konto, kein Upload, kein Serveraufruf.
Was mit der eingefügten Konfiguration geschieht
Nichts verlässt Ihren Browser. Die Konfiguration wird lokal per JavaScript auf dieser Seite analysiert: kein Upload, kein Serveraufruf, keine Speicherung, kein Konto. Das ist wichtig, denn eine Serverkonfiguration sind Infrastrukturdetails — Hostnamen, Benutzernamen, zugelassene Benutzer und Ports — und sie sollte nie in einen Chat oder einen serverseitigen Prüfer eingefügt werden. Beim Schließen der Seite wird sie verworfen.
Was diese Punktzahl NICHT beweist
Eine saubere Punktzahl ist kein Sicherheitsbeweis. Sie bedeutet, dass diese Datei nach dieser Baseline keine markierte Direktive enthält — ein schwacher Schlüssel, eine geleakte Anmeldedaten, ein ungepatchter sshd oder eine fehlende Firewall können das trotzdem zunichtemachen.
Eine schlechte Punktzahl ist kein Beweis für einen Einbruch. Sie ist eine nach Priorität geordnete Liste zu ändernder Einstellungen — zuerst die Fehler, dann die Warnungen.
Baselines ändern sich. Diese Prüfung ist datiert auf den 2026-11-13 nach den Mozilla-OpenSSH-Richtlinien und den OpenSSH-10.6-Standards; ein Algorithmus, der heute modern ist, kann morgen veraltet sein. Prüfen Sie nach jedem sshd-Upgrade erneut.
Wie die Punktzahl entsteht
Jeder Fehler kostet 15 Punkte und jede Warnung 7; Hinweise kosten nichts. Befunde innerhalb von Match-Blöcken sind bedingt — sie gelten nur für Sitzungen, die auf den Block zutreffen, werden also aufgelistet, senken die Punktzahl aber nicht. Die vier Bänder sind bewusst grob: 80–100 ist hoch, 60–79 mittel, 40–59 niedrig und 0–39 schlecht — eine feinere Skala würde eine Genauigkeit vortäuschen, die eine Konfigurationsprüfung nicht hat.
Wie die Prüfung funktioniert
sshd liest jede Direktive einmal: Für jedes Schlüsselwort gewinnt der erste Wert, auf den es trifft, und spätere Duplikate werden still ignoriert. Dieses Tool nennt die wirksame Zeile und markiert das verdeckte Duplikat, sodass eine „korrigierte“ Zeile unter der ersten es nicht täuschen kann. Eine fehlende Direktive wird gegen ihren OpenSSH-Standardwert geprüft — Fehlen gilt nie als bestanden, wenn der Standardwert selbst nachsichtig ist. Deshalb ist PasswordAuthentication der häufigste Befund bei unberührten Konfigurationen.
Direktiven innerhalb eines Match-Blocks gelten nur für Sitzungen, die seine Kriterien erfüllen, daher sind Befunde dort bedingt: Sie werden mit dem Block aufgelistet, zu dem sie gehören, senken die Punktzahl aber nicht. Include-Zeilen werden als nicht verfolgt markiert — eingebundene Dateien werden nie gelesen, sodass eine Direktive, die nur in einer eingebundenen Datei steht, für diese Prüfung unsichtbar ist. Für eine vollständige Prüfung fügen Sie die zusammengeführte Konfiguration ein (sshd -T gibt die wirksame Konfiguration aus).
Dieses Tool liest die Datei, nicht den laufenden Server: Es kann nicht sehen, ob sshd diese Konfiguration tatsächlich verwendet, wie stark Ihre Schlüssel sind oder ob eine Firewall oder fail2ban den Port schützt. PasswordAuthentication allein zu deaktivieren reicht nicht, wenn PAM weiterhin Passwörter akzeptieren kann — prüfen Sie auch KbdInteractiveAuthentication und Ihren PAM-Stack. Und den Port zu ändern ist Verschleierung, keine Härtung: Es wird vermerkt, nie bewertet.
Häufige Fragen
Warum ist PasswordAuthentication der häufigste Befund?
Weil der OpenSSH-Standardwert yes ist: Die meisten Distributionen liefern die Passwortanmeldung aktiviert aus, und viele Betreiber schalten sie nie ab. Sie zu deaktivieren — und KbdInteractiveAuthentication sowie PAM zu prüfen, die weiterhin Passwörter akzeptieren können — ist weit wichtiger, als den Port zu ändern, der nur die Anmeldeaufforderung verlegt.
Meine Konfiguration ist auf Include-Dateien verteilt. Warum ignoriert die Prüfung sie?
Dieses Tool läuft in Ihrem Browser und kann das Dateisystem Ihres Servers nicht lesen, daher werden Include-Zeilen als nicht verfolgt markiert statt still übersprungen. Fügen Sie stattdessen die zusammengeführte Konfiguration ein: sshd -T gibt die wirksame Konfiguration mit allen aufgelösten Includes aus, und genau für diese Datei ist diese Prüfung gemacht.
Kann ich die gehärtete Konfiguration direkt auf meinen Server legen?
Nein — prüfen Sie sie zuerst. Der Download schreibt markierte Direktiven auf die Baseline-Werte um und kommentiert entfernte oder verdeckte Zeilen aus, kennt aber Ihre Match-Blöcke, Ihre Benutzer und Ihr Netzwerk nicht. Testen Sie sie mit sshd -t, halten Sie eine Sitzung offen und testen Sie eine zweite Anmeldung, bevor Sie die erste schließen.