{"id":50228,"date":"2026-08-28T04:45:50","date_gmt":"2026-08-28T02:45:50","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=50228"},"modified":"2026-08-28T04:45:50","modified_gmt":"2026-08-28T02:45:50","slug":"proxmox-ve-9-container-cluster-sicherheit-50228","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/proxmox-ve-9-container-cluster-sicherheit-50228\/","title":{"rendered":"Proxmox VE 9 Container und Cluster richtig absichern"},"content":{"rendered":"

Proxmox VE 9<\/a> gilt als robuste Virtualisierungsplattform, doch das Sicherheitsniveau steht und f\u00e4llt mit der Absicherung der Workloads, des Cluster-Verbunds und der Backup-Infrastruktur. W\u00e4hrend die ersten beiden Teile dieser Artikelreihe die Host-Basis sowie Identit\u00e4ts- und Netzwerk-Grenzen adressierten, r\u00fcckt der dritte Teil die laufenden Container, die Cluster-Kommunikation und die Langzeitspeicherung in den Fokus. Linux-Container teilen sich den Host-Kernel und ben\u00f6tigen daher erweiterte Isolationsmechanismen; virtuelle Maschinen k\u00f6nnen \u00fcber AMD SEV eine Speicherverschl\u00fcsselung auf CPU-Ebene erhalten. Corosync<\/a>, die Cluster-Engine von Proxmox, erlaubt redundante Kommunikationspfade, und verschl\u00fcsselte Backups nach dem 3-2-1-Prinzip schlie\u00dfen die Sicherheitskette bis zum letzten Speichermedium.<\/p>\n

Container-Isolation: Warum der gemeinsame Kernel besondere Ma\u00dfnahmen erfordert<\/h2>\n

Proxmox VE 9<\/a> setzt auf Linux-Container (LXC) als leichtgewichtige Virtualisierung. Da alle Container den Kernel des Hosts verwenden, ist der Schutz vor Escape-Angriffen und Ressourcen-\u00dcberbeanspruchung kritisch. Die Basis bilden Linux-Namespaces und Control Groups (cgroups), die Prozess-, Netzwerk- und Dateisystem-Sichtbarkeit trennen sowie CPU- und Speicher-Limits durchsetzen. Dar\u00fcber hinaus sollten Administratoren unbedingt AppArmor<\/a>-Profile aktivieren, die den Systemaufruf-Umfang jedes Containers einschr\u00e4nken. Ein praxisbew\u00e4hrter Ansatz ist das Setzen von lxc.apparmor.profile = 1<\/code>codecodecodecode in der Container-Konfiguration sowie die Verwendung von lxc.cgroup2.memory.max<\/code>codecodecodecode zur Begrenzung des Arbeitsspeichers. Zus\u00e4tzlich bietet Proxmox die Option, den Container mit unprivileged<\/code>codecodecodecode zu betreiben \u2013 die UID-Mapping-Mechanismen verhindern, dass ein kompromittierter Container Root-Rechte auf dem Host erlangt. Fehlt diese Einstellung, kann ein Angreifer \u00fcber einen Kernel-Exploit den gesamten Host gef\u00e4hrden.<\/p>\n

H\u00e4rtung der LXC-Konfiguration im Detail<\/h3>\n

Eine typische Sicherheitsl\u00fccke entsteht durch ungen\u00fcgende Berechtigungen bei gemounteten Host-Pfaden. Deshalb sollten Host-Verzeichnisse nur mit den Flags ro<\/code>codecodecodecode, nodev<\/code>codecodecodecode und nosuid<\/code>codecodecodecode eingebunden werden. Ferner empfiehlt sich die Aktivierung der lxc.cgroup2.devices.allow<\/code>codecodecodecode-Regel, um den Zugriff auf Ger\u00e4te wie \/dev\/sda<\/code>codecodecodecode zu unterbinden. F\u00fcr besonders sicherheitskritische Workloads l\u00e4sst sich der gesamte Syscall-Filter mit lxc.seccomp.profile<\/code>codecodecodecode anpassen. Diese Ma\u00dfnahmen reduzieren die Angriffsfl\u00e4che auf das Niveau einer vollvirtualisierten Maschine, ohne die Performance-Vorteile der Container zu opfern.<\/p>\n

