Raspberry Pi SSH aktivieren

Passende Hardware im Überblick

Boards – SSH verhält sich auf allen Modellen gleich:
Raspberry Pi 5 mit 8GB RAM – die Empfehlung für Server (Link)*
Raspberry Pi 5 mit 16GB RAM – wenn viel parallel laufen soll (Link)*
Raspberry Pi 5 mit 4GB RAM – reicht für die meisten Dienste (Link)*
Raspberry Pi 4 Starter-Set – der günstige Einstieg (Link)*
Raspberry Pi Zero 2 W – winzig und ideal ohne Monitor (Link)*

Karte, Strom und Netzwerk für den Dauerbetrieb:
SanDisk Extreme A2 128GB – schnelle Karte für Server (Link)*
32GB SD-Karte – wenn es günstig sein soll (Link)*
Offizielles 27-W-Netzteil für den Pi 5 (Link)*
Offizielles Netzteil für den Pi 4 (Link)*
PoE-HAT – ein Kabel für Strom und Netzwerk (Link)*
Geekworm X1200 USV – schützt vor Stromausfall (Link)*

Rettungsanker, wenn SSH einmal nicht mehr antwortet:
USB-zu-TTL-Konsolenkabel – zeigt jede Boot-Meldung (Link)*
UGREEN USB-3.0-Kartenleser – zum Nachbessern am PC (Link)*
Geekworm KVM-A3 – Vollzugriff auch ohne laufendes System (Link)*

Kurz gesagt: Wie aktiviere ich SSH auf dem Raspberry Pi?

Die Kurzfassung:

• Der beste Weg – vorher: Im Raspberry Pi Imager vor dem Schreiben unter „Einstellungen anpassen" im Reiter „Dienste" den Haken bei SSH aktivieren setzen – der Pi ist dann ab der ersten Sekunde erreichbar.
• Am laufenden Gerät: sudo raspi-config → Interface Options → SSH → Yes. Skriptbar geht das auch mit sudo raspi-config nonint do_ssh 0.
• Ohne Bildschirm, Karte steckt im PC: Eine leere Datei namens ssh ohne jede Endung in die Boot-Partition legen – beim nächsten Start schaltet der Pi den Dienst selbst ein und löscht die Datei wieder.
• Verbinden: ssh benutzername@raspberrypi.local im Terminal von Windows, macOS oder Linux – alternativ die IP-Adresse statt des Namens verwenden.
• Kein Standard-Passwort mehr: Seit 2022 legt der Imager Benutzername und Kennwort an. Das alte Paar „pi/raspberry" existiert nicht mehr.
• Aktueller Stand: Raspberry Pi OS „Trixie" liefert seit Oktober 2025 OpenSSH 10.0p1 aus – moderne Verschlüsselung ist damit ab Werk gesetzt.

Was SSH ist und warum der Pi ohne SSH nur ein halber Server ist

Wer SSH auf dem Raspberry Pi aktivieren will, richtet damit keine Zusatzfunktion ein, sondern die eigentliche Betriebsart des Geräts. SSH steht für Secure Shell und bezeichnet eine verschlüsselte Verbindung zur Kommandozeile eines anderen Rechners. Auf dem Pi ist das der Normalfall: Die Platine steht im Regal, im Netzwerkschrank oder hinter dem Fernseher, und die gesamte Bedienung passiert vom Schreibtisch aus.

Diese Arbeitsweise heißt headless – also ohne Monitor, Tastatur und Maus. Sie spart nicht nur drei Kabel und einen Bildschirm, sie macht das System auch schlanker: Raspberry Pi OS Lite ohne Desktop startet schneller, belegt deutlich weniger Arbeitsspeicher und bietet nebenbei weniger Angriffsfläche. Genau deshalb ist die Kombination aus Lite-Abbild und SSH der übliche Aufbau für Projekte wie Pi-hole, ein NAS oder einen Docker-Host.

