SSH-Warnung: Host geändert

Beim Verbinden per SSH zu deinem Server erscheint plötzlich die Warnung REMOTE HOST IDENTIFICATION HAS CHANGED und die Verbindung wird verweigert? Das sieht beunruhigend aus, hat aber meistens einen harmlosen Grund.

Was bedeutet die Warnung?

Dein SSH-Programm merkt sich beim ersten Verbinden den Fingerprint (die Schlüssel-Kennung) deines Servers in der Datei known_hosts. Weicht der Fingerprint später davon ab, warnt SSH bewusst sehr deutlich, damit du nicht unbemerkt mit einem falschen Server verbunden wirst.

Woher kommt die Änderung?

Häufig liegt es nicht am Server, sondern an deinem Rechner: Nach einem Update deines SSH-Programms oder einer geänderten Sicherheitseinstellung verwendet es einen anderen Schlüsseltyp (zum Beispiel ED25519 statt des bisher gespeicherten ECDSA-Schlüssels), obwohl sich am Server nichts geändert hat. In der Meldung siehst du das an den Hinweisen «The fingerprint for the ED25519 key» und «Offending ECDSA key».

Seltener wurden die Schlüssel auf dem Server selbst neu erzeugt, zum Beispiel durch ein Update von OpenSSH innerhalb deines Systems oder eine Neuinstallation.

So prüfst du es sicher nach

• Den gespeicherten Eintrag zeigst du so an: ssh-keygen -l -F server.musterdomain.ch (bei einem anderen Port als 22: ssh-keygen -l -F '[server.musterdomain.ch]:2222').
• Bist du unsicher, eröffne ein Ticket. Wir nennen dir die Fingerprints, die dein Server aktuell ausliefert.
• Stimmt alles, entfernst du den alten Eintrag mit ssh-keygen -R server.musterdomain.ch (bzw. ssh-keygen -R '[server.musterdomain.ch]:2222') und bestätigst beim nächsten Verbinden den neuen Schlüssel.

Entferne den Eintrag nicht ungeprüft, wenn du dir den Grund für die Änderung nicht erklären kannst.