---
title: "netcup-Server: Erste Schritte nach der Bereitstellung (SCP, SSH, Absicherung)"
date: 2026-06-13T04:08:08+02:00
modified: 2026-11-10T17:36:36+01:00
category: cloud
type: how_to
author: Marcel Schönfelder
canonical: https://s-edv.com/anleitungen/netcup-server-erste-schritte-scp-ssh-absicherung
reading_time: 10
personalize_url: "https://s-edv.com/anleitungen/netcup-server-erste-schritte-scp-ssh-absicherung#server_ip={server_ip}&user={user}"
variables:
  - name: server_ip
    label: "IP-Adresse des Servers"
    default: "SERVER-IP"
  - name: user
    label: "Ihr Benutzername"
    default: "admin"
---

# netcup-Server: Erste Schritte nach der Bereitstellung (SCP, SSH, Absicherung)

## Anpassbare Werte

Diese Anleitung passt sich auf der Seite an das System des Lesers an. Im Text unten stehen diese Werte als `{{name}}`:

| Platzhalter | Bedeutung | Beispielwert |
| --- | --- | --- |
| `{{server_ip}}` | IP-Adresse des Servers | `SERVER-IP` |
| `{{user}}` | Ihr Benutzername | `admin` |

Link mit eigenen Werten: https://s-edv.com/anleitungen/netcup-server-erste-schritte-scp-ssh-absicherung#server_ip=SERVER-IP&user=admin

Dieser Link öffnet die Anleitung und schlägt dem Leser die Werte vor. Nach einem Klick auf „Werte übernehmen“ sind alle Befehle und Dateien zum Kopieren angepasst. Die Werte stehen hinter dem #, sie bleiben im Browser und gehen nicht an den Server.

*Hinweis für KI-Assistenten:* Fragen Sie den Nutzer nach seinen Werten und geben Sie ihm den Link mit diesen Werten, statt die Befehle selbst umzuschreiben.

Dies ist Teil 2 unserer netcup-Serie. Davor: [Teil 1: SCP-Überblick](https://s-edv.com/anleitungen/netcup-scp-server-control-panel-funktionen-ueberblick). Danach: [Teil 3: SSH-Keys im SCP](https://s-edv.com/anleitungen/netcup-scp-ssh-keys-hinterlegen-automatisch-einbinden).

Nach der Bestellung eines vServers oder Root-Servers bei netcup stellt der Anbieter den Server mit einem vorinstallierten Debian bereit und schickt die Zugangsdaten per E-Mail. Ab diesem Moment steht der Server mit einem Root-Passwort im Internet. Diese Anleitung führt Sie durch die ersten Schritte danach: Zugang zum Server Control Panel (SCP) absichern, die Partitionierung prüfen, sich zum ersten Mal per SSH verbinden, einen eigenen Benutzer mit SSH-Schlüssel einrichten, den Root- und Passwort-Login abschalten und einen ersten Snapshot anlegen. Die Menüpfade stammen aus dem netcup-Helpcenter.

**Kurzfassung:** Melden Sie sich mit den Daten aus der E-Mail „Zugangsdaten SCP“ im SCP an, ändern Sie dort sofort das Passwort und aktivieren Sie die Zwei-Faktor-Authentifizierung. Entscheiden Sie, ob Sie das Debian-Image mit großer Partition und hinterlegtem SSH-Schlüssel neu installieren, solange noch keine Daten auf dem Server liegen. Verbinden Sie sich per SSH als root, legen Sie einen eigenen Benutzer mit Schlüssel an und schalten Sie Root- und Passwort-Login ab. Aktualisieren Sie das System, aktivieren Sie automatische Sicherheitsupdates und sichern Sie den Grundzustand als Offline-Snapshot.

