Puh, das ist eine große Frage, die stark vom Kontext abhängt. Sicherheit ist nichts Absolutes, sondern immer eine Abwägung. Entscheidend sind vor allem dein Bedrohungsmodell und die Kritikalität der Daten. Es macht einen riesigen Unterschied, ob ein Dienst aus dem Internet erreichbar ist oder nur lokal läuft, ob Zugriffe von außen eingeschränkt werden können – etwa über VPN oder feste IPs – und ob auch „innere“ Bedrohungen berücksichtigt werden müssen, zum Beispiel durch geteiltes WLAN oder Mitbewohner.
Ports zu schließen und alles aktuell zu halten, ist auf jeden Fall eine wichtige Basis, reicht aber allein nicht aus. Der eigentliche Knackpunkt ist weniger die Installation als der laufende Betrieb. Dazu gehört, dass du weißt, wie sich dein System normalerweise verhält, wo die Logs liegen und woran du merkst, dass etwas nicht stimmt. Man muss kein professionelles Monitoring betreiben, aber ein grundlegendes Verständnis dafür haben, was auf dem System passiert.
Ein weiterer wichtiger Punkt ist die Authentifizierung und Zugriffstrennung. SSH mit Keys statt Passwörtern, saubere Trennung von Nutzern und Administratoren, starke Passwörter und wo möglich Zwei-Faktor-Authentifizierung bringen oft mehr Sicherheit als die nächste Firewall-Regel. Gerade selbst gehostete Webdienste sind hier ein häufiger Schwachpunkt.
Wenn du Dienste mit deinen „Kronjuwelen” wirklich ins Internet stellst, solltest du ziemlich genau wissen, was du tust. Lokal betriebene Systeme sind deutlich entspannter, auch wenn externe Gefahren natürlich nie ganz verschwinden. In beiden Fällen ist ein sauberes Backup-Konzept aber unverzichtbar. Und ein Backup ist nur dann etwas wert, wenn man es im Zweifel auch wieder einspielen kann – gelegentliches Testen nimmt da viel Stress raus.
Was Lernen und Weiterbildungen angeht, musst du kein Informatiker sein. Solides Linux-Grundlagenwissen, grundlegendes Netzwerkverständnis, ein bisschen Kryptografie-Basiswissen sowie die Prinzipien Least Privilege[1] und Defense in Depth[2] bringen dich extrem weit. Das lässt sich gut über Dokumentationen, Blogs, Videos oder Admin-Grundkurse aufbauen. Sicherheit ist kein Zustand, den man einmal erreicht, sondern ein Prozess – und genau das passt ja gut zu deiner Lust, dich da reinzufuchsen.
Insgesamt bist du gedanklich schon auf einem sehr guten Weg. Oft ist der wichtigste Schritt nicht, alles perfekt abzusichern, sondern zu verstehen, warum man etwas wie absichert und welche Risiken man bewusst akzeptiert.
[1] https://www.crowdstrike.com/de-de/cybersecurity-101/identity-protection/principle-of-least-privilege-polp/
[2] https://www.computerweekly.com/de/definition/Defense-in-Depth