{"id":2099,"date":"2026-02-26T06:45:24","date_gmt":"2026-02-26T06:45:24","guid":{"rendered":"https:\/\/ghanim-solution.de\/?p=2099"},"modified":"2026-02-26T07:31:38","modified_gmt":"2026-02-26T07:31:38","slug":"authentifizierung-2fa-fur-debian-uber-ssh-einrichten-google-authenticator-totp","status":"publish","type":"post","link":"https:\/\/ghanim-solution.de\/index.php\/2026\/02\/26\/authentifizierung-2fa-fur-debian-uber-ssh-einrichten-google-authenticator-totp\/","title":{"rendered":"Authentifizierung (2FA) f\u00fcr Debian \u00fcber SSH einrichten (Google Authenticator \/ TOTP)"},"content":{"rendered":"\n

Wenn dein Debian-Server<\/strong> (oder Raspberry Pi OS<\/strong>) per SSH erreichbar ist, solltest du ihn unbedingt zus\u00e4tzlich absichern.
Mit 2-Faktor-Authentifizierung (2FA)<\/strong> sch\u00fctzt du dein System selbst dann, wenn jemand dein Passwort kennt.<\/p>\n\n\n\n

F\u00fcr Debian nutzt man daf\u00fcr meist den Google Authenticator<\/strong>.
Wichtig: Du brauchst kein Google-Konto<\/strong> \u2013 es handelt sich um den offenen Standard TOTP (Time-based One-Time Password)<\/strong>.<\/p>\n\n\n\n

Hier kommt die vollst\u00e4ndige Schritt-f\u00fcr-Schritt-Anleitung zur Absicherung von SSH mit 2FA.<\/p>\n\n\n\n

\u2705 Voraussetzungen<\/h2>\n\n\n\n
    \n
  • Debian Server oder Raspberry Pi OS<\/li>\n\n\n\n
  • SSH-Zugang funktioniert bereits<\/li>\n\n\n\n
  • Ein Smartphone mit einer TOTP-App (z. B. Google Authenticator, Authy oder Bitwarden)<\/li>\n<\/ul>\n\n\n\n

