SSH-Keys im netcup SCP hinterlegen und bei Image-Installationen automatisch einbinden

Wer bei netcup regelmäßig Server neu aufsetzt, sei es für Tests, saubere Deployments oder nach einem Sicherheitsvorfall, kennt den Zyklus: Image installieren, per VNC oder Passwort einloggen, SSH-Key übertragen, Passwort-Login deaktivieren. Das netcup Server Control Panel (SCP) bietet eine Abkürzung: In der SSH-Key-Verwaltung des SCP (klassisch unter „Option > SSH Keys“) lässt sich ein öffentlicher SSH-Schlüssel einmalig hinterlegen. Bei jeder künftigen Image-Installation wählen Sie ihn im Installationsdialog aus, und das Installationssystem trägt ihn automatisch in /root/.ssh/authorized_keys ein. Diese Anleitung zeigt den vollständigen Ablauf, von der Schlüsselerzeugung über die SCP-Konfiguration bis zum abgesicherten Server ohne Passwort-Login.

Voraussetzungen

1. Aktiver netcup-Account mit mindestens einem Root-Server oder VPS
2. Zugang zum netcup SCP unter servercontrolpanel.de
3. Lokales System mit OpenSSH: unter Linux und macOS vorinstalliert; unter Windows 10/11 als eingebautes Feature verfügbar (PowerShell oder Windows Terminal)
4. Grundkenntnisse im Umgang mit dem Terminal bzw. der PowerShell
5. Ca. 15 Minuten Zeit
6. Hardware: keine besonderen Anforderungen, das Verfahren funktioniert auf jedem netcup VPS oder Root-Server mit einem offiziellen Linux-Image

Schritt 1: ed25519-Schlüsselpaar lokal generieren

Der erste Schritt passiert ausschließlich auf Ihrem lokalen Rechner, der private Schlüssel verlässt ihn dabei nie. Öffnen Sie ein Terminal (Linux/macOS) oder die PowerShell (Windows) und führen Sie folgenden Befehl aus:

# Ed25519-Schlüsselpaar erzeugen
ssh-keygen -t ed25519 -C "mein-netcup-server"

# Standardpfad bestätigen:
# Linux/macOS: ~/.ssh/id_ed25519
# Windows: C:\Users\<Nutzer>\.ssh\id_ed25519

# Passphrase setzen (dringend empfohlen, schützt den Schlüssel bei Geräteverlust)

Das Tool legt zwei Dateien an: id_ed25519 (privater Schlüssel, niemals weitergeben) und id_ed25519.pub (öffentlicher Schlüssel, dieser kommt ins SCP).

Zeigen Sie den Inhalt der Public-Key-Datei an. Diesen Text benötigen Sie im nächsten Schritt:

# Linux/macOS
cat ~/.ssh/id_ed25519.pub

# Windows PowerShell
type $env:USERPROFILE\.ssh\id_ed25519.pub

Die Ausgabe sieht in etwa so aus:

ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIGx... mein-netcup-server

Wichtig: Kopieren Sie die gesamte Zeile. Sie muss als eine einzige Zeile ohne Zeilenumbruch in das SCP eingefügt werden. Zeilenumbrüche beim Kopieren aus manchen Texteditoren machen den Key ungültig.

Verifizieren: Die Dateien id_ed25519 und id_ed25519.pub existieren im .ssh-Verzeichnis. ssh-keygen -lf ~/.ssh/id_ed25519.pub gibt eine Zeile mit 256 SHA256:… und dem Zusatz (ED25519) aus.

Schritt 2: Public Key im netcup SCP hinterlegen

Melden Sie sich unter servercontrolpanel.de an. Die SSH-Key-Verwaltung gilt für den ganzen SCP-Zugang: Sie hinterlegen den Key nur einmal, danach steht er für alle Server dieses Zugangs zur Verfügung.