Technisch baut SSH einen verschlüsselten Kanal auf, bevor überhaupt ein Passwort über die Leitung geht. Der Server weist sich dabei mit einem eigenen Schlüssel aus – dem Fingerabdruck, den der Client beim ersten Verbindungsaufbau bestätigt haben will. Ändert er sich später, schlägt SSH Alarm: nach einer Neuinstallation harmlos, im fremden Netz ein Warnsignal.

Ein oft übersehener Nebeneffekt: Über dieselbe Verbindung läuft auch SFTP. Dateien wandern also mit FileZilla, WinSCP oder dem Befehl scp auf den Pi, ohne dass dafür ein FTP-Server nötig wäre.

Raspberry Pi SSH aktivieren – Schritt für Schritt

Der saubere Weg beginnt vor dem ersten Start, beim Beschreiben der Speicherkarte. Wer diese fünf Minuten investiert, braucht danach nie einen Monitor:

1. Imager starten: Den Raspberry Pi Imager öffnen und nacheinander Modell, Betriebssystem und Speicherkarte auswählen. Für Serverdienste genügt Raspberry Pi OS Lite (64 Bit).
2. Einstellungen anpassen: Vor dem Schreiben fragt der Imager, ob die Voreinstellungen angepasst werden sollen. Hier auf „Einstellungen bearbeiten" gehen – dieser Dialog ist der entscheidende Punkt.
3. Benutzer anlegen: Im Reiter „Allgemein" Hostname, Benutzername und Passwort eintragen. Der Hostname bestimmt den Namen im Netz – etwa pihole.local statt raspberrypi.local.
4. WLAN hinterlegen: Im selben Reiter SSID, Kennwort und als Land DE eintragen. Ohne Ländereinstellung bleiben in Europa mehrere Funkkanäle gesperrt – ein häufiger Grund für schwaches oder gar kein WLAN am Pi.
5. SSH einschalten: Im Reiter „Dienste" den Haken bei SSH aktivieren setzen. Wer bereits ein Schlüsselpaar besitzt, wählt gleich „Nur Public-Key-Authentifizierung" und fügt den öffentlichen Schlüssel ein.
6. Schreiben und starten: Karte beschreiben, in den Pi stecken, Strom anschließen. Der erste Start dauert ein bis zwei Minuten, weil das Dateisystem auf die volle Kartengröße erweitert wird.
7. Erste Verbindung: ssh benutzername@hostname.local eingeben, den Fingerabdruck mit yes bestätigen, Passwort tippen – die Eingabe bleibt unsichtbar, das ist so gewollt.
8. Direkt aktualisieren: sudo apt update && sudo apt full-upgrade bringt das System auf Stand, bevor irgendetwas installiert wird – Details im Update-Guide.

SSH am Raspberry Pi nachträglich aktivieren – drei Wege

Nicht jeder Pi wurde vorbereitet. Ist die Karte schon beschrieben oder das System längst in Betrieb, führen drei Wege zum Ziel – welcher passt, hängt allein davon ab, was gerade angeschlossen ist.

Der Datei-Trick ist der wichtigste der drei, weil er ohne jedes Zubehör auskommt. Steckt die Karte im PC, erscheint die kleine FAT-Partition unter dem Namen bootfs – auf dem laufenden Pi liegt sie unter /boot/firmware/. Dorthin gehört eine leere Datei namens ssh, ohne Endung und ohne Inhalt. Unter Windows lauert dabei die klassische Falle: Der Explorer blendet bekannte Endungen aus und macht daraus stillschweigend ssh.txt. Ohne sichtbare Dateinamenerweiterungen passiert beim nächsten Start also schlicht nichts.

Ist der Pi bereits im Netz und läuft nur der Dienst nicht, hilft sudo systemctl enable --now ssh: Der Befehl schaltet SSH sofort ein und sorgt zugleich dafür, dass es nach jedem Neustart wieder da ist. Ob alles läuft, zeigt sudo systemctl status ssh.

