Betriebssystem-Image bei netcup wechseln: Reinstall über das SCP sicher durchführen

Das netcup Server Control Panel (SCP) bietet unter „Media > Images“ eine Reinstallations-Funktion für VPS, ohne SSH-Zugriff oder externe Tools: OS-Image auswählen, Partitionslayout festlegen, SSH-Key beim Install hinterlegen, wenige Minuten später läuft ein frisches System. Ein Image ist ein installationsfertiges Abbild eines Betriebssystems. Die Anleitung richtet sich an KMU-Admins und Selfhoster, die einen bestehenden VPS sauber neu aufsetzen wollen.

Voraussetzungen

1. Aktiver netcup-Account mit VPS oder Root-Server (KVM, x86-64 oder ARM64) und Zugang zum SCP unter servercontrolpanel.de. Eine Mindestgröße gibt es nicht; CPU, RAM und Speicher richten sich nach dem späteren Einsatz.
2. SCP-Login-Passwort bekannt (wird zur Bestätigung des Reinstalls zwingend benötigt)
3. Aktuelles Backup aller Serverdaten – die Neuinstallation löscht alle Daten ohne Rückfrage und ohne Möglichkeit zur Wiederherstellung
4. Lokal generiertes SSH-Schlüsselpaar (Public Key zum Hinterlegen im SCP), siehe Schritt 1
5. VPS mit UEFI-Boot-Unterstützung – netcup liefert seit Ende 2024/Anfang 2025 ausschließlich UEFI-Images; Server mit BIOS-Boot können die SCP-Images nicht nutzen. Dafür deaktivieren Sie in den Servereinstellungen „UEFI Boot“ und installieren manuell über das DVD-Laufwerk

Schritt 1: SSH-Key lokal generieren und im SCP hinterlegen

SSH-Keys müssen vor der Neuinstallation im SCP gespeichert sein; im Install-Dialog lassen sich nur bereits hinterlegte Keys auswählen. Sonst müssen Sie den Key nach dem Reinstall per Passwort-Login und ssh-copy-id nachrüsten.

Erzeugen Sie auf Ihrem lokalen Rechner ein neues Schlüsselpaar:

# Option 1: Ed25519 (empfohlen – modern, sicher, kurze Schlüssellänge)
ssh-keygen -t ed25519 -C "netcup-server"

# Option 2: RSA 4096 Bit (breite Kompatibilität mit älteren Systemen)
ssh-keygen -t rsa -b 4096 -C "netcup-server"

# Während der Generierung:
# - Speicherort bestätigen (Standard: ~/.ssh/id_ed25519)
# - Ein Passwort für den Key setzen (empfohlen für zusätzliche Sicherheit)

Anschließend den Public Key ausgeben, um ihn in die Zwischenablage zu kopieren:

cat ~/.ssh/id_ed25519.pub
# Beispielausgabe:
# ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAA... netcup-server

Den Key jetzt im SCP speichern:

1. servercontrolpanel.de aufrufen und einloggen
2. Oben rechts auf „Optionen“ (Options) klicken
3. Den Bereich „SSH Public Keys verwalten“ aufrufen
4. Die komplette Ausgabe von cat ~/.ssh/id_ed25519.pub einfügen und speichern

Das SCP verwaltet mehrere Public Keys (hinzufügen, anzeigen, löschen), sinnvoll für Teams oder mehrere Rechner.

Verifizieren: Der Key erscheint in der Liste unter SCP > Optionen > SSH Public Keys und lässt sich dort durch Anklicken vollständig anzeigen.

Schritt 2: Backup sicherstellen

Die Neuinstallation löscht alle Daten auf dem Server unwiderruflich: Datenbanken, Konfigurationsdateien, Webinhalte, Logdaten. Es gibt weder Rückfrage noch Wiederherstellung über das SCP, außer über einen zuvor angelegten Snapshot.

Typische Wege für ein Backup vor dem Reinstall:

1. Datenbank-Dumps via mysqldump oder pg_dump auf einen externen Speicher kopieren
2. Konfigurationsdateien und /etc-Verzeichnisse per rsync sichern
3. Einen netcup VPS-Snapshot im SCP anlegen (Online oder Offline) als Restore-Punkt

Prüfen Sie außerdem aktive Dienste und laufende Datenbank-Transaktionen: Der Reinstall startet sofort nach Bestätigung. netcup empfiehlt den Snapshot „Offline“; er entsteht bei ausgeschaltetem Server, ist konsistent und exportierbar.

Verifizieren: Die Sicherung liegt außerhalb des Servers vor (z. B. ls -lh auf dem Backup-Ziel zeigt die Dumps mit plausibler Größe), oder unter SCP > Media > Snapshots steht der neue Snapshot in der Liste.