1. Öffnen Sie die SSH-Key-Verwaltung. In der klassischen SCP-Oberfläche liegt sie unter Option > SSH Keys; in neueren Versionen finden Sie sie in den Konto- bzw. Benutzereinstellungen. Die Bezeichnungen können je nach Version und Sprache leicht abweichen.
2. Legen Sie einen neuen Key an (klassisch: Create a SSH Key).
3. Fügen Sie den vollständigen Inhalt Ihrer .pub-Datei in das Textfeld ein.
4. Vergeben Sie einen sprechenden Namen (z. B. „Laptop-2026“ oder „Büro-Desktop“). Das hilft, wenn Sie später mehrere Keys verwalten.
5. Speichern Sie den Key.

Sie können mehrere Keys hinterlegen, etwa einen pro Gerät oder pro Mitarbeiter. Beim Löschen eines Keys aus dem SCP sind bereits installierte Server nicht betroffen. Der Key bleibt in deren authorized_keys, bis Sie ihn dort manuell entfernen.

Verifizieren: In der SSH-Key-Liste im SCP erscheint Ihr Key mit dem vergebenen Namen. Zeigt das SCP einen Fingerprint an, stimmt er mit der Ausgabe von ssh-keygen -lf ~/.ssh/id_ed25519.pub überein.

Schritt 3: Image installieren und Key automatisch einbinden

Jetzt kommt der zentrale Vorteil: Bei jeder Image-Neuinstallation wählen Sie Ihren hinterlegten Key aus, und das netcup-Installationssystem übernimmt den Rest. Achtung: Eine Image-Installation löscht den gesamten Inhalt der Serverfestplatte.

1. Öffnen Sie im SCP Ihren Server.
2. Wechseln Sie zu Medien (englisch: Media) und dort zu Images.
3. Wählen Sie das gewünschte Betriebssystem-Image (z. B. Debian oder Ubuntu).
4. Im Installationsdialog legen Sie neben Zeitzone und Sprache auch den SSH-Key fest: Wählen Sie den vorhin hinterlegten Key aus.
5. Starten Sie die Installation. netcup schickt Ihnen nach Abschluss eine E-Mail.

Nach Abschluss der Installation hat das netcup-Installationssystem den ausgewählten Public Key automatisch in /root/.ssh/authorized_keys auf dem neuen Server eingetragen. Sie können sich sofort per Key anmelden, ohne ssh-copy-id und ohne Umweg über die Konsole.

Wichtig: Der Key muss aktiv im Installationsdialog ausgewählt werden. Auch wenn er im SCP gespeichert ist, wird er nur eingebunden, wenn Sie ihn dort auswählen. Diesen Schritt zu vergessen ist der häufigste Fallstrick.

Verifizieren: Testen Sie den SSH-Zugang unmittelbar nach der Installation:

ssh -i ~/.ssh/id_ed25519 root@IHRE-SERVER-IP

Sie werden ohne Server-Passwort angemeldet (höchstens die Passphrase Ihres Schlüssels wird abgefragt), und cat /root/.ssh/authorized_keys zeigt Ihre Key-Zeile mit dem Kommentar mein-netcup-server. Erscheint eine Passwortabfrage des Servers, ist etwas beim Key-Einbinden schiefgelaufen – siehe Abschnitt „Troubleshooting“.

Schritt 4: Passwort-Login auf dem Server deaktivieren

Erst wenn der Key-Login einwandfrei funktioniert, deaktivieren Sie den Passwort-Login. Diese Reihenfolge ist entscheidend: Wer sich vorher aussperrt, muss über die Konsole (Bildschirm) im SCP eingreifen.

Lassen Sie eine zweite SSH-Sitzung offen, bevor Sie die sshd_config ändern. So sind Sie abgesichert, falls etwas schiefläuft.

sudo nano /etc/ssh/sshd_config

Setzen oder ändern Sie folgende Zeilen:

PubkeyAuthentication yes
PasswordAuthentication no

# Optional: Root-Login nur noch per Key erlauben
PermitRootLogin prohibit-password

Debian 12/13 und Ubuntu 24.04 binden am Anfang der sshd_config die Dateien aus /etc/ssh/sshd_config.d/ ein, und OpenSSH verwendet jeweils den zuerst gelesenen Wert. Prüfen Sie deshalb mit grep -ri passwordauthentication /etc/ssh/sshd_config.d/, ob dort ein abweichender Eintrag steht, und passen Sie ihn an. Testen Sie anschließend die Syntax und starten Sie den SSH-Dienst neu:

sudo sshd -t

# Debian und Ubuntu
sudo systemctl restart ssh

# Distributionen, deren Dienst sshd heißt (z. B. Rocky Linux, AlmaLinux)
sudo systemctl restart sshd

Verifizieren: sudo sshd -T | grep -Ei '^(passwordauthentication|permitrootlogin) ' zeigt passwordauthentication no und permitrootlogin prohibit-password. Versuchen Sie dann in einem neuen Terminal eine Anmeldung per Passwort:

ssh -o PubkeyAuthentication=no root@IHRE-SERVER-IP

Die Verbindung muss mit Permission denied (publickey) abgelehnt werden. Der Key-Login funktioniert weiterhin.

Schritt 5: Dateiberechtigungen prüfen (falls Key manuell kopiert wurde)

Wenn Sie den Key nicht über den SCP-Installer eingebunden, sondern manuell in authorized_keys eingetragen haben, müssen die Berechtigungen stimmen. Bei zu offenen Rechten verweigert OpenSSH den Key (StrictModes), und der Key-Login schlägt fehl. Der Grund steht nur im Server-Log (journalctl -u ssh).

# Berechtigungen für .ssh-Verzeichnis und authorized_keys
chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

# Besitzer prüfen (muss root sein, wenn Sie als root angemeldet sind)
ls -la ~/.ssh/

Verifizieren: Die Ausgabe von ls -la ~/.ssh/ zeigt drwx------ für das Verzeichnis und -rw------- für authorized_keys.

SSH-Key-Typen im Vergleich

Workflow-Vergleich: Mit und ohne SCP-SSH-Key-Feature

Troubleshooting / Typische Fehler

SSH-Verbindung fragt trotzdem nach Passwort

Ursachen: Der Key wurde im SCP gespeichert, aber bei der Installation nicht im Dropdown ausgewählt. Prüfen Sie mit cat /root/.ssh/authorized_keys auf dem Server, ob der Key vorhanden ist. Wenn nicht, kopieren Sie ihn manuell oder spielen Sie das Image mit ausgewähltem Key neu auf.

Permission denied (publickey) – Key ist vorhanden, aber Login schlägt fehl

Wahrscheinlichste Ursache: falsche Dateiberechtigungen. Führen Sie auf dem Server aus:

chmod 700 /root/.ssh
chmod 600 /root/.ssh/authorized_keys

Zweite Ursache: Der Key-Inhalt enthält einen Zeilenumbruch. Öffnen Sie authorized_keys mit nano und stellen Sie sicher, dass der Key als eine einzige Zeile eingetragen ist.

Vom Server ausgesperrt nach Deaktivieren des Passwort-Logins

Öffnen Sie im netcup SCP die Konsole Ihres Servers (Menüpunkt Bildschirm, englisch Screen). Sie erhalten direkten Konsolenzugang ohne SSH und melden sich dort mit einem Konto an, das ein Passwort besitzt. Anschließend korrigieren Sie die sshd_config oder tragen einen neuen Key ein. Hat root kein Passwort, hilft das Rettungssystem im SCP.

Key-Passphrase vergessen

Der private Schlüssel ist dann nicht mehr verwendbar. Erzeugen Sie ein neues Schlüsselpaar, hinterlegen Sie den neuen Public Key im SCP und tragen Sie ihn manuell (über die SCP-Konsole) in authorized_keys ein. Den alten Key im SCP und auf dem Server aus authorized_keys entfernen.

PermitRootLogin no gesetzt, ohne Nicht-Root-User eingerichtet zu haben

Das führt zur vollständigen Aussperrung. Lösung: Konsole im SCP nutzen, PermitRootLogin temporär auf prohibit-password zurücksetzen, einen sudo-Benutzer anlegen, dann erneut härten.