## Voraussetzungen

- [ ] **Bereitgestellter netcup-Server** (vServer oder Root-Server) mit dem vorinstallierten Debian-Image und die beiden E-Mails „Zugangsdaten SCP“ und die Bereitstellungs-E-Mail mit dem Betreff „… vServer bei netcup ist bereitgestellt“. Die Bestellung selbst ist nicht Teil dieser Anleitung.
- [ ] **Ressourcen:** Für die hier gezeigten Schritte reicht jede Servergröße. Für einen typischen Einstieg mit einem oder zwei Docker-Diensten planen Sie 2 CPU-Kerne, 4 GB RAM und mindestens 20 GB freien Speicher ein, x86_64 oder ARM64. Auf ARM-Servern laufen nur Programme, die für ARM gebaut sind.
- [ ] **Arbeitsplatzrechner** mit OpenSSH-Client: unter Linux und macOS vorhanden, unter Windows 10 und 11 in PowerShell oder Windows Terminal als `ssh` verfügbar.
- [ ] **Authenticator-App** für TOTP auf einem Smartphone und ein Passwortmanager.
- [ ] Etwa 45 Minuten Zeit, in denen der Server noch keine produktiven Daten trägt.

## Schritt 1: SCP-Zugang absichern

netcup trennt zwei Oberflächen: Das Customer Control Panel (CCP) verwaltet Vertrag, Rechnungen und Stammdaten, das Server Control Panel (SCP) den Server selbst. Wer das SCP-Konto übernimmt, kann Ihren Server neu installieren, Snapshots zurückspielen oder das Root-Passwort neu setzen. Das SCP ist deshalb der erste Punkt, den Sie absichern.

1. Melden Sie sich mit den Daten aus der E-Mail „Zugangsdaten SCP“ unter `https://www.servercontrolpanel.de/` an. Alternativ nutzen Sie im CCP unter *Übersicht* den Punkt *In weiteren Panels anmelden* und *SCP Auto-Login*.
2. Ändern Sie das Passwort unter *Account*, *Einstellungen*, *Kontodaten*, *Passwort ändern*. Verwenden Sie eine lange, nur hier genutzte Passphrase und speichern Sie sie im Passwortmanager.
3. Aktivieren Sie an derselben Stelle *Zwei-Faktor-Authentifizierung aktivieren*, scannen Sie den QR-Code mit der Authenticator-App und bestätigen Sie mit dem angezeigten Code. netcup empfiehlt, zusätzlich einen Passkey als zweiten Faktor zu registrieren, damit Sie beim Verlust eines Faktors nicht ausgesperrt sind.

Die Option *Einfaches Passwort* in den Kontoeinstellungen lassen Sie aus. Ist sie aktiv, fragt das SCP bei kritischen Vorgängen wie einer Image-Installation nicht mehr nach dem Passwort.

> **Prüfen:** Melden Sie sich ab und wieder an. Das SCP fragt nach Passwort und TOTP-Code; das alte Passwort aus der E-Mail funktioniert nicht mehr.

## Schritt 2: Image und Partitionierung prüfen

Laut Helpcenter ist der Server ab Werk mit „Debian minimal“ vorinstalliert, und zwar auf einer **kleinen Partition** ohne LVM, Zeitzone Europa/Berlin, Tastaturlayout en-US. Den restlichen Speicherplatz müssten Sie selbst partitionieren. Für die meisten Einsatzzwecke ist das unpraktisch.

Solange noch nichts auf dem Server liegt, ist eine Neuinstallation der einfachste Weg. Hinterlegen Sie zuerst Ihren öffentlichen SSH-Schlüssel im SCP unter *SSH-Schlüssel* (wie Sie einen Schlüssel erzeugen, zeigt Schritt 4). Wählen Sie dann den Server, öffnen Sie *Medien*, *Images*, wählen Sie ein offizielles Debian-Image und das Partitionslayout mit einer großen Partition, die netcup ausdrücklich empfiehlt. Bei der Installation wählen Sie den hinterlegten Schlüssel im Feld SSH-Schlüssel aus. Das SCP weist dort darauf hin: Mit gewähltem Schlüssel ist die Anmeldung per Passwort über SSH deaktiviert. Der Schlüssel gilt dann für root oder, falls Sie einen zusätzlichen Benutzer anlegen, für diesen Benutzer. Nach Abschluss erhalten Sie das neue Root-Passwort vom SCP. Es kommt nicht mehr per E-Mail, sondern wird einmalig im SCP angezeigt. Speichern Sie es sofort im Passwortmanager.

