Authentifizierung & MFA
TOTP oder WebAuthn, OIDC-Anbindung und getrennte Rollen für Administration, Betrieb und Leserechte.
API-Token & Service-Accounts
Granulare API-Tokens mit Scope-Begrenzung, Rotation, Revocation. Keine Root-Tokens für Automatisierung.
Proxmox absichern und härten: Security-Audit
Wir prüfen Managementzugänge, Rollen, MFA, Netzwerksegmentierung, Firewall, Logging, Updateweg und Backup-Schutz und dokumentieren priorisierte Maßnahmen.
Typische Findings
Was wir in Security-Checks am häufigsten finden
Aus Health-Checks und übernommenen Umgebungen kennen wir gewachsene Proxmox-Installationen. Jedes dieser Findings ist ein vermeidbares Einfallstor.
Die Management-GUI (Port 8006) ist öffentlich aus dem Internet erreichbar
root-Login mit Passwort, ohne Zwei-Faktor-Authentifizierung
Alle Dienste in einem flachen Netz: Corosync neben VM- und Storage-Traffic
Updates seit Monaten aufgeschoben, weil ein Wartungsfenster fehlt
Skripte und Backup-Jobs laufen mit vollen root-Rechten statt API-Tokens
Sechs Schutzschichten
Was Proxmox Security umfasst
Defense in Depth: Keine einzelne Maßnahme schützt Sie. Wir kombinieren sechs Schutzschichten zu einem belastbaren Security-Konzept.
Firewall & Netzwerk-Segmentierung
Proxmox Firewall auf Cluster-, Node- und VM-Ebene. Trennung von Management-, Storage- und VM-Netzen via VLAN/SDN.
CrowdSec / Fail2Ban
Zusätzliche Erkennung und Begrenzung wiederholter Anmeldeversuche, sofern dies zur Zugangsarchitektur passt.
Audit-Logging & SIEM
Vereinbarte Admin-, Security- und Systemlogs zentral sammeln, unveränderbar aufbewahren und bei Bedarf an ein SIEM anbinden.
CVE-Monitoring & Patching
Security Advisories für PVE, Kernel und vereinbarte Komponenten bewerten und Änderungen über definierte Wartungsfenster steuern.
Baseline
Proxmox härten: die Baseline in sechs Bereichen
Proxmox bringt die Sicherheits-Werkzeuge mit, sie müssen nur konsequent genutzt werden. Unsere Baseline arbeitet die Angriffsflächen systematisch ab, mit den Bordmitteln von PVE 9.
Zugänge
Zweiter Faktor per TOTP, auf Realm-Ebene erzwungen statt optional; WebAuthn/FIDO2 als zusätzlicher, nutzerkonfigurierter Faktor. Recovery-Keys sicher verwahrt, kein Passwort-Login für root via SSH. Proxmox-DokumentationNetzwerk
Die Proxmox-Firewall auf allen drei Ebenen (Datacenter, Node, VM), Management-GUI nie öffentlich erreichbar, Corosync/Storage/Migration in getrennten Netzen oder VLANs. Proxmox-DokumentationRechte & Automatisierung
Rollenmodell über pveum statt Alle-nutzen-root; API-Tokens mit Privilege Separation (Standard bei neuen Tokens) für Skripte, Backups und CI, jeder Zugriff minimal berechtigt. Proxmox-DokumentationUpdates & Schwachstellen
Updates in Wartungsfenstern, priorisierte Behandlung kritischer Advisories und dokumentierte Bewertung für PVE, Kernel und vereinbarte Komponenten.Nachweis & Vertrauen
Echte Zertifikate statt self-signed: PVE bringt ACME/Let’s Encrypt mit automatischer Erneuerung mit. Dazu Audit-fähige Logs und dokumentierte Änderungen. Proxmox-DokumentationHärtung im Unterbau
SSH-Hardening, fail2ban/CrowdSec gegen Brute-Force, gehärtete Kernel-Parameter und AppArmor: Die Debian-Basis wird mitgehärtet, nicht nur die PVE-Schicht.
Hardening Checklist
Proxmox absichern: Maßnahmen für Cluster, VMs und Backups
Die Bausteine werden nicht pauschal gesetzt, sondern nach Architektur, Betriebsmodell und vereinbartem Audit-Scope ausgewählt.