Cluster-Kommunikation mit redundanten Corosync-Ringen absichern<\/h2>\n

Ein Proxmox-Cluster st\u00fctzt sich auf Corosync<\/strong> als Quorum- und Mitgliedschaftsdienst. Standardm\u00e4\u00dfig verwendet Corosync einen einzigen Ring (Netzwerkpfad), der bei Ausfall oder \u00dcberlastung die gesamte Cluster-Kommunikation lahmlegt. Die Absicherung beginnt mit der Einrichtung von mehreren, physisch getrennten Ringen \u2013 idealerweise \u00fcber dedizierte Management-Netzwerke mit VLAN-Trennung. Jeder Ring ben\u00f6tigt eine eigene IP-Adresse und einen separaten Netzwerkadapter. Die Konfiguration erfolgt in \/etc\/corosync\/corosync.conf<\/code>codecodecodecode unter dem Abschnitt nodelist<\/code>codecodecodecode. Dort werden f\u00fcr jeden Knoten mehrere ringX_addr<\/code>codecodecodecode-Eintr\u00e4ge gesetzt. Proxmox unterst\u00fctzt bis zu zwei redundante Ringe; ein dritter Ring l\u00e4sst sich \u00fcber manuelle Erweiterung hinzuf\u00fcgen. Wichtig ist die Verwendung von statischen ARP-Eintr\u00e4gen oder festen MAC-Adressen, um ARP-Spoofing-Angriffe auf die Cluster-Kommunikation zu verhindern. Zus\u00e4tzlich sollte die Corosync-Kommunikation \u00fcber TLS verschl\u00fcsselt werden \u2013 Proxmox VE 9 bietet daf\u00fcr die Option crypto_cipher<\/code>codecodecodecode und crypto_hash<\/code>codecodecodecode. Ohne Verschl\u00fcsselung k\u00f6nnen Angreifer im selben Netzwerk den gesamten Datenverkehr zwischen den Knoten mitlesen und manipulieren.<\/p>\n

Praxisbeispiel: Zweiten Ring einrichten<\/h3>\n

F\u00fcgen Sie in der corosync.conf<\/code>codecodecodecode unter totem<\/code>codecodecodecode den Parameter interface<\/code>codecodecodecode mit der ringnumber<\/code>codecodecodecode 1 hinzu und verweisen Sie auf eine zweite, separate Netzwerkschnittstelle. Nach einem Neustart des Corosync-Dienstes \u00fcberpr\u00fcfen Sie die Verbindung mit corosync-cfgtool -s<\/code>codecodecodecode. Ein vollst\u00e4ndig redundanter Cluster zeigt f\u00fcr beide Ringe den Status RING ID 0 und 1 OK<\/code>codecodecodecode an. Erst dann ist der Cluster gegen einen einzelnen Netzwerkfehler geh\u00e4rtet.<\/p>\n

Verschl\u00fcsselte Backups nach dem 3-2-1-Prinzip<\/h2>\n

Backups sind die letzte Verteidigungslinie gegen Ransomware und Datenverlust. Proxmox Backup Server (PBS) unterst\u00fctzt native Verschl\u00fcsselung auf Client-Seite, sodass die Daten bereits vor dem Verlassen des Proxmox-Hosts codiert werden. Zum Einsatz kommt AES-256-GCM, der Schl\u00fcssel wird sicher im PBS-Datastore oder auf einem Hardware-Sicherheitsmodul (HSM) verwahrt. Das 3-2-1-Prinzip \u2013 drei Kopien, zwei verschiedene Medien, eine externe Kopie \u2013 l\u00e4sst sich durch Kombination von PBS mit S3-kompatiblen Offsite-Stores umsetzen. Die Verschl\u00fcsselung sollte auch f\u00fcr die lokalen Speicher (ZFS, ext4) gelten, etwa durch ZFS-native Verschl\u00fcsselung (zfs load-key<\/code>codecodecodecode). Dabei ist zu beachten, dass der Backup-Server selbst geh\u00e4rtet sein muss: Firewall-Regeln beschr\u00e4nken den Zugriff auf Port 8007 (PBS), und der Dienst sollte nur \u00fcber ein separates Verwaltungsnetz erreichbar sein. Ein h\u00e4ufiger Fehler ist die Speicherung von unverschl\u00fcsselten Backups auf NFS-Freigaben \u2013 diese sind im Klartext lesbar und damit ein ideales Ziel f\u00fcr Angreifer.<\/p>\n

Automatisierte Pr\u00fcfung der Backup-Integrit\u00e4t<\/h3>\n

Neben der Verschl\u00fcsselung geh\u00f6rt die regelm\u00e4\u00dfige Verifikation der Backup-Images zum Standard. Mit PBS lassen sich sogenannte \u201eVerify Jobs\u201c einrichten, die die Pr\u00fcfsummen jedes Backups automatisch gegenrechnen. Ein Job l\u00e4uft w\u00f6chentlich und meldet besch\u00e4digte Bl\u00f6cke. Zus\u00e4tzlich empfiehlt sich die Durchf\u00fchrung eines Restore-Tests in einer isolierten Umgebung, um die Wiederherstellbarkeit zu gew\u00e4hrleisten. Ohne solche Tests bleiben Backups eine theoretische Sicherheit, die im Ernstfall versagen kann.<\/p>\n

