Proxmox VE: Sicherheit mit Rollen, 2FA, Firewall und Updates
Auf einen Blick
| Gilt für | Proxmox VE 9.x (aktuelle 9.2), Einzelknoten und Cluster; Anmeldung über PAM, PVE, LDAP, Active Directory und OpenID Connect (z. B. Entra ID) |
|---|---|
| Bereich | Server-Software |
| Dauer | ca. 2–4 Stunden für Rechtekonzept, 2FA, Firewall und Zertifikate |
| Rechte | root@pam bzw. Administrator in Proxmox VE, Zugriff auf Entra ID und Netzwerk |
| Stand | Oktober 2026 |
Proxmox VE absichern mit Rollen, 2FA, Firewall und Updates bedeutet, Anmeldung, Rechte, Netzzugriff und Patchstand des Hypervisors systematisch zu härten. Dieser Artikel zeigt Realms bis hin zu Entra ID, ein Rollenkonzept mit Gruppen, Pools und API-Tokens, Zwei-Faktor-Anmeldung, die Proxmox-Firewall auf allen Ebenen, ein getrenntes Management-Netz mit gültigem Zertifikat sowie Updates, Benachrichtigungen und die Anbindung an ein SIEM.
Anmeldung: Realms von PAM bis Entra ID
Proxmox VE kennt mehrere Anmeldequellen (Realms), konfiguriert unter Datacenter › Permissions › Realms:
| Realm | Benutzer stammen aus | Einsatz |
|---|---|---|
| Linux PAM (pam) | lokalen Linux-Konten des Knotens | nur root@pam für Notfälle; lässt sich nicht entfernen |
| Proxmox VE (pve) | eigener Benutzerdatenbank im Cluster | Dienstkonten, kleine Umgebungen ohne Verzeichnisdienst |
| LDAP | LDAP-Verzeichnis | z. B. OpenLDAP, FreeIPA |
| Active Directory (ad) | Windows-Domäne | Anmeldung mit Domänenkonto, Gruppen-Sync |
| OpenID Connect (openid) | Identity Provider | z. B. Microsoft Entra ID, Keycloak; Single Sign-On mit MFA des Providers |
Entra ID per OpenID Connect: In Entra ID eine App-Registrierung mit Redirect-URI auf die Proxmox-Adresse (z. B. https://pve.firma.lan:8006) und einem Client-Secret anlegen. Dann in Proxmox den Realm hinzufügen:
pveum realm add entra --type openid \
--issuer-url https://login.microsoftonline.com/<Tenant-ID>/v2.0 \
--client-id <Application-ID> --client-key <Client-Secret> \
--username-claim email --autocreate 1
Mit Groups Claim und groups-autocreate lassen sich Gruppen aus dem Token übernehmen. Die Mehr-Faktor-Anmeldung erzwingen Sie dann zentral per Conditional Access in Entra ID. Bei LDAP und Active Directory gleicht pveum realm sync <realm> Benutzer und Gruppen ab (mit --dry-run vorher testen).
root nicht im Alltag: Jeder Administrator erhält ein persönliches Konto. root@pam bekommt ein langes, im Passwortmanager hinterlegtes Passwort plus 2FA und wird nur für Notfälle, Clusterbeitritt und Arbeiten genutzt, die zwingend root erfordern. So bleiben Änderungen im Protokoll einer Person zuordenbar.
Rollen, Gruppen, Pools und API-Tokens
Rechte vergibt Proxmox als Dreiklang aus Pfad (z. B. /, /vms/100, /storage/local, /pool/buchhaltung), Benutzer, Gruppe oder Token und Rolle. Rechte vererben sich nach unten; Benutzerrechte gehen vor Gruppenrechten, und NoAccess hebt alle anderen Rollen auf einem Pfad auf. Gemäß Least Privilege Rechte immer an Gruppen und möglichst tief im Baum vergeben.
| Rolle | Zweck |
|---|---|
| Administrator | alle Rechte – nur für die Admin-Gruppe |
| PVEAdmin | fast alles, aber keine System- und Rechteeinstellungen |
| PVEAuditor | nur lesen – für Revision, Monitoring, Dienstleister |
| PVEVMAdmin | VMs vollständig verwalten |
| PVEVMUser | VMs nutzen: Konsole, Start/Stopp, Backup |
| PVEPoolAdmin | Pools und deren Inhalte verwalten |
| PVEDatastoreUser | Speicherplatz belegen und Backups anlegen |
| NoAccess | Zugriff ausdrücklich entziehen |
# Gruppe für Administratoren und Rechte auf die Wurzel
pveum group add admins --comment "IT-Administration"
pveum acl modify / -group admins -role Administrator
# Pool für eine Abteilung und eingeschränkte Rechte für deren Betreuer
pveum pool add buchhaltung --comment "VMs der Buchhaltung"
pveum group add buha-betreuer
pveum acl modify /pool/buchhaltung -group buha-betreuer -role PVEVMUser
# Lesezugriff für einen externen Prüfer
pveum acl modify / -user pruefer@pve -role PVEAuditor
Pools fassen VMs, Container und Storage zusammen; Rechte auf /pool/<name> gelten für alle Mitglieder. Eigene Rollen sind möglich, dürfen aber nicht mit PVE beginnen, z. B. pveum role add VM_PowerOnly --privs "VM.PowerMgmt VM.Console".