Cluster & Host
- SSH mit Schlüsselanmeldung, begrenzten Quellen und Rate-Limiting
- Kernel- und Host-Parameter nach Zielumgebung prüfen
- Repository- und Updateweg eindeutig festlegen
- Managementzugang über VPN, Bastion oder privates Netz
- Rollen, API-Tokens und Notfallzugänge dokumentieren
VMs & Container
- Unprivilegierte Container bevorzugen und Ausnahmen prüfen
- Gast-, CPU- und Geräteberechtigungen minimal halten
- PCI-Passthrough und IOMMU-Grenzen gesondert bewerten
- Verschlüsselung passend zu Storage und Schlüsselmodell planen
- Vorlagen, Cloud-Init und Images kontrolliert pflegen
Backup & Recovery
- PBS mit client-seitiger Verschlüsselung
- Getrennte Offsite- und Unveränderbarkeitsoptionen prüfen
- Schlüssel und Wiederherstellungszugänge getrennt sichern
- Restore-Tests und Recovery-Ziele ausdrücklich vereinbaren
- Runbooks und optionale Notfallübungen dokumentieren
Wo steht Ihr Cluster?
- Cluster-Konfiguration: PVE, Corosync, Quorum
- Netzwerk & Firewall: VLAN, SDN, FW Rules
- IAM & Berechtigungen: RBAC, MFA, API-Tokens
- Backup & Recovery: PBS, Offsite, Restore-Tests
- Patching & CVEs: Update-Status, bekannte CVEs
- Audit-Logs: Logging, SIEM, Retention
Bevor wir härten, machen wir einen strukturierten Security-Audit Ihres bestehenden Setups. Sie bekommen einen Report mit konkreten Findings, priorisiert nach Risiko, und einen Maßnahmenplan mit Aufwand-Schätzung.
- HochGUI öffentlich erreichbar
- MittelBackup-Jobs mit root-Rechten
- Niedrigself-signed Zertifikat
Security Audit
Erst messen, dann härten
Ein strukturierter Security-Check zeigt, wo Ihre Umgebung heute steht. Danach härten wir gezielt und dokumentiert. Im Managed Betrieb überwachen und pflegen wir die vereinbarten Teile der Baseline fortlaufend.
Andere Wege
Support nach AufwandProxmox-Support ohne Vertrag
Aufgabe beschreiben und Leistungsumfang sowie Vergütung abstimmen.
Aufgabe beschreiben →Für BerufsgeheimnisträgerProxmox in der §203 Managed Cloud betreiben
Wenn Proxmox Mandanten-, Patienten- oder andere Berufsgeheimnisse verarbeitet, plant WZ-IT Anwendung, Infrastruktur, Zugriffe, Backups und laufenden Betrieb innerhalb eines darauf zugeschnittenen Betriebsmodells.
§203 Managed Cloud ansehen →Häufig gestellte Fragen
Antworten auf die wichtigsten Fragen
- Nein. Die Rust-basierte nftables-Firewall (proxmox-firewall) ist seit PVE 8.2 Tech Preview und auch in PVE 9.2 noch nicht für den Produktivbetrieb freigegeben. Wir setzen produktiv auf die etablierte Proxmox-Firewall auf allen drei Ebenen und stellen um, sobald Proxmox die neue Implementierung für stabil erklärt.
- Ja. Stand Oktober 2026 unterstützt Proxmox TOTP, WebAuthn/FIDO2 und Recovery-Keys. Auf Realm-Ebene lassen sich TOTP oder YubiKey OTP erzwingen; Nutzer dieser Realm benötigen dann einen konfigurierten zweiten Faktor (Dokumentation). In der Härtungs-Baseline erzwingen wir den zweiten Faktor auf Realm-Ebene; Recovery-Keys werden sicher außerhalb des Clusters verwahrt.
- Eine Standardinstallation ist nicht automatisch auf das konkrete Schutzprofil einer produktiven Umgebung abgestimmt. Wir prüfen unter anderem Exposition der Managementoberfläche, MFA, Rollen, Firewall, Logging, Updateweg und Backup-Schutz und leiten daraus die erforderlichen Maßnahmen ab.
- Ein vollständiger Security-Audit (Cluster-Konfiguration, Netzwerk, IAM, Backup, Patching, Logging) kostet ab 1.490 €. Sie erhalten einen detaillierten Report mit priorisierten Findings, Risiko-Bewertung und konkretem Maßnahmenplan. Die Umsetzung der Findings ist optional nach Aufwand, als Stundenpaket mit 10, 25 oder 50 Stunden oder als Festpreis-Projekt.
- Die Baseline orientiert sich an der offiziellen Proxmox-Dokumentation, am Hardening des zugrunde liegenden Linux-Systems und an den für die konkrete Organisation relevanten Sicherheitsanforderungen. Eine Zuordnung zu BSI IT-Grundschutz, ISO 27001 oder branchenspezifischen Vorgaben wird nur im ausdrücklich vereinbarten Scope vorgenommen.