Windows-Pfad: Falscher Public-Key-Inhalt kopiert

Unter Windows liegt der Key in C:\Users\<Nutzer>\.ssh\id_ed25519.pub. Kopieren Sie beim Anzeigen mit type in der PowerShell keinen Zeilenumbruch am Ende mit, und achten Sie darauf, die Datei mit der Endung .pub zu nehmen, nicht den privaten Schlüssel. Im Zweifel öffnen Sie den Key mit einem Texteditor und kopieren den Inhalt von dort.

Häufige Fragen

Muss ich den SSH-Key bei jedem Reinstall neu im SCP hinterlegen?

Nein. Der Key wird einmalig in der SSH-Key-Verwaltung des SCP gespeichert und steht dauerhaft für alle künftigen Image-Installationen zur Verfügung. Sie wählen ihn bei jeder Installation lediglich aus.

Kann ich mehrere SSH-Keys im SCP hinterlegen?

Ja. Das netcup SCP erlaubt das Hinterlegen mehrerer öffentlicher Keys, praktisch etwa für Laptop und Desktop oder verschiedene Mitarbeiter. Welche davon bei der Installation eingebunden werden, legen Sie im Installationsdialog fest. Weitere Keys ergänzen Sie jederzeit selbst in authorized_keys.

Was passiert, wenn ich einen Key im SCP lösche?

Der Key wird aus dem SCP-Verwaltungsbereich entfernt und steht bei künftigen Installationen nicht mehr zur Auswahl. Bereits installierte Server sind davon nicht betroffen. Der Key bleibt in deren authorized_keys, bis Sie ihn dort manuell entfernen.

Funktioniert das SSH-Key-Feature mit allen netcup-Images?

Laut netcup-Dokumentation lassen sich hinterlegte SSH-Keys bei der Installation der vorgefertigten Images unter „Medien > Images“ importieren, etwa bei Debian und Ubuntu. Bei eigenen Images oder einer Installation über das DVD-Laufwerk richten Sie den Key manuell ein.

Wie logge ich mich ein, wenn ich meinen privaten Schlüssel verloren habe?

Über die Konsole (Menüpunkt „Bildschirm“) im netcup SCP greifen Sie direkt auf den Server zu. Erzeugen Sie auf Ihrem lokalen Rechner ein neues Schlüsselpaar, tragen Sie den neuen Public Key über die Konsole in authorized_keys ein und hinterlegen Sie ihn anschließend im SCP. Den alten Key löschen Sie aus SCP und authorized_keys.

Lohnt sich eine Passphrase für den privaten Schlüssel?

Unbedingt, besonders auf Laptops. Die Passphrase verschlüsselt den privaten Schlüssel lokal. Ein Angreifer, der an Ihre Schlüsseldatei gelangt, kann sie ohne Passphrase nicht nutzen. Der Komfortverlust lässt sich mit ssh-agent und ssh-add auf ein Minimum reduzieren: Die Passphrase wird einmalig pro Session abgefragt.

Fazit

Das SSH-Key-Feature im netcup SCP spart im Alltag viel Zeit, besonders wenn Sie häufig Images neu aufsetzen oder mehrere Server verwalten. Einmal eingerichtet, entfällt ssh-copy-id dauerhaft. In Kombination mit einem deaktivierten Passwort-Login und PermitRootLogin prohibit-password erreichen Sie ohne nennenswerten Mehraufwand ein solides Grundniveau an SSH-Sicherheit. Für tiefergehende SSH-Härtung, etwa mit Match-Blöcken, Rate-Limiting und ssh-audit, empfiehlt sich ein Blick in den SSH-Hardening Deep-Dive.

Weiterführende Anleitungen und Quellen

1. Das netcup Server Control Panel (SCP) erklärt: Alle Funktionen im Überblick
2. Betriebssystem-Image bei netcup wechseln: Reinstall über das SCP sicher durchführen
3. SSH-Key-Authentifizierung einrichten – Linux & Windows
4. SSH-Hardening Deep-Dive: sshd_config, Match-Blöcke und ssh-audit für KMU-Server
5. VPS absichern und härten: Anleitung mit UFW, SSH-Keys und Fail2Ban (Hetzner/Netcup)
6. netcup Dokumentation: Medien im SCP (Images und SSH-Keys)
7. netcup Community Tutorial: Save SSH Keys in the SCP