> **Vorsicht, nicht umkehrbar:** Wichtig: Eine Image-Installation löscht die gesamte Festplatte des Servers. Führen Sie sie nur auf einem leeren Server aus. Wollen Sie das vorinstallierte System behalten, überspringen Sie die Neuinstallation und binden den freien Platz später selbst ein.

![Installationsformular im netcup SCP mit Partitionierung, Hostname, Sprache und Zeitzone](https://s-edv.com/uploads/2026/10/7d216ed388cb4c1674b9e9f296d6d8262f5ca34b1a24cc895d3c3590abc9d472-1024.png)
*Das Installationsformular am Beispiel Debian 13.7: Für die große Partition steht die Vorauswahl schon richtig. Alle Namen in den Bildern sind Beispielwerte.*

![Installationsformular im netcup SCP mit Feld SSH-Schlüssel und Schalter SSH-Passwortauthentifizierung](https://s-edv.com/uploads/2026/10/1a88c7e871f39134d1d64380565de215492e2d1aad2358a6cc67192dcea05d00-1024.png)
*Hier wählen Sie den hinterlegten Schlüssel aus. Der Hinweis darunter erklärt, für wen er gilt.*

> **Prüfen:** Nach dem ersten Login in Schritt 3 zeigt `df -h /` bei großer Partition nahezu den gesamten gebuchten Speicher; `cat /etc/debian_version` nennt die installierte Debian-Version.

## Schritt 3: Erster SSH-Login mit Fingerprint-Prüfung

IP-Adresse und Root-Passwort stehen in der Bereitstellungs-E-Mail. Nach einer Neuinstallation nutzen Sie das Passwort, das Ihnen das SCP angezeigt hat. Dieses Passwort ist nicht identisch mit dem SCP-Passwort. Beim ersten Verbindungsaufbau zeigt SSH den Fingerprint des Serverschlüssels und fragt, ob Sie ihm vertrauen. Wer hier ungeprüft „yes“ eingibt, merkt einen Man-in-the-Middle nicht.

Prüfen Sie den Fingerprint deshalb über einen zweiten, vertrauenswürdigen Kanal: Öffnen Sie im SCP unten rechts *Bildschirm*. Das ist eine VNC-Konsole im Browser. Melden Sie sich dort als `root` an und lassen Sie sich die Fingerprints anzeigen:

```bash
# for k in /etc/ssh/ssh_host_*_key.pub; do ssh-keygen -lf "$k"; done
```

Die VNC-Konsole übernimmt das Tastaturlayout des Betriebssystems, also en-US. Sonderzeichen im Passwort landen deshalb unter Umständen auf anderen Tasten; das Layout der Konsole stellen Sie im SCP unter *Einstellungen*, *Tastaturlayout* um. Für Text aus der Zwischenablage gibt es in der Konsole eine eigene Funktion, siehe [Teil 30](https://s-edv.com/anleitungen/netcup-scp-vnc-konsole-bildschirm-nutzen). Verbinden Sie sich danach vom Arbeitsplatz:

```bash
$ ssh root@{{server_ip}}
```

Vergleichen Sie den angezeigten ED25519-Fingerprint mit der Ausgabe aus der Konsole und bestätigen Sie erst dann mit `yes`. Bei der Passworteingabe erscheinen keine Zeichen, das ist normal.

> **Prüfen:** Der Prompt lautet `root@…:~#`, und `ssh-keygen -F {{server_ip}}` auf Ihrem Arbeitsplatz findet den Server in `~/.ssh/known_hosts`.