Verbindung herstellen – von jedem Betriebssystem aus

1. Windows: PowerShell oder Terminal öffnen und ssh benutzer@raspberrypi.local eingeben. Ein SSH-Client ist seit Windows 10 fest eingebaut, PuTTY braucht nur noch, wer eine grafische Oberfläche bevorzugt.
2. macOS und Linux: Terminal öffnen, derselbe Befehl, kein Zusatzprogramm nötig. Unter macOS funktioniert die Namensauflösung über .local von Haus aus zuverlässig.
3. Handy und Tablet: Apps wie Termius für iOS und Android oder JuiceSSH für Android reichen völlig – praktisch, um im Serverschrank schnell einen Dienst neu zu starten.
4. Statt Namen die Nummer: Antwortet raspberrypi.local nicht, hilft die direkte Eingabe der IP-Adresse. Damit sie sich nicht ändert, lohnt sich ein fester Eintrag im Router.
5. Bequemer per Kurzname: In der Datei ~/.ssh/config auf dem eigenen Rechner einen Eintrag mit Host pi5, HostName, User und Port anlegen. Danach genügt ssh pi5.
6. Grafisch nachlegen: Wer zusätzlich einen Desktop braucht, kombiniert SSH mit Raspberry Pi Connect, das Terminal und Bildschirm direkt im Browser anbietet.

Anmeldung per SSH-Schlüssel statt Passwort

Passwörter sind bequem, aber ein Schlüsselpaar ist bequemer und sicherer zugleich. Dabei bleibt der private Schlüssel auf dem eigenen Rechner, während der öffentliche auf dem Pi hinterlegt wird. Erraten lässt sich diese Kombination nicht, und die Passworteingabe entfällt vollständig.

1. Schlüssel erzeugen – auf dem eigenen Rechner, nicht auf dem Pi: ssh-keygen -t ed25519 -C "raspberry-pi". Die Nachfragen nach Speicherort und Passphrase lassen sich mit Enter bestätigen.
2. Öffentlichen Teil übertragen: ssh-copy-id benutzer@raspberrypi.local – dabei einmal das Passwort eingeben, danach nie wieder. Unter Windows leistet type $env:USERPROFILE.sshid_ed25519.pub | ssh benutzer@host "cat >> .ssh/authorized_keys" dasselbe.
3. Test: Erneut ssh benutzer@raspberrypi.local – die Anmeldung läuft jetzt ohne Passwortabfrage durch.
4. Passwort-Anmeldung abschalten: In /etc/ssh/sshd_config die Zeile PasswordAuthentication no setzen, dann sudo systemctl restart ssh. Vorher unbedingt prüfen, dass der Schlüssel funktioniert – und die alte Sitzung offen lassen, bis die neue steht.
5. Mehrere Geräte: Jeder Rechner bekommt ein eigenes Schlüsselpaar. In ~/.ssh/authorized_keys auf dem Pi darf jede Zeile ein Schlüssel sein, und einzelne Zugänge lassen sich später gezielt wieder streichen.

SSH absichern – besonders beim Zugriff von außen

• Nie direkt ins Internet stellen: Eine Portfreigabe auf Port 22 wird von automatisierten Scannern binnen Stunden gefunden. Berichte aus der Community zeigen Protokolle mit tausenden Anmeldeversuchen pro Tag.
• Der richtige Weg von unterwegs: Tailscale oder ein WireGuard-VPN. Beides funktioniert ohne offene Ports, Tailscale zusätzlich hinter DS-Lite-Anschlüssen ohne eigene IPv4-Adresse.
• fail2ban installieren: sudo apt install fail2ban genügt für den Grundschutz – wiederholte Fehlversuche führen automatisch zur Sperre der Gegenstelle.
• Root-Anmeldung aus: PermitRootLogin no in der Konfiguration. Verwaltungsaufgaben laufen über sudo, damit bleibt jeder Eingriff nachvollziehbar.
• Port verlegen ist Kosmetik: Ein anderer Port als 22 dämpft das Rauschen im Protokoll, ersetzt aber weder Schlüssel noch Firewall – weitere Maßnahmen sammelt der Guide Raspberry Pi absichern.
• System aktuell halten: Ein Pi, der monatelang ohne Update läuft, ist das größere Risiko als jeder offene Port.

