Fail2ban Grundlagen: So schützen Sie Ihren Server vor Brute-Force

Wenn sich in Ihren Logs Hunderte fehlgeschlagener Anmeldeversuche häufen, greift Sie mit hoher Wahrscheinlichkeit jemand mit automatisierten Bots an. Fail2ban ist ein kleines, aber leistungsstarkes Werkzeug, das diese Logs in Echtzeit liest und IP-Adressen sperrt, die sich verdächtig verhalten. In diesem Leitfaden erklären wir, wie es funktioniert, wie Sie es konfigurieren und warum es auf jeden Server gehört, der mit dem Internet verbunden ist.

Was Fail2ban ist und wie es funktioniert

Fail2ban überwacht Logdateien — zum Beispiel /var/log/auth.log für SSH oder die Logs Ihres Webservers — und sucht nach Mustern, die auf einen Angriff hindeuten, etwa fünf falsche Passwörter innerhalb von zehn Minuten. Sobald eine Regel (ein sogenanntes Jail) dieses Muster erkennt, fügt Fail2ban die IP-Adresse der Firewall hinzu und sperrt sie vorübergehend. Nach Ablauf der Sperre wird die Adresse automatisch wieder freigegeben.

Drei Begriffe sollten Sie kennen: den Filter (ein regulärer Ausdruck, der den Angriff im Log erkennt), das Jail (eine Regel, die Filter, Log und Aktion verbindet) und die Action (was passiert — meist das Hinzufügen der IP zu iptables oder nftables).

Grundlegende Konfiguration

Bearbeiten Sie niemals die jail.conf direkt, sondern legen Sie eine jail.local an. Die wichtigsten Parameter sind maxretry (wie viele Fehlversuche bis zur Sperre), findtime (der Zeitraum, in dem Fehlversuche gezählt werden) und bantime (wie lange die Sperre dauert). Ein sinnvoller Startwert ist maxretry 5, findtime 10m, bantime 1h. Für hartnäckige Angreifer aktivieren Sie bantime.increment, damit jede weitere Sperre länger dauert.

• SSH-Jail — das Erste, was Sie aktivieren sollten; es reduziert Brute-Force auf Port 22 drastisch.
• WordPress — mit dem passenden Plugin und Filter kann Fail2ban auch Angriffe auf wp-login.php sperren.
• Recidive-Jail — sperrt IPs, die bereits mehrfach gesperrt wurden, für einen deutlich längeren Zeitraum (Tage).

Fail2ban ist kein Zauberstab

Es löst eine Klasse von Problemen — automatisierte Brute-Force-Angriffe und Scans. Es schützt weder vor Schwachstellen im Code noch vor großangelegten DDoS-Angriffen. Betrachten Sie es daher als eine Schicht in einem umfassenderen Schutzsystem, zusammen mit starken Passwörtern, Zwei-Faktor-Anmeldung und einer Firewall auf Anwendungsebene. Im Shared Hosting läuft Fail2ban meist bereits im Hintergrund, sodass Sie es nicht selbst einrichten müssen.

Bei hochwertigem WordPress-Hosting ist der Brute-Force-Schutz standardmäßig aktiviert, und Fail2ban und die WAF arbeiten zusammen. Wenn Sie ein Paket wählen, werfen Sie einen Blick auf unsere Hosting-Pakete, die diese Schutzschichten bereits enthalten.

Häufige Fragen

Kann Fail2ban mich von meinem eigenen Server aussperren? Ja, wenn Sie das Passwort zu oft falsch eingeben. Deshalb sollten Sie Ihre eigene IP-Adresse immer über ignoreip auf die Whitelist setzen.

Wie viele Ressourcen verbraucht es? Sehr wenige — es ist ein Python-Prozess, der Logs liest, und für jeden modernen Server vernachlässigbar.

Für tieferen Anmeldeschutz lesen Sie auch unseren Leitfaden zum Schutz von wp-login.php vor Brute-Force-Angriffen, wie Sie starke Passwörter und Passwortmanager einrichten, und die Grundlagen des DDoS-Schutzes, den Fail2ban nicht abdeckt.