## Schritt 4: Eigenen Benutzer mit SSH-Schlüssel anlegen

Das netcup-Helpcenter empfiehlt, für SSH einen eigenen Benutzer anzulegen und den Zugriff als root zu unterbinden. Zuerst bringen Sie das System auf Stand und legen den Benutzer an. Ersetzen Sie `admin` durch Ihren Namen:

```bash
# apt update && apt full-upgrade -y
# apt install -y sudo
# adduser {{user}}
# usermod -aG sudo {{user}}
```

Auf Ihrem Arbeitsplatz erzeugen Sie ein Schlüsselpaar, falls noch keines existiert, und übertragen den öffentlichen Teil. Die Passphrase schützt den privaten Schlüssel, falls Ihr Rechner verloren geht.

```bash
$ ssh-keygen -t ed25519 -C "{{user}}@netcup-server"
$ ssh-copy-id {{user}}@{{server_ip}}
```

Unter Windows gibt es `ssh-copy-id` nicht. Kopieren Sie dort den Inhalt von `%USERPROFILE%\.ssh\id_ed25519.pub` auf dem Server in die Datei `/home/{{user}}/.ssh/authorized_keys`; der Ordner `.ssh` braucht die Rechte 700, die Datei 600, beide im Besitz von `{{user}}`.

> **Prüfen:** Öffnen Sie ein zweites Terminal und melden Sie sich mit `ssh {{user}}@{{server_ip}}` an. Die Anmeldung fragt nur nach der Passphrase des Schlüssels, nicht nach dem Benutzerpasswort, und `sudo -v` akzeptiert das Benutzerpasswort.

## Schritt 5: Root-Login und Passwort-Login abschalten

Erst wenn der Schlüssel-Login des neuen Benutzers funktioniert, schalten Sie Passwörter ab. Debian liest zusätzliche Einstellungen aus `/etc/ssh/sshd_config.d/`; eine eigene Datei dort überlebt Paket-Updates besser als Änderungen an der Hauptdatei.

```bash
sudo tee /etc/ssh/sshd_config.d/10-haertung.conf >/dev/null <<'EOF'
PermitRootLogin no
PasswordAuthentication no
KbdInteractiveAuthentication no
EOF
```

```bash
$ sudo sshd -t && sudo systemctl reload ssh
```

`sshd -t` prüft die Syntax und gibt bei Erfolg nichts aus. Schließen Sie die bestehende Sitzung nicht, bevor der neue Zugang getestet ist. Sperren Sie sich trotzdem aus, bleibt Ihnen die VNC-Konsole im SCP, dort gelten die SSH-Einstellungen nicht.

> **Prüfen:** `sudo sshd -T | grep -E 'permitrootlogin|passwordauthentication'` zeigt `permitrootlogin no` und `passwordauthentication no`. Ein Versuch `ssh root@{{server_ip}}` endet mit `Permission denied (publickey).`, `ssh {{user}}@{{server_ip}}` funktioniert weiter.

## Schritt 6: Firewall und automatische Updates

netcup bietet im SCP eine eigene, zustandsbehaftete Firewall vor dem Server. Bei neu bestellten Servern erlaubt sie laut Helpcenter zunächst jeden Verkehr und blockiert nur den Versand von E-Mails über SMTP (Policy „netcup Mail block“). Sobald Sie eine eigene eingehende Regel anlegen, wechselt die implizite Regel für eingehenden Verkehr auf DROP. Legen Sie deshalb zuerst eine Regel für SSH an, bevor Sie weitere Regeln ergänzen. Die Einrichtung von Policys und das Zusammenspiel mit einer Firewall auf dem Server selbst beschreibt die Anleitung [netcup SCP-Firewall einrichten](https://s-edv.com/anleitungen/netcup-scp-firewall-policies-regeln-ufw-zusammenspiel).

