Root- und Benutzerpasswort auf einem Linux-VPS ändern

Ein starkes, regelmäßig erneuertes Passwort ist die erste Verteidigungslinie Ihres VPS Linux Infrawire. In Ihrem Kundenbereich finden Sie die IP und das Root-Passwort des VPS; dieses Passwort sollten Sie nach der ersten Anmeldung ändern. Diese Anleitung behandelt das Ändern von Passwörtern, Ablauf und Richtlinien, das Sperren von Konten und die Wiederherstellung eines verlorenen Root-Passworts.

📋 Voraussetzungen

Ein Linux-VPS (Ubuntu 24.04, Debian 12, AlmaLinux 9 oder Rocky Linux 9)
SSH-Zugang als root oder als Benutzer mit sudo
Für die Wiederherstellung: Zugriff auf die VPS-Konsole (VNC) oder einen Rescue-Modus

1. Das Root-Passwort ändern

Als root angemeldet:

Bash
1passwd

Mit sudo:

Bash
1sudo passwd root

Geben Sie das neue Passwort zweimal ein; bei der Eingabe wird nichts angezeigt. Verwenden Sie mindestens 14 Zeichen oder besser eine Passphrase aus einem Passwortmanager.

2. Das Passwort eines anderen Benutzers ändern

Bash
1sudo passwd USER

Ein normaler Benutzer ändert sein eigenes Passwort mit passwd allein; dabei wird zuerst das aktuelle Passwort abgefragt. Um einen Benutzer zu zwingen, bei der nächsten Anmeldung ein neues zu wählen:

Bash
1sudo passwd -e USER

3. Passwörter in Skripten mit chpasswd setzen

chpasswd liest Zeilen der Form benutzer:passwort von der Standardeingabe, was für die Automatisierung nützlich ist:

Bash
1read -r -s -p "Neues Passwort: " PW; echo
2echo "USER:$PW" | sudo chpasswd
3unset PW

Vermeiden Sie es, das Passwort direkt im Befehl zu tippen: Es bliebe in ~/.bash_history und wäre in der Prozessliste sichtbar.

4. Ablauf und Passwortrichtlinie

Anzeigen und Festlegen der Alterungsregeln mit chage:

Bash
1sudo chage -l USER                  # aktuelle Richtlinie anzeigen
2sudo chage -M 90 -W 7 USER          # maximales Alter 90 Tage, Warnung 7 Tage vorher

Um Komplexität zu erzwingen, installieren Sie das Qualitätsmodul:

Bash
1# Ubuntu / Debian
2sudo apt install -y libpam-pwquality
3
4# AlmaLinux / Rocky
5sudo dnf install -y libpwquality

Bearbeiten Sie dann /etc/security/pwquality.conf:

INI
minlen = 12
minclass = 3
retry = 3

Die Regeln gelten für normale Benutzer. Root kann sie umgehen, bleiben Sie also diszipliniert.

5. Ein Konto sperren und entsperren

Bash
1sudo passwd -l USER       # Passwort sperren
2sudo passwd -u USER       # entsperren
3sudo chage -E 0 USER      # Konto sofort ablaufen lassen
4sudo chage -E -1 USER     # Ablaufdatum entfernen

Das Sperren des Passworts verhindert keine Anmeldung per SSH-Schlüssel. Um die Anmeldung vollständig zu deaktivieren, setzen Sie zusätzlich die Shell auf /usr/sbin/nologin mit sudo usermod -s /usr/sbin/nologin USER.

6. Ein vergessenes Root-Passwort wiederherstellen

Öffnen Sie die VNC-Konsole des VPS (oder starten Sie den Rescue-Modus) und booten Sie neu. Drücken Sie im GRUB-Menü e, suchen Sie die mit linux beginnende Zeile und hängen Sie am Ende an:

Bash
1init=/bin/bash

Drücken Sie Ctrl+X zum Starten und führen Sie dann aus:

Bash
1mount -o remount,rw /
2passwd root
3sync
4exec /sbin/init

Unter AlmaLinux und Rocky fügen Sie stattdessen rd.break hinzu und führen dann mount -o remount,rw /sysroot, chroot /sysroot, passwd root, touch /.autorelabel aus und beenden die Shell zweimal. Im Rescue-Modus hängen Sie die Systemplatte ein, führen chroot /mnt und dann passwd root aus.

7. Überprüfen

Bash
1sudo passwd -S USER
2sudo chage -l USER

P bedeutet ein nutzbares Passwort, L ein gesperrtes. Öffnen Sie eine zweite SSH-Sitzung, um zu bestätigen, dass das neue Passwort funktioniert, bevor Sie die erste schließen.

🔧 Fehlerbehebung

„Authentication token manipulation error“
Das Dateisystem ist schreibgeschützt, typischerweise im Wiederherstellungsmodus. Führen Sie mount -o remount,rw / aus und versuchen Sie es erneut.

„BAD PASSWORD: The password fails the dictionary check“
Die Richtlinie lehnt ein schwaches Passwort ab. Wählen Sie ein längeres mit mehreren Zeichenklassen.

SSH lehnt das neue Root-Passwort weiterhin ab
Prüfen Sie sudo grep -E 'PermitRootLogin|PasswordAuthentication' /etc/ssh/sshd_config und die Dateien in /etc/ssh/sshd_config.d/. Die Passwort-Anmeldung kann zugunsten von Schlüsseln deaktiviert sein.

Nach einer Wiederherstellung unter SELinux ausgesperrt
Unter AlmaLinux oder Rocky lässt ein fehlendes touch /.autorelabel die Anmeldung scheitern. Wiederholen Sie die Wiederherstellung und legen Sie die Datei an.

🔒 Ihre Konten sind jetzt mit starken Passwörtern, sinnvollem Ablauf und einem Wiederherstellungsweg geschützt, den Sie anwenden können.