Zentrale Logverwaltung und Netzwerktrennung<\/h2>\n

Ein l\u00fcckenloser Audit-Trail erfordert die zentrale Sammlung aller sicherheitsrelevanten Logs. Proxmox VE 9 protokolliert Ereignisse im Syslog-Format (\/var\/log\/syslog<\/code>codecodecodecode), aber f\u00fcr eine forensische Analyse reicht die lokale Speicherung nicht aus. Ein Syslog-Server (z. B. rsyslog mit TLS-Weiterleitung) oder eine SIEM-L\u00f6sung wie Wazuh sollten die Logs aller Cluster-Knoten empfangen. Dabei ist die strikte Trennung zwischen Verwaltungsnetz (Cluster, Backup) und Produktivnetz (VM-Traffic) unerl\u00e4sslich. Idealerweise kommt eine dedizierte Management-VLAN-ID mit ACLs zum Einsatz, die nur die notwendigen Ports (22 f\u00fcr SSH, 8006 f\u00fcr Web-GUI, 5404\/5405 f\u00fcr Corosync) freigibt. F\u00fcr die VM-Kommunikation sollten separate Bridges (vmbr1, vmbr2) verwendet werden, die keinen Zugriff auf die Host-Schnittstellen haben. Diese Netzwerksegmentierung verhindert seitliche Bewegungen von kompromittierten VMs in die Cluster-Infrastruktur.<\/p>\n

Firewall-Regeln auf Cluster-Ebene sch\u00e4rfen<\/h3>\n

Die Proxmox-eigene Firewall l\u00e4sst sich sowohl pro Cluster als auch pro Knoten konfigurieren. Aktivieren Sie die Firewall in \/etc\/pve\/firewall\/cluster.fw<\/code>codecodecodecode und definieren Sie Ingress-Regeln, die nur die Quell-IP-Bereiche der Management-Arbeitspl\u00e4tze zulassen. F\u00fcr den PBS-Zugang reicht ein Eintrag f\u00fcr den Backup-Server selbst. \u00dcber die GUI k\u00f6nnen die Regeln zentral verwaltet werden. Ein Sicherheitsplus bietet die Aktivierung von log_level_initial<\/code>codecodecodecode auf debug<\/code>codecodecodecode w\u00e4hrend der Einrichtungsphase, um unerw\u00fcnschte Pakete zu identifizieren, bevor die Firewall in den Produktivmodus wechselt.<\/p>\n

Die konsequente Umsetzung dieser Sicherheitsschichten \u2013 von der Container-Isolation \u00fcber redundante Cluster-Kommunikation bis hin zu verschl\u00fcsselten Backups und zentraler Logging-Infrastruktur \u2013 macht einen Proxmox-VE-9-Betrieb erst wirklich belastbar. Mit der zunehmenden Verbreitung von K\u00fcnstlicher Intelligenz und Edge-Workloads werden die Anforderungen an die Ausfallsicherheit weiter steigen. Proxmox bietet mit den genannten Mechanismen die Werkzeuge, doch die Verantwortung liegt bei den Administratoren, diese auch zu konfigurieren und regelm\u00e4\u00dfig auf Aktualit\u00e4t zu pr\u00fcfen. Nur ein durchgehend geh\u00e4rteter Cluster kann den wachsenden Bedrohungen standhalten.<\/p>\n","protected":false},"excerpt":{"rendered":"

Proxmox VE 9 gilt als robuste Virtualisierungsplattform, doch das Sicherheitsniveau steht und f\u00e4llt mit der Absicherung der Workloads, des Cluster-Verbunds und der Backup-Infrastruktur. W\u00e4hrend die ersten beiden Teile dieser Artikelreihe die Host-Basis sowie Identit\u00e4ts- und Netzwerk-Grenzen adressierten, r\u00fcckt der dritte Teil die laufenden Container, die Cluster-Kommunikation und die Langzeitspeicherung in den Fokus. Linux-Container teilen sich […]<\/p>\n","protected":false},"author":5,"featured_media":53851,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/50228.png","fifu_image_alt":"Proxmox VE 9 Container und Cluster richtig absichern","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-50228","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/50228.png","fifu_image_alt":"Proxmox VE 9 Container und Cluster richtig absichern","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/50228","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=50228"}],"version-history":[{"count":2,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/50228\/revisions"}],"predecessor-version":[{"id":50230,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/50228\/revisions\/50230"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/53851"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=50228"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=50228"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=50228"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}