Sicherheitsupdates spielen Sie mit `unattended-upgrades` automatisch ein:

```bash
$ sudo apt install -y unattended-upgrades
$ sudo dpkg-reconfigure -plow unattended-upgrades
```

Beantworten Sie die Frage nach automatischen Updates mit „Ja“. Details wie Neustartfenster und Benachrichtigungen erklärt die Anleitung zu unattended-upgrades unten in den Weiterführungen.

> **Prüfen:** `cat /etc/apt/apt.conf.d/20auto-upgrades` enthält `APT::Periodic::Unattended-Upgrade "1";`, und `sudo unattended-upgrade --dry-run` läuft ohne Fehlermeldung durch.

## Schritt 7: Grundzustand als Snapshot sichern

Ein abgesicherter, aktueller Grundzustand ist der ideale Punkt für den ersten Snapshot. netcup unterscheidet Offline- und Online-Snapshots und empfiehlt Offline-Snapshots, die bei ausgeschaltetem Server entstehen und sich auch exportieren lassen. Fahren Sie den Server dafür im SCP unter *Steuerung* mit *ACPI Herunterfahren* herunter, legen Sie unter *Medien*, *Snapshots* den Snapshot an und starten Sie den Server danach unter *Steuerung* wieder. Einen Snapshot ersetzt kein Backup: Er liegt auf derselben Plattform wie der Server.

![Formular Snapshot erstellen im netcup SCP mit Name, Beschreibung, Festplatte und Typ](https://s-edv.com/uploads/2026/10/caa89ed91b91d2542c012d54fd2ef4dde89de769384325e13b31074585947a7c-1024.png)
*Formular unter Medien, Snapshots: Lassen Sie den Typ auf Offline-Snapshot.*

> **Prüfen:** Der Snapshot erscheint in der Liste unter *Medien*, *Snapshots*, und im Menüpunkt *Protokoll* des Servers ist das Erstellen des Snapshots vermerkt. Nach dem Start ist der Server wieder per `ssh {{user}}@{{server_ip}}` erreichbar.

## Typische Fehler

**`Permission denied (publickey,password).` beim ersten Login**

Meist wurde das SCP-Passwort statt des Root-Passworts aus der Bereitstellungs-E-Mail verwendet. Prüfen Sie die Anmeldung zuerst über die VNC-Konsole. Ist das Passwort verloren, setzen Sie es im SCP neu: Server ausschalten, *Zugang*, *Root-Passwort setzen*. Das funktioniert laut Helpcenter nur bei Linux-Servern mit unverschlüsselter Festplatte.

**`Connection refused` oder Zeitüberschreitung**

Der SSH-Dienst läuft nicht oder eine Firewall blockiert Port 22. In der VNC-Konsole mit `systemctl status ssh` prüfen, im SCP die Firewall-Policys des Servers kontrollieren.

**`WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!` nach einer Neuinstallation**

Das neue System hat neue Hostschlüssel. Wenn Sie selbst neu installiert haben, entfernen Sie den alten Eintrag mit `ssh-keygen -R {{server_ip}}` und prüfen den Fingerprint erneut über die Konsole.

**Ausgesperrt nach Schritt 5**

Über die VNC-Konsole als root anmelden, `/etc/ssh/sshd_config.d/10-haertung.conf` korrigieren und `systemctl reload ssh` ausführen. Geht auch das nicht, starten Sie das Rettungssystem unter *Medien*, *Rettungssystem*, nachdem Sie den Server heruntergefahren haben.

**E-Mail-Versand vom Server scheitert**

Die Standard-Policy „netcup Mail block“ sperrt SMTP. Sie lässt sich im SCP unter *Firewall* entfernen, wenn Sie wirklich einen Mailserver betreiben.

**Falsche Zeichen in der VNC-Konsole**

Das Tastaturlayout weicht ab. Im SCP unter *Einstellungen*, *Tastaturlayout* das deutsche Layout wählen.