- Netzwerksegmentierung und Firewall-Regeln können laterale Bewegungen begrenzen, ersetzen aber weder die Absicherung der Gastsysteme noch Backup- und Recovery-Maßnahmen. Schutzwirkung und Betriebsgrenzen werden deshalb über mehrere Ebenen geplant.
- Reguläre Updates werden in vereinbarten Wartungsintervallen geplant. Bei kritischen Schwachstellen bewerten wir Betroffenheit, verfügbare Gegenmaßnahmen und Betriebsrisiko und priorisieren geeignete Patches. Reaktionsziel und weitergehende Incident-Bearbeitung richten sich nach dem vereinbarten Service Level.
- Wir bieten White-Box-Audits mit Konfigurations-Review, aber keinen klassischen Penetrationstest. Wenn ein externer Pentest benötigt wird, grenzen wir den technischen Scope ab und können Findings anschließend dokumentiert einordnen und beheben.
- Prüfen Sie sechs Bereiche: Zugänge mit MFA, getrennte Netze und Firewall, minimale Rollen und API-Rechte, Updates und Schwachstellen, Zertifikate und Logs sowie den Linux-Unterbau. Backups und Wiederherstellung werden separat abgesichert. Die Hardening-Checkliste ordnet die Maßnahmen.
- Managementzugänge nicht öffentlich anbieten, sondern über VPN oder Bastion und begrenzte Quellnetze. Für SSH Schlüsselanmeldung verwenden und den Rückfallzugang vor dem Abschalten der Passwortanmeldung prüfen. Für die Weboberfläche MFA erzwingen und Recovery-Keys getrennt verwahren.
Wissen
Weiterführende Proxmox-Guides
Vertiefendes Wissen aus unserer Proxmox-Wissensdatenbank.
Guides
- Proxmox absichern und härtenCheckliste für Zugänge, Firewall, Rechte und Backups.
- Verschlüsselte BackupsClient-seitige Verschlüsselung mit PBS und Hetzner Storage Box.
- PVE 8 → 9 UpgradeSicherer Upgrade-Pfad mit Checkliste und Rollback-Plan.
- Was ist der Proxmox Backup Server?Deduplizierung, Verschlüsselung und Restore-Tests im Überblick.
- Nachteile & Eignung von ProxmoxTechnische Grenzen und passende Einsatzbereiche.
Verwandte Tutorials & Guides
- CWPdoor: Hintertür im Control Web Panel erkennen und bereinigenAm 5. November 2026 hat das Forschungsteam XLab von QiAnXin die Hintertür CWPdoor im Control Web Panel (CWP, früher CentOS Web Panel) veröffentlicht. Sie steckt...
- Linux-Kernel-TCP-Sicherheitslücke CVE-2026-98432: Proxmox-Kernel-Update, Debian und Ubuntu patchenAm 15. Oktober 2026 hat die Linux-Kernel-CNA die Sicherheitslücke CVE-2026-98432 veröffentlicht: ein Use-after-free im IPv4-TCP-Verbindungsaufbau, bewertet mit CVSS 3.1 9.8. Betroffen sind Kernel ab Version...
- PHP-Update 8.5.12, 8.4.27, 8.3.36 und 8.2.35: CVE-2026-109618 und CVE-2026-109619 (PHP2Shell), betroffene Software und MaßnahmenPHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 beheben zwei kritische Schwachstellen, die unangemeldete Codeausführung aus der Ferne ermöglichen können: CVE-2026-109618 und CVE-2026-109619, jeweils CVSS 4.0 9,2,...
- CRA-Meldepflicht ab 11. September 2026: Wer meldet, was und wannAm 11. September 2026 tritt die erste operative Pflicht des Cyber Resilience Act in Kraft. Sie ist eng zugeschnitten: Es geht ausschließlich um Meldungen, nicht...
- Metabase-Notfallpatch: SQL-Injection mit CVSS 10.0 wird aktiv ausgenutztMetabase hat am 6. August 2026 zwei kritische Schwachstellen geschlossen. Die schwerwiegendere trägt CVSS 10.0 und wird laut Hersteller aktiv ausgenutzt: Ein nicht authentifizierter Angreifer...
- pedit COW & DirtyClone: zwei kritische Linux-Kernel-Lücken 2026Innerhalb weniger Wochen sind 2026 zwei Linux-Kernel-Lücken zur lokalen Rechteausweitung veröffentlicht worden, die nach demselben Muster funktionieren: CVE-2026-46331 (Spitzname „pedit COW") und CVE-2026-43503 (von den...