API-Tokens ersetzen Passwörter in Skripten, Monitoring (z. B. Zabbix, Grafana) oder Automatisierung. Standard ist Privilege Separation: Das Token hat nur die Rechte, die ihm selbst zugewiesen sind, und nie mehr als sein Benutzer. Tokens können ein Ablaufdatum bekommen; das Geheimnis wird nur einmal angezeigt.
pveum user token add monitor@pve zabbix -privsep 1
pveum acl modify / -token 'monitor@pve!zabbix' -role PVEAuditor
Tokens mit voller Rechteübernahme (privsep 0) und Tokens von root@pam vermeiden.
Zwei-Faktor-Anmeldung mit TOTP und WebAuthn
Jeder Benutzer richtet seine Faktoren unter Datacenter › Permissions › Two Factor ein (Administratoren auch für andere):
- TOTP: Einmalcodes aus einer Authenticator-App – einfach und überall nutzbar.
- WebAuthn: Hardware-Sicherheitsschlüssel (FIDO2) oder Plattform-Authenticator, phishing-resistent. Voraussetzung ist ein vertrauenswürdiges HTTPS-Zertifikat und die Einstellung unter Datacenter › Options › WebAuthn Settings (Relying Party, Origin, ID); diese später nicht mehr ändern, sonst funktionieren registrierte Schlüssel nicht mehr.
- Recovery Keys: Einmal-Wiederherstellungsschlüssel für den Fall, dass der zweite Faktor verloren geht – ausdrucken und im Tresor ablegen.
Nach acht fehlgeschlagenen TOTP-Versuchen sperrt Proxmox die TOTP-Faktoren des Kontos; nach 100 Fehlversuchen mit WebAuthn oder Recovery Keys sind alle zweiten Faktoren eine Stunde gesperrt. Entsperren mit pveum user tfa unlock benutzer@pve. Für Realms lässt sich TOTP oder Yubico OTP auch erzwingen. Bei OpenID Connect übernimmt der Identity Provider die Zwei-Faktor-Authentifizierung.
Proxmox-Firewall auf Datacenter-, Node- und VM-Ebene
Die Proxmox-Firewall ist verteilt: Jeder Knoten filtert selbst, die Regeln liegen clusterweit unter /etc/pve/firewall/. Sie ist ab Werk deaktiviert.
| Ebene | Menü | Datei |
|---|---|---|
| Datacenter | Datacenter › Firewall | /etc/pve/firewall/cluster.fw
|
| Node | Knotenname › Firewall | /etc/pve/nodes/<Knoten>/host.fw
|
| VM/Container | VM › Firewall | /etc/pve/firewall/<VMID>.fw
|
Vorgehen ohne Aussperren:
- Vor dem Aktivieren eine SSH-Sitzung zu einem Knoten offen halten.
- Unter Datacenter › Firewall › IPSet das IPSet management mit den Admin-Netzen anlegen; daraus erzeugt Proxmox die Regeln für Weboberfläche und SSH. Das lokale Clusternetz ist automatisch erlaubt.
- Erst dann unter Datacenter › Firewall › Options die Firewall einschalten.
Security Groups bündeln Regeln für wiederkehrende Rollen und werden in VMs referenziert; IPSets fassen Adressen zusammen (mit +name in Regeln). Das IPSet blacklist wird überall verworfen, ipfilter-net0 je VM verhindert IP-Spoofing.
# /etc/pve/firewall/cluster.fw (Auszug)
[OPTIONS]
enable: 1
[IPSET management]
10.99.0.0/24 # Admin-Netz
[IPSET admin-netze]
10.99.0.0/24
[group webserver]
IN HTTPS(ACCEPT)
IN HTTP(ACCEPT)
IN SSH(ACCEPT) -source +admin-netze
In der VM aktivieren Sie die Firewall unter VM › Firewall › Options, setzen das Häkchen Firewall an der Netzwerkkarte und fügen die Gruppe per Insert: Security Group ein (in der Datei: GROUP webserver).
| Port | Dienst |
|---|---|
| TCP 8006 | Weboberfläche und API |
| TCP 22 | SSH, auch für Clusteraktionen |
| TCP 5900–5999 | VNC-Konsole |
| TCP 3128 | SPICE-Proxy |
| UDP 5405–5412 | Corosync |
| TCP 60000–60050 | Live-Migration |
nftables: Neben der klassischen iptables-Firewall gibt es die nftables-basierte proxmox-firewall (apt install proxmox-firewall, dann Knotenname › Firewall › Options › nftables). Sie beherrscht zusätzlich Forward-Regeln und VNet-Firewalls, ist laut Dokumentation aber noch Technologievorschau und nicht für den Produktivbetrieb gedacht. Laut Roadmap soll sie die iptables-Variante künftig ersetzen.