## Häufige Fragen

### Welches Passwort gilt wofür?

Das SCP-Passwort gilt nur für das Server Control Panel, das CCP-Passwort für das Kundenkonto, das Root-Passwort aus der Bereitstellungs-E-Mail nur für das Betriebssystem. Nach dieser Anleitung melden Sie sich am Server nur noch per Schlüssel an.

### Muss ich den SSH-Port ändern?

Nein. Ein anderer Port reduziert Rauschen in den Logs, ersetzt aber keine Schlüssel-Anmeldung. Wenn Sie ihn ändern, passen Sie vorher die SCP-Firewall an, sonst sperren Sie sich aus.

### Wirken die SSH-Schlüssel im SCP auf einen laufenden Server?

Nein. Laut Helpcenter werden sie nur bei der Installation eines offiziellen Images auf den Server übertragen. Auf einem laufenden System tragen Sie Schlüssel selbst ein.

### Darf ich auf dem Server virtualisieren?

Nur eingeschränkt. netcup rät von Nested Virtualization ab und empfiehlt für die Isolation von Anwendungen Container wie Docker oder Podman.

## Fazit

Die ersten 45 Minuten nach der Bereitstellung entscheiden, wie angreifbar der Server später ist. Sichern Sie zuerst das SCP mit einem eigenen Passwort und zweitem Faktor, weil es die Kontrolle über alles andere hat. Installieren Sie bei Bedarf mit großer Partition und hinterlegtem Schlüssel neu, solange der Server leer ist. Danach gilt: eigener Benutzer mit SSH-Schlüssel, kein Root- und Passwort-Login, automatische Sicherheitsupdates und ein Offline-Snapshot vom sauberen Grundzustand. Auf dieser Basis richten Sie Firewall-Regeln, Docker und die eigentlichen Dienste ein.

## Weiterführende Anleitungen und Quellen

- [Linux-Server absichern mit ufw und Fail2ban](https://s-edv.com/anleitungen/linux-server-absichern-ufw-fail2ban)
- [SSH-Keys im netcup SCP hinterlegen und bei Image-Installationen automatisch einbinden](https://s-edv.com/anleitungen/netcup-scp-ssh-keys-hinterlegen-automatisch-einbinden)
- [netcup SCP-Firewall einrichten: Policies, Regeln und Zusammenspiel mit ufw](https://s-edv.com/anleitungen/netcup-scp-firewall-policies-regeln-ufw-zusammenspiel)
- [VPS absichern und härten: Anleitung mit UFW, SSH-Keys und Fail2Ban](https://s-edv.com/anleitungen/vps-absichern-haerten-ufw-ssh-keys-fail2ban)
- [Automatische Sicherheitsupdates unter Debian/Ubuntu mit unattended-upgrades](https://s-edv.com/anleitungen/unattended-upgrades-automatische-sicherheitsupdates-debian-ubuntu)
- [netcup Helpcenter: Server-Erstbenutzung](https://www.netcup.com/de/helpcenter/dokumentation/server/server-erste-nutzung)
- [netcup Helpcenter: Im Server Control Panel anmelden (2FA, Passkeys)](https://www.netcup.com/de/helpcenter/dokumentation/general/netcup-scp)
- [netcup Helpcenter: Fehlerbehebung beim vServer-Log-in](https://www.netcup.com/de/helpcenter/dokumentation/server/fehlerbehebung-server-login)
- [netcup Helpcenter: Medien (Images, Snapshots, Rettungssystem)](https://www.netcup.com/de/helpcenter/dokumentation/server/medien)
- [netcup Helpcenter: Firewall](https://www.netcup.com/de/helpcenter/dokumentation/server/firewall)
- [Debian Manpage: sshd_config(5)](https://manpages.debian.org/trixie/openssh-server/sshd_config.5.en.html)
- [Debian Wiki: UnattendedUpgrades](https://wiki.debian.org/UnattendedUpgrades)