- OPNsense 26.1.8: Zwei kritische RCE-Lücken (CVE-2026-44194 & 45158), vier signifikante CVEs in zwölf TagenAm 12. Mai 2026 hat das OPNsense-Team mit Version 26.1.8 zwei kritische Remote-Code-Execution-Lücken geschlossen. CVE-2026-44194 (CVSS 9.1, GitHub-Advisory GHSA-f59w-m967-9rf6) erlaubt einem authentifizierten User mit user-management-Berechtigung...
- cPanel CVE-2026-41940: 44.000 Server kompromittiert — was Unternehmen mit Shared-Hosting jetzt tun müssenEine cPanel-Lücke, die seit dem 23. Februar 2026 aktiv ausgenutzt wird, wird am 28. April 2026 offiziell disclosed. Bis zum 5. Mai sind über 44.000...
- Linux-Kernel-Schwachstellen 2026: Warum Patch-Management jetzt Chefsache ist (Dirty Frag, Copy Fail & Co.)Drei kritische Local-Privilege-Escalation-Lücken im Linux-Kernel innerhalb von zwei Wochen — alle drei seit neun bis zwölf Jahren im Code. Eine ist bereits aktiv ausgenutzt und...
- Proxmox Backup Server 4.2: S3-Storage ist raus aus der Tech Preview - was man wissen mussMit Proxmox Backup Server 4.2 (veröffentlicht Ende April 2026) ist S3-kompatibles Object Storage offiziell als Backup-Backend unterstützt. Kein Tech-Preview-Label mehr, keine experimentellen Warnungen. Aber: es...
- CVSS 9.9, CVSS 10.0, 1.5 Mio. Server betroffen: Warum Unternehmen CVE-Monitoring brauchenDrei Zahlen aus den letzten vier Monaten: - CVSS 9.9 — Jellyfin: Path Traversal → Remote Code Execution als Root - CVSS 10.0 — n8n:...
Bewertungen & Projekte
Proxmox-Erfahrungen aus echten Projekten
Kundenstimmen zu Virtualisierung, Backup, VPN, Security und laufendem Cluster-Betrieb.
Vernetzung & Provisioning
WZ-IT hat unsere Studio-Infrastruktur von dezentralen Einzelgeräten auf eine zentrale Plattform gehoben: Jeder Standort ist per VPN sicher angebunden, neue Geräte werden automatisiert onboardet und ein kompletter Standort wird per Vorlage provisioniert - ohne manuelle Schritte vor Ort. Was mich am meisten beeindruckt hat, ist die Breite und Tiefe des Wissens: Timo und Robin sind kein normaler IT-Dienstleister, der einen Server aufsetzt und wieder geht. Die beiden denken sich in hochkomplexe Infrastruktur- und Softwarethemen rein, arbeiten sich in jede Anforderung ein, die wir ihnen hinlegen, und bauen Vernetzung, Provisioning und Betrieb so auf, dass am Ende alles zusammenpasst. WZ-IT ist ein hervorragender Partner, wenn es um komplexe Software-, Netzwerk- und Architekturprojekte geht.
Steve KirchnerGeschäftsführer, nextGYM GmbH
International
Gebaut im Ruhrgebiet. Produktiv weltweit.
WZ-IT plant, entwickelt und betreibt Infrastruktur und Software für Kunden in Deutschland und international. Projekte setzen wir remote um und begleiten sie auch nach dem Go-live im laufenden Betrieb.
Ausgewählte Projekte
- LiveRemote-Access-Plattform für verteilte WasseraufbereitungsanlagenABCO Water Systems · Australien · Secure Access & OT
- 81%AWS-Migration mit deutlich geringeren laufenden KostenEVA Real Estate · VAE · Cloud-Exit & Infrastruktur
- 98%Neue Standorte in Minuten statt Stunden bereitstellennextGYM GmbH · Deutschland · Automatisierung & IoT
Kundenstimmen ansehen
Anfrage
Proxmox-Sicherheitsumfang einordnen
Beschreiben Sie Managementzugänge, Netzgrenzen und den aktuellen Absicherungsstand.
- Direkt mit Timo und Robin - kein Vertrieb, kein Sales-Pitch
- Fachliche Einschätzung Ihrer Situation
- Konkrete nächste Schritte für Infrastruktur, Software oder KI
Das Gespräch ist unverbindlich und kostenlos.
Die Beratung von WZ-IT zu unserer Azure-Migration war schon im Erstgespräch fachlich sehr fundiert und völlig unverbindlich - wir haben eine Menge mitgenommen.
Jakob ÖschlbergerInno7 GmbH
Die Beratung von WZ-IT zu unserer Azure-Migration war schon im Erstgespräch fachlich sehr fundiert und völlig unverbindlich - wir haben eine Menge mitgenommen.