Management-Netz, Port 8006 und Zertifikate
- Getrenntes Management-Netz: Weboberfläche, SSH und IPMI/iDRAC/iLO der Server gehören in ein eigenes VLAN, das nur aus dem Admin-Netz oder per VPN erreichbar ist. Gäste-Netze bekommen keine IP auf den Bridges der Knoten. Port 8006 nie per Portweiterleitung ins Internet freigeben.
- Gültiges Zertifikat per ACME: Statt der selbst signierten Cluster-CA ein Zertifikat von Let's Encrypt beziehen. Unter Datacenter › ACME Konto und ggf. DNS-Plugin anlegen, unter Knotenname › System › Certificates die Domain eintragen und bestellen:
pvenode acme account register default admin@firma.de
# DNS-01, da interne Knoten nicht aus dem Internet erreichbar sind
pvenode acme plugin add dns firma-dns --api <Plugin-Name> --data /root/dns-api.txt
pvenode config set -acmedomain0 pve1.firma.de,plugin=firma-dns
pvenode acme cert order
Die Erneuerung läuft automatisch über pve-daily-update.service, sobald das Zertifikat in weniger als 30 Tagen abläuft. Die HTTP-01-Methode setzt dagegen voraus, dass Port 80 des Knotens aus dem Internet erreichbar ist – für Hypervisoren ungeeignet.
- SSH härten: Anmeldung per Schlüssel, Passwort-Login für root abschalten (
PermitRootLogin prohibit-password). Clusterknoten brauchen SSH untereinander weiterhin.
Updates, Benachrichtigungen und Protokollierung
Proxmox VE prüft täglich auf Updates. Eingespielt werden sie unter Knotenname › Updates oder auf der Kommandozeile – immer mit full-upgrade, denn ein einfaches apt upgrade kann bei Proxmox zu einem halb aktualisierten System führen:
apt update
apt full-upgrade
- Repository: Für Produktivsysteme das Enterprise-Repository mit Subskription; die Pakete sind dort länger getestet. Proxmox VE 8 erhält seit August 2026 keine Updates mehr – siehe Proxmox VE: Upgrade von Version 8 auf 9.
- Cluster: Knoten nacheinander aktualisieren, HA-Gäste vorher per Wartungsmodus wegmigrieren, Kernel-Updates mit Neustart einplanen.
- Benachrichtigungen: Unter Datacenter › Notifications Ziele anlegen (Sendmail, SMTP, Gotify, Webhook) und per Matcher festlegen, welche Ereignisse wohin gehen – u. a. verfügbare Updates (package-updates), Fencing, fehlgeschlagene Replikation und Backups. Mindestens ein SMTP-Ziel an ein Team-Postfach einrichten; root@pam ohne Mailweiterleitung liest niemand.
- Protokolle: Anmeldungen, fehlgeschlagene Logins und Aufgaben stehen im Journal der Knoten (
journalctl -u pvedaemon -u pveproxy), Zugriffe auf die Weboberfläche zusätzlich in/var/log/pveproxy/access.log, durchgeführte Aktionen im Task-Log (Datacenter › Tasks bzw. unten in der Oberfläche). - SIEM: Die Protokolle gehören zentral in ein SIEM, etwa per Wazuh-Agent auf jedem Knoten oder per Syslog-Weiterleitung (rsyslog ist unter Debian 13 nicht vorinstalliert). Sinnvolle Alarme: fehlgeschlagene Anmeldungen, neue Benutzer oder Tokens, Rechteänderungen, Firewall deaktiviert, Fencing.
- NIS2: Für Unternehmen im Anwendungsbereich von NIS2 sind Zugriffskontrolle, MFA, Patch-Management und Protokollierung Pflichtbausteine; die hier beschriebenen Maßnahmen liefern dafür nachweisbare Belege. Siehe auch NIS2 und Wazuh.
Hinweise
- Checkliste: persönliche Konten statt root, 2FA für alle, Rechte über Gruppen und Pools, API-Tokens mit Privilege Separation, Firewall mit IPSet management, eigenes Management-Netz, ACME-Zertifikat, Enterprise-Repository, Benachrichtigungen per SMTP, Protokolle im SIEM.
- Typische Fehler: Firewall ohne IPSet management aktiviert (Aussperren), Weboberfläche im Server- oder gar Gästenetz, gemeinsames Admin-Konto, Monitoring-Token mit Administrator-Rechten.
- Backups mitdenken: Der Proxmox Backup Server braucht eigene Zugangsdaten und 2FA; ein kompromittierter Cluster darf die Backups nicht löschen können.
- Bei Härtung, SIEM-Anbindung und NIS2-Umsetzung unterstützen Sie die Cybersecurity-Leistungen von m.a.x. it.
Siehe auch
- Proxmox im Unternehmen – Überblick und alle Artikel der Reihe
- Proxmox VE: Installation und Grundkonfiguration
- Proxmox VE: Netzwerk mit Bridges, VLANs, Bonds und SDN
- Proxmox Backup Server: Einrichtung und Backup-Strategie
- Proxmox VE: Cluster und Hochverfügbarkeit
- Identity and Access Management
Links und Quellen
Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung?
