Netzwerk-Traffic auf einem VPS überwachen: vollständiger Leitfaden & Tools

Den Netzwerk-Traffic auf Ihrem VPS zu überwachen, ist ein wesentlicher Schritt, um Sicherheit zu gewährleisten, Anomalien zu identifizieren und die Leistung Ihres Servers zu optimieren. Ob Sie eine WordPress-Seite, einen Discord-Bot, einen Minecraft-Server oder eine Webanwendung verwalten — die Kenntnis der Datenströme auf Ihrer Netzwerkschnittstelle schützt vor Angriffen, Sättigung und Datenlecks.

Diese Anleitung stellt die wichtigsten Tools vor, die zur Überwachung des Netzwerk-Traffics eines Linux-VPS dienen, deren Installation und wie Sie die Ergebnisse interpretieren, um Probleme schnell zu erkennen.

🎯 Warum den Netzwerk-Traffic überwachen?

Bevor wir die Tools vorstellen, hier die Hauptgründe, warum diese Praxis essenziell ist:

• Angriffserkennung: DDoS-Angriffe, Port-Scans und SSH-Brute-Force-Versuche erkennen
• Proaktive Cybersicherheit: verdächtige Prozesse erkennen, die Daten an externe Server senden (Malware, Lecks)
• Debugging: eine Verlangsamung, einen Konnektivitätsverlust oder ein Anwendungsproblem diagnostizieren
• Optimierung: die verbrauchte Bandbreite messen und Spitzenzeiten identifizieren
• Nachvollziehbarkeit: Logs generieren, um anormale Aktivitäten zu dokumentieren und an Ihren Administrator zu melden

🛠️ Top 7 Tools zur Überwachung des Netzwerk-Traffics

1️⃣ Netstat & ss — aktive Verbindungen sehen

Für einen schnellen Überblick der mit Ihrem VPS verbundenen Clients, nutzen Sie ss, den modernen Nachfolger von netstat:

# Alle etablierten TCP-Verbindungen
ss -tn state established

# Alle lauschenden Ports
ss -tlnp

# Verbindungen pro IP zählen
ss -tn state established | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -rn | head

Interpretation: Wenn eine einzige IP-Adresse mehrere hundert Verbindungen summiert, handelt es sich wahrscheinlich um einen Angriff oder einen automatisierten Bot. Sie können sie mit ufw deny from <IP> blockieren.

2️⃣ iftop — Echtzeit-Visualisierung pro IP

iftop zeigt in Echtzeit den Traffic pro Verbindung, sortiert nach verbrauchter Bandbreite. Das ideale Tool, um schnell die Verbindungen zu identifizieren, die am meisten Netzwerk-Ressourcen verbrauchen.

Installation

sudo apt install iftop      # Debian/Ubuntu
sudo yum install iftop      # CentOS/RHEL

Verwendung

sudo iftop -i eth0

Die Oberfläche zeigt IP-Adressen, Ports und Bandbreite in Echtzeit. Tippen Sie t, um zwischen verschiedenen Ansichten zu wechseln (Totale, Pfeilmodus usw.) und q zum Beenden.

3️⃣ nload — grafischer Überblick Eingang/Ausgang

nload zeigt ein Text-Modus-Diagramm des ein- und ausgehenden Traffics. Seine Einfachheit macht es zu einem ausgezeichneten Einstiegspunkt für Einsteiger-Admins.

sudo apt install nload
nload eth0

Sie erkennen sofort die Traffic-Spitzen (Download, Datenversand, Serverlast). Nutzen Sie die Pfeile links/rechts, um zwischen den verfügbaren Netzwerk-Interfaces zu navigieren.

4️⃣ vnstat — kumulierte Statistiken

Im Gegensatz zu Echtzeit-Tools speichert vnstat Daten über die Zeit, um stündliche, tägliche und monatliche Statistiken zu erstellen.

sudo apt install vnstat
sudo systemctl enable --now vnstat

# Tagesstatistik
vnstat -d

# Monatsstatistik
vnstat -m

# Live-Verfolgung
vnstat -l

Dieses Tool eignet sich besonders, um Ihr monatliches Bandbreiten-Kontingent zu verfolgen.

5️⃣ tcpdump — Paket-Capture zum Debuggen

tcpdump ist das Referenz-Tool, um Netzwerkpakete zu erfassen und zu inspizieren. Basierend auf der libpcap-Bibliothek ist es ein vielseitiges und unverzichtbares Werkzeug zum Netzwerk-Debugging.