    1\ufe0f\u20e3 Ben\u00f6tigtes PAM-Modul installieren<\/h2>\n\n\n\n

    Zuerst installierst du das Google-Authenticator-PAM-Modul:
    <\/p>\n\n\n\n

     sudo apt update sudo apt install libpam-google-authenticator <\/code><\/pre>\n\n\n\n
    <\/p>\n\n\n\n
    <\/p>\n\n\n\n
    2\ufe0f\u20e3 2FA f\u00fcr deinen Benutzer einrichten<\/h2>\n\n\n\n
    \u26a0 Wichtig:
    F\u00fchre diesen Schritt mit dem Benutzer aus, mit dem du dich sp\u00e4ter per SSH einloggst<\/strong> \u2013 NICHT als root.<\/p>\n\n\n\n
    Starte das Setup:<\/p>\n\n\n\n
     google-authenticator <\/code><\/pre>\n\n\n\n
    <\/p>\n\n\n\n
    Beantworte die Fragen wie folgt:<\/h3>\n\n\n\n
    Frage<\/th>Antwort<\/th>Empfehlung<\/th><\/tr><\/thead>
    Do you want authentication tokens to be time-based?<\/td>y<\/code><\/td>Standard TOTP<\/td><\/tr>
    QR-Code anzeigen?<\/td>Scannen<\/td>Mit deiner Authenticator-App<\/td><\/tr>
    Emergency scratch codes<\/td>Aufschreiben!<\/td>Backup bei Handyverlust<\/td><\/tr>
    Update your .google_authenticator file?<\/td>y<\/code><\/td>Speichert Konfiguration<\/td><\/tr>
    Disallow multiple uses of the same token?<\/td>y<\/code><\/td>Schutz vor Replay<\/td><\/tr>
    Increase time window?<\/td>n<\/code><\/td>Nur bei falscher Systemzeit<\/td><\/tr>
    Enable rate-limiting?<\/td>y<\/code><\/td>Schutz vor Brute-Force<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n
    Nach Abschluss wird die Datei .google_authenticator<\/code> im Home-Verzeichnis gespeichert.
    <\/p>\n\n\n\n
    3\ufe0f\u20e3 PAM f\u00fcr SSH aktivieren<\/h2>\n\n\n\n
    Jetzt bringen wir SSH bei, 2FA zu verwenden.<\/p>\n\n\n\n
    \u00d6ffne die PAM-Konfiguration:<\/p>\n\n\n\n
     sudo nano \/etc\/pam.d\/sshd <\/code><\/pre>\n\n\n\n
    F\u00fcge ganz oben (oder direkt unter @include common-auth<\/code>) folgende Zeile ein:<\/p>\n\n\n\n
     auth required pam_google_authenticator.so <\/code><\/pre>\n\n\n\n
    Datei speichern.<\/p>\n\n\n\n
    4\ufe0f\u20e3 SSH-Daemon konfigurieren<\/h2>\n\n\n\n
    \u00d6ffne die SSH-Konfigurationsdatei:<\/p>\n\n\n\n
     sudo nano \/etc\/ssh\/sshd_config <\/code><\/pre>\n\n\n\n
    Suche folgende Eintr\u00e4ge und stelle sicher, dass sie so gesetzt sind:<\/p>\n\n\n\n
     UsePAM yes KbdInteractiveAuthentication yes <\/code><\/pre>\n\n\n\n
    \n
    Hinweis: In \u00e4lteren Debian-Versionen hei\u00dft die Option ChallengeResponseAuthentication<\/code>.<\/p>\n<\/blockquote>\n\n\n\n
    Optional \u2013 wenn du Passwort + 2FA erzwingen willst, stelle sicher:<\/p>\n\n\n\n
     PasswordAuthentication yes <\/code><\/pre>\n\n\n\n
    Speichern und schlie\u00dfen.<\/p>\n\n\n\n
    5\ufe0f\u20e3 SSH-Dienst neu starten<\/h2>\n\n\n\n
     sudo systemctl restart ssh <\/code><\/pre>\n\n\n\n
    <\/p>\n\n\n\n
    \u26a0\ufe0f WICHTIG: Sicherheitstest durchf\u00fchren<\/h2>\n\n\n\n
    Schlie\u00dfe deine aktuelle SSH-Verbindung NICHT!<\/strong><\/p>\n\n\n\n
    Stattdessen:<\/p>\n\n\n\n
      \n
    1. \u00d6ffne ein neues Terminal-Fenster<\/li>\n\n\n\n
    2. Verbinde dich erneut per SSH<\/li>\n\n\n\n
    3. Teste den Login<\/li>\n<\/ol>\n\n\n\n
      Wenn alles korrekt funktioniert:<\/p>\n\n\n\n
        \n
      1. Passwort eingeben<\/li>\n\n\n\n
      2. Danach erscheint: Verification code:<\/code><\/li>\n\n\n\n
      3. 6-stelligen Code aus deiner Authenticator-App eingeben<\/li>\n<\/ol>\n\n\n\n
        Erst wenn das erfolgreich funktioniert, kannst du das alte Terminal schlie\u00dfen.<\/p>\n\n\n\n
        \ud83d\udd10 Optional: Noch sicherer machen (Empfohlen)<\/h2>\n\n\n\n
        F\u00fcr maximale Sicherheit kannst du zus\u00e4tzlich:<\/p>\n\n\n\n
        Nur SSH-Key + 2FA erlauben<\/h3>\n\n\n\n
        In \/etc\/ssh\/sshd_config<\/code>:<\/p>\n\n\n\n
         PasswordAuthentication no AuthenticationMethods publickey,keyboard-interactive <\/code><\/pre>\n\n\n\n
        Dann neu starten:<\/p>\n\n\n\n
         sudo systemctl restart ssh <\/code><\/pre>\n\n\n\n
        Damit brauchst du:<\/p>\n\n\n\n
          \n
        • SSH-Key<\/li>\n\n\n\n
        • UND 2FA-Code<\/li>\n<\/ul>\n\n\n\n
          Das ist extrem sicher.<\/p>\n\n\n\n
          \ud83d\udee1 Fehlerbehebung<\/h2>\n\n\n\n
          2FA wird nicht abgefragt?<\/h3>\n\n\n\n
          Pr\u00fcfe:<\/p>\n\n\n\n
           sudo sshd -t <\/code><\/pre>\n\n\n\n
          Wenn keine Fehler angezeigt werden, ist die Konfiguration syntaktisch korrekt.<\/p>\n\n\n\n
          \ud83c\udfaf Fazit<\/h2>\n\n\n\n
          Mit wenigen Schritten hast du:<\/p>\n\n\n\n
            \n
          • Brute-Force-Angriffe stark reduziert<\/li>\n\n\n\n
          • Passwortdiebstahl abgesichert<\/li>\n\n\n\n
          • Deinen Debian-Server professionell geh\u00e4rtet<\/li>\n<\/ul>\n\n\n\n
            2FA \u00fcber SSH ist heute ein Sicherheitsstandard \u2013 besonders bei \u00f6ffentlich erreichbaren Servern.
            <\/p>\n","protected":false},"excerpt":{"rendered":"
            Wenn dein Debian-Server (oder Raspberry Pi OS) per SSH erreichbar ist, solltest du ihn unbedingt zus\u00e4tzlich absichern.Mit 2-Faktor-Authentifizierung (2FA) sch\u00fctzt du dein System selbst dann, wenn jemand dein Passwort kennt. F\u00fcr Debian nutzt man daf\u00fcr meist den Google Authenticator.Wichtig: Du brauchst kein Google-Konto \u2013 es handelt sich um den offenen Standard TOTP (Time-based One-Time Password). […]<\/p>\n","protected":false},"author":1,"featured_media":2102,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-2099","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-uncategorised"],"_links":{"self":[{"href":"https:\/\/ghanim-solution.de\/index.php\/wp-json\/wp\/v2\/posts\/2099","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/ghanim-solution.de\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/ghanim-solution.de\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/ghanim-solution.de\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/ghanim-solution.de\/index.php\/wp-json\/wp\/v2\/comments?post=2099"}],"version-history":[{"count":1,"href":"https:\/\/ghanim-solution.de\/index.php\/wp-json\/wp\/v2\/posts\/2099\/revisions"}],"predecessor-version":[{"id":2100,"href":"https:\/\/ghanim-solution.de\/index.php\/wp-json\/wp\/v2\/posts\/2099\/revisions\/2100"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/ghanim-solution.de\/index.php\/wp-json\/wp\/v2\/media\/2102"}],"wp:attachment":[{"href":"https:\/\/ghanim-solution.de\/index.php\/wp-json\/wp\/v2\/media?parent=2099"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/ghanim-solution.de\/index.php\/wp-json\/wp\/v2\/categories?post=2099"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/ghanim-solution.de\/index.php\/wp-json\/wp\/v2\/tags?post=2099"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}