Schritt 3: Im SCP zum Image-Bereich navigieren

Der Navigationspfad ist eindeutig und kurz:

1. servercontrolpanel.de aufrufen und einloggen
2. Den gewünschten Server aus dem Dropdown oben auswählen
3. Im linken Menü auf „Media“ klicken
4. Den Unterbereich „Images“ öffnen

Verfügbar sind offizielle OS-Images verschiedener Linux-Distributionen (Debian, Ubuntu, Rocky Linux, AlmaLinux u. a.) und je nach Produkt Windows-Images. Windows-Reinstallationen beschreibt die netcup-Dokumentation unter /documentation/server/installing-windows; diese Anleitung behandelt Linux-Images.

Verifizieren: Im SCP ist oben der richtige Server ausgewählt (Name und IP prüfen), und unter „Images“ erscheint die Liste der offiziellen Betriebssysteme.

Schritt 4: OS-Image auswählen und Installationsoptionen festlegen

Ein Klick auf das Betriebssystem öffnet den Installationsdialog:

1. Installationsmodus: „Minimal“ auswählen – diese Option installiert ein schlankes Basissystem ohne unnötige Pakete
2. Partitionslayout wählen (siehe Tabelle unten)
3. Einen oder mehrere hinterlegte SSH-Keys auswählen, die auf dem neuen System platziert werden. Zeitzone und Sprache legen Sie im selben Dialog fest
4. Optional: Den „Send e-mail to me“-Slider aktivieren, um bei Abschluss der Installation eine E-Mail zu erhalten
5. Auf „Install“ klicken
6. Das SCP-Login-Passwort zur Bestätigung eingeben – dieser Sicherheitsschritt verhindert versehentliche Reinstalls

Partitionslayout: Large vs. Small

Meist ist „Large Partition“ richtig: Das OS nutzt den gesamten Speicher ohne Nacharbeit. „Small Partition“ lohnt nur für geplante separate Partitionen (z. B. /var, /home, Datenbank-Volumes); den Restplatz partitionieren Sie dann manuell nach netcup-Dokumentation /documentation/server/partitioning-kvm-server (nur KVM-Server/VPS, nicht klassische vServer).

Verifizieren: Nach der Passworteingabe meldet das SCP den Start der Installation, der Server ist im SCP nicht mehr als laufend mit dem alten System erreichbar.

Schritt 5: Installation abwarten und Root-Passwort notieren

Nach Bestätigung mit dem SCP-Login-Passwort startet die Neuinstallation sofort. Den Fortschritt verfolgen Sie auf zwei Wegen:

1. Über die Benachrichtigungsglocke (Bell-Icon) im SCP – sie signalisiert den Abschluss der Installation
2. Per E-Mail, falls der „Send e-mail to me“-Slider aktiviert wurde

Die Installation dauert wenige Minuten. Danach zeigt das SCP das neue Root-Passwort; legen Sie es sofort im Passwortmanager ab. Schließen Sie das Fenster ohne Notiz und ohne hinterlegten SSH-Key, bleibt nur das Rescue-System.

Verifizieren: Die Benachrichtigung im SCP meldet den Abschluss, und das neue Root-Passwort ist sicher abgelegt.

Schritt 6: Ersten Login nach dem Reinstall testen

Testen Sie direkt den SSH-Login; mit eingespieltem Key ist kein Passwort nötig:

ssh -i ~/.ssh/id_ed25519 root@<SERVER-IP>

Der alte Host-Schlüssel des Servers passt nach dem Reinstall nicht mehr. Meldet SSH „REMOTE HOST IDENTIFICATION HAS CHANGED“, entfernen Sie den alten Eintrag lokal mit ssh-keygen -R <SERVER-IP>.

Verifizieren: Der Login fragt nicht nach einem Passwort (höchstens nach der Passphrase Ihres Schlüssels) und landet direkt auf dem Root-Prompt des frischen Systems. Die Ausgabe von uname -a zeigt den Kernel des neu installierten OS.

Schritt 7: Passwort-Login deaktivieren (empfohlen)

Funktioniert der Key-Login, schalten Sie den Passwort-Login per SSH ab; Brute-Force-Angriffe gegen den SSH-Port laufen dann ins Leere:

# In /etc/ssh/sshd_config folgende Zeilen setzen (oder anpassen):
PasswordAuthentication no
PermitRootLogin prohibit-password

# Konfiguration prüfen und den SSH-Dienst neu starten
# (unter Debian und Ubuntu heißt der Dienst ssh):
sshd -t && systemctl restart ssh

Wichtig: Lassen Sie vor dem Neustart von sshd eine zweite SSH-Session offen, um sich im Fehlerfall nicht auszusperren. Manche Images bringen unter /etc/ssh/sshd_config.d/ eigene Dateien mit, die PasswordAuthentication wieder einschalten; prüfen Sie daher die wirksame Einstellung.

Verifizieren: sshd -T | grep -Ei '^(passwordauthentication|permitrootlogin)' zeigt passwordauthentication no und permitrootlogin without-password (gleichbedeutend mit prohibit-password). Ein neuer Login mit ssh -o PubkeyAuthentication=no root@<SERVER-IP> wird abgelehnt.

Firewall, Fail2Ban und weitere Härtung beschreibt VPS absichern und härten: Anleitung mit UFW, SSH-Keys und Fail2Ban.