Installation

sudo apt install tcpdump

Konkrete Beispiele

# 100 Pakete auf eth0 erfassen
sudo tcpdump -i eth0 -c 100

# Traffic auf einem bestimmten Port (HTTP) erfassen
sudo tcpdump -i eth0 port 80

# Traffic von/zu einer IP erfassen
sudo tcpdump -i eth0 host 1.2.3.4

# In .pcap-Datei für Wireshark speichern
sudo tcpdump -i eth0 -w capture.pcap

6️⃣ Wireshark / tshark — tiefgehende Analyse

Wireshark ist das vollständigste grafische Tool zur Netzwerk-Traffic-Analyse. Für einen VPS ohne grafische Oberfläche nutzen Sie die Kommandozeilen-Version tshark.

sudo apt install tshark
sudo tshark -i eth0 -f "port 443" -c 50

Für eine tiefere Analyse erfassen Sie die Daten mit tcpdump (tcpdump -w capture.pcap) und laden Sie die .pcap-Datei dann auf Ihren lokalen Rechner herunter, um sie mit Wireshark zu öffnen (kostenloser Download auf wireshark.org).

7️⃣ Netdata — kontinuierliches Monitoring mit Alarmen

Für ein Echtzeit-Web-Dashboard mit Verlauf und automatischen Alarmen ist Netdata eine der vollständigsten Lösungen auf dem Markt.

bash <(curl -Ss https://my-netdata.io/kickstart.sh)

Nach der Installation gehen Sie zu http://ihre-ip:19999, um Folgendes einzusehen:

• Netzwerk-Traffic in Echtzeit pro Interface
• aktive TCP/UDP-Verbindungen
• automatische Anomalieerkennung
• Alarme per E-Mail, Discord oder Slack

🚨 Wie Anomalien erkennen

Hier einige gängige Alarmsignale zur Überwachung:

DDoS-Angriff / SYN-Flood

# Wartende Verbindungen (SYN_RECV) zählen
ss -tn state syn-recv | wc -l

Ab 50 wartenden Verbindungen liegt wahrscheinlich ein SYN-Flood-Angriff vor. Kontaktieren Sie Ihren Hoster zur Bestätigung.

Zu viele Verbindungen von derselben IP

ss -tn | awk 'NR>1 {print $5}' | cut -d: -f1 | sort | uniq -c | sort -rn | head -5

Wenn eine IP-Adresse 100 gleichzeitige Verbindungen überschreitet, ist es ratsam, sie zu blockieren.

Verdächtiger ausgehender Traffic

sudo iftop -i eth0 -P

Wenn Ihr Server ein großes Datenvolumen an eine unbekannte IP sendet, kann das auf Malware oder eine Server-Kompromittierung hinweisen.

Unerwartet offene Ports

sudo ss -tlnp

Dieser Befehl listet alle lauschenden Ports. Die Anwesenheit eines unbekannten Dienstes muss eine sofortige Untersuchung auslösen.

🛡️ Best Practices für Sicherheit

• Firewall konfigurieren: Aktivieren Sie UFW mit ufw enable und erlauben Sie nur nötige Ports (22, 80, 443)
• fail2ban installieren, um IPs automatisch zu blockieren, die wiederholte SSH-Verbindungsversuche zeigen
• Regelmäßig überwachen mit vnstat (täglicher Cron) oder Netdata (automatische Alarme)
• System wöchentlich aktualisieren: sudo apt update && sudo apt upgrade
• SSH-Passwort-Authentifizierung deaktivieren und ausschließlich SSH-Schlüssel nutzen
• Logs zentralisieren: Senden Sie Ihre Logs (auth, ufw usw.) an einen dedizierten Server zur späteren Analyse
• WireGuard-VPN nutzen für administrative Verbindungen, reduziert die Exposition im Vergleich zu einem offenen SSH-Zugang im Internet

🚀 Einen LordHosting-VPS überwachen

Wenn Sie einen LordHosting-KVM-VPS verwalten, können Sie all diese Tools direkt per SSH installieren. Unsere Infrastruktur integriert einen Netrix-Anti-DDoS-Schutz, der rund um die Uhr aktiv ist, aber die Anwendungs-Überwachung bleibt in der Verantwortung des Administrators.

Für fortgeschrittene Nutzer bieten unsere Ryzen-VPS optimale Leistung, um ein Monitoring-Dashboard wie Netdata oder Grafana zu hosten, ohne andere Dienste zu beeinträchtigen.

Unsere KVM-VPS-Angebote entdecken →

📋 Schnelle Zusammenfassung — welches Tool für welchen Bedarf?

Mit diesem Leitfaden verfügen Sie nun über das nötige Wissen, um zu beobachten, zu inspizieren, zu erkennen und auf verdächtigen Traffic auf Ihrem VPS zu reagieren. Cybersicherheit beruht vor allem auf der Sichtbarkeit der Netzwerk-Aktivität.

Zur Vertiefung lesen Sie unsere Discord-Bot-Installationsanleitung oder unser Azuriom-Installations-Tutorial auf einem VPS.