Firewall mit UFW einrichten

Dein Server nimmt standardmäßig Verbindungen auf allen offenen Ports entgegen. Eine Firewall dreht das um: Sie blockt alles und lässt nur durch, was du ausdrücklich erlaubst. UFW („Uncomplicated Firewall") macht das mit wenigen, gut lesbaren Befehlen – die perfekte erste Verteidigungslinie.

Was bauen wir?

Am Ende läuft UFW auf deinem Debian 13 mit der Grundregel „alles eingehende blocken", geöffnet sind nur SSH (dein Zugang) sowie HTTP/HTTPS (Port 80/443, die du später für Traefik brauchst). Ausgehende Verbindungen bleiben erlaubt. Das Wichtigste dabei: Wir gehen so vor, dass du dich nicht selbst aussperrst.

Voraussetzungen

• Ein abgesicherter Server mit sudo-Benutzer
• Du weißt, auf welchem Port dein SSH läuft (Standard: 22)

Schritt für Schritt

Schritt 1: UFW installieren

sudo apt update
sudo apt install -y ufw

Prüfe, welche Version du bekommen hast:

ufw version

ufw 0.36.2
Copyright 2008-2023 Canonical Ltd.

Direkt nach der Installation ist UFW noch inaktiv – das ist gewollt: Ein sofort scharfer Paketfilter ohne Freigaben würde dich aussperren. sudo ufw status bestätigt das mit Status: inactive.

Schritt 2: Grundregeln festlegen

Zuerst die Standardrichtung: alles Eingehende ablehnen, alles Ausgehende erlauben.

sudo ufw default deny incoming
sudo ufw default allow outgoing

Default incoming policy changed to 'deny'
(be sure to update your rules accordingly)
Default outgoing policy changed to 'allow'
(be sure to update your rules accordingly)

Diese Regeln greifen noch nicht – UFW ist ja inaktiv. Deshalb kommen jetzt die Ausnahmen, bevor wir einschalten.

Schritt 3: SSH freigeben – zuerst, sonst Aussperrung

Wenn dein SSH auf dem Standardport 22 läuft (und openssh-server installiert ist), gibt es dafür ein fertiges Profil:

sudo ufw allow OpenSSH

Hast du den SSH-Port geändert (z. B. auf 2222), erlaube stattdessen genau diesen Port:

sudo ufw allow 2222/tcp

Schritt 4: HTTP und HTTPS freigeben

Für den späteren Reverse Proxy mit Traefik brauchst du die Web-Ports. Öffne sie gleich mit:

sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

Jede Regel bestätigt UFW mit Rules updated und Rules updated (v6) (die IPv6-Variante).

Schritt 5: Firewall aktivieren und prüfen

Jetzt einschalten:

sudo ufw enable

Command may disrupt existing ssh connections. Proceed with operation (y|n)? y
Firewall is active and enabled on system startup

Kontrolliere das Ergebnis:

sudo ufw status verbose

Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), disabled (routed)
New profiles: skip

To                         Action      From
--                         ------      ----
22/tcp (OpenSSH)           ALLOW IN    Anywhere
80/tcp                     ALLOW IN    Anywhere
443/tcp                    ALLOW IN    Anywhere
22/tcp (OpenSSH (v6))      ALLOW IN    Anywhere (v6)
80/tcp (v6)                ALLOW IN    Anywhere (v6)
443/tcp (v6)               ALLOW IN    Anywhere (v6)

Status: active und deine drei Freigaben – fertig. Teste zur Sicherheit in einer zweiten SSH-Sitzung, dass du dich weiterhin verbinden kannst, bevor du die erste schließt.

Das disabled (routed) in der Default-Zeile ist auf einem frischen Debian normal: UFW filtert weitergeleiteten Verkehr nur, wenn im Kernel überhaupt IP-Forwarding aktiv ist. Sobald du später Docker installierst – das schaltet net.ipv4.ip_forward ein – steht dort deny (routed). Beides ist in Ordnung, es beschreibt nur unterschiedliche Ausgangslagen.

Wenn es nicht funktioniert

Wartung & Backups

• Regeln ansehen und löschen: sudo ufw status numbered nummeriert alle Regeln; sudo ufw delete 3 entfernt Regel 3. So räumst du auf, wenn ein Dienst wegfällt.
• Neue Dienste: Für jeden zusätzlichen öffentlichen Port eine gezielte Regel – nie „mal eben alles" öffnen. Was nicht offen sein muss, bleibt zu.
• Kein Backup nötig, aber notiere dir deine Freigaben (oder halte sie im selben Dokument wie deine DNS-Records fest). Der Regelsatz ist in Sekunden neu getippt.
• Grenzen kennen: UFW schützt den Host, aber nicht gegen die Docker-Lücke oben. Eine vorgelagerte Perimeter-Firewall wie die netcup-Firewall im SCP ergänzt UFW zu zwei Ebenen, die sich gegenseitig absichern – ideal, sobald Container mit offenen Ports laufen.