SSH-Key-Einrichtung im Überblick

Troubleshooting / Typische Fehler

BIOS-Server: Image-Installation schlägt fehl oder startet nicht

netcup liefert seit Ende 2024/Anfang 2025 nur UEFI-Images. Bei BIOS-Boot deaktivieren Sie in den Servereinstellungen „UEFI Boot“ und installieren manuell über das DVD-Laufwerk im SCP. Ob UEFI aktiv ist, zeigen die Server-Details im SCP.

SSH-Key greift nicht nach der Installation

Meist wurde der Key im SCP gespeichert, im Install-Dialog aber nicht ausgewählt. Führen Sie den Reinstall erneut durch oder melden Sie sich einmal mit Root-Passwort an und richten den Key manuell ein:

mkdir -p ~/.ssh
echo "ssh-ed25519 AAAA... netcup-server" >> ~/.ssh/authorized_keys
chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

Root-Passwort im SCP nicht mehr sichtbar

Ist das Fenster ohne Notiz geschlossen und kein SSH-Key eingerichtet, aktivieren Sie das netcup Rescue-System über SCP > Rescue System, loggen sich dort ein und ändern das Passwort oder tragen den Key in /root/.ssh/authorized_keys ein. Details: netcup Rescue-System nutzen: VPS retten und Passwort zurücksetzen.

„Small Partition“ gewählt – Speicherplatz fehlt

Bei „Small Partition“ ohne manuelle Partitionierung nutzt das OS nur einen Bruchteil des Speichers. Abhilfe: fdisk (MBR) oder gdisk (GPT) auf dem Server oder GParted Live im Rescue-System (siehe FAQ).

SCP-Login-Passwort unbekannt

Ohne SCP-Login-Passwort kann die Reinstallation nicht bestätigt werden. Das Passwort wird im CCP (Customer Control Panel) unter ccp.netcup.net zurückgesetzt, nicht im SCP selbst.

Server läuft noch mit aktiven Diensten

Der Reinstall beendet laufende Dienste, Datenbank-Transaktionen und Verbindungen abrupt. Fahren Sie kritische Dienste vorher geordnet herunter und sichern Sie die Daten.

Häufige Fragen

Kann ich den SSH-Key auch nach der Reinstallation noch hinzufügen?

Ja, per ssh-copy-id oder durch Bearbeiten von ~/.ssh/authorized_keys nach dem Login mit Root-Passwort. Über das SCP entfällt dieser Schritt, und das Root-Passwort muss nicht zwischengespeichert werden.

Wie lange dauert eine Neuinstallation via SCP-Image?

Meist wenige Minuten, abhängig von Image und Serverlast. Den Abschluss meldet die Benachrichtigungsglocke im SCP, optional eine E-Mail.

Kann ich mehrere SSH-Keys gleichzeitig hinterlegen?

Ja. Im Install-Dialog wählen Sie mehrere der im SCP hinterlegten Keys aus, etwa für mehrere Admins.

Was passiert, wenn ich „Small Partition“ gewählt habe und mehr Platz brauche?

Partitionieren Sie den Restplatz per GParted Live (grafisch, im netcup Rescue-System) oder per fdisk/gdisk. Die offizielle Anleitung steht im netcup Helpcenter unter /documentation/server/partitioning-kvm-server und gilt nur für KVM-Server/VPS, nicht für klassische vServer.

Was tun, wenn kein Zugriff mehr besteht (Key verloren, Passwort unbekannt)?

Über das Rescue-System (SCP > Rescue System) binden Sie das Dateisystem ein, ändern Passwörter und sichern Daten, auch ohne funktionierenden SSH-Key oder Root-Passwort. Probieren Sie es vor einem Reinstall als letztem Ausweg.

Werden Windows-Images auch über SCP > Media > Images angeboten?

Die netcup-Dokumentation beschreibt Windows-Reinstallationen separat unter /documentation/server/installing-windows; der Ablauf kann vom Linux-Reinstall abweichen.

Fazit

Der OS-Reinstall über das netcup SCP ist schnell erledigt, wenn die Vorarbeit stimmt: Backup erstellt, SSH-Key im SCP gespeichert und im Dialog ausgewählt, Root-Passwort sofort notiert. Mit „Large Partition“ entfällt die Nachpartitionierung. Danach folgen Absicherung (Firewall, Fail2Ban, SSH-Hardening) und ein regelmäßiger Snapshot-Rhythmus.

Weiterführende Anleitungen und Quellen

1. VPS absichern und härten: UFW, SSH-Keys und Fail2Ban (Hetzner/Netcup)
2. SSH-Key-Authentifizierung einrichten – Linux & Windows
3. Das netcup Server Control Panel (SCP) erklärt: Alle Funktionen im Überblick
4. netcup Rescue-System nutzen: VPS retten und Passwort zurücksetzen
5. netcup Helpcenter – Media (Images, Reinstall, SSH-Key, Partition)
6. netcup Community Tutorial – SSH Keys in SCP speichern