Was sich über SSH im Alltag erledigen lässt

SSH ist mehr als eine Notfalltür: Die gesamte Verwaltung eines Pi läuft darüber – Pakete installieren, Konfigurationsdateien bearbeiten, Protokolle lesen, Dienste neu starten. Weil sich Text zwischen dem eigenen Rechner und dem Terminalfenster kopieren lässt, ist das oft sogar angenehmer als die Arbeit am angeschlossenen Bildschirm.

Praktisch sind die Nebenfunktionen: scp datei benutzer@pi:/home/benutzer/ kopiert eine Datei in einem Schritt auf den Pi, und ein Tunnel der Form ssh -L 8080:localhost:80 benutzer@pi holt eine nur lokal lauschende Weboberfläche in den eigenen Browser. Ein angehängter Befehl wird direkt ausgeführt – ideal für Skripte oder einen Cronjob, der von einem anderen Rechner aus etwas anstößt.

Wer längere Aufgaben startet, sollte tmux oder screen kennen: Beide halten die Sitzung am Leben, auch wenn die Verbindung abreißt. Ein Update läuft dann weiter, statt mitten im Vorgang abzubrechen – über WLAN eine sehr sinnvolle Angewohnheit.

Die Inbetriebnahme ohne Monitor mit allen Handgriffen von der Karte bis zur ersten Anmeldung zeigt auch unser kostenloses Einstiegsvideo Schritt für Schritt.

Fehler und Stolpersteine bei SSH

• „Connection refused": Der Pi antwortet, aber kein SSH-Dienst lauscht. Meist fehlt der Haken im Imager. Lösung: Karte in den PC, leere Datei ssh in die Boot-Partition legen.
• Zeitüberschreitung oder „No route to host": Falsche Adresse oder der Pi hängt gar nicht im Netz. Erst die IP-Adresse im Router prüfen, dann weitersuchen.
• Die Datei heißt heimlich ssh.txt: Der Windows-Explorer versteckt bekannte Endungen. Ohne sichtbare Dateinamenerweiterungen bleibt der Trick wirkungslos.
• „Permission denied (publickey)": Die Passwort-Anmeldung ist abgeschaltet und der hinterlegte Schlüssel passt nicht. Hier hilft nur noch Monitor oder Konsolenkabel.
• „REMOTE HOST IDENTIFICATION HAS CHANGED": Nach einer Neuinstallation völlig normal. Den alten Eintrag mit ssh-keygen -R raspberrypi.local entfernen und neu verbinden.
• raspberrypi.local wird nicht gefunden: Die Namensauflösung im lokalen Netz fehlt oder mehrere Pi tragen denselben Hostnamen. Eindeutige Namen vergeben oder direkt die IP verwenden.
• Rechte an den Schlüsseldateien: Ist ~/.ssh zu großzügig freigegeben, verweigert OpenSSH den Dienst. chmod 700 ~/.ssh und chmod 600 ~/.ssh/authorized_keys räumen das auf.

Häufige Fragen zu SSH auf dem Raspberry Pi

Wie lautet das Standard-Passwort für SSH?
Es gibt keines mehr. Seit 2022 legt der Imager Benutzername und Kennwort beim Beschreiben der Karte an – das früher übliche Paar „pi/raspberry" ist ersatzlos entfallen.

Kann ich SSH ohne Monitor aktivieren?
Ja, auf zwei Wegen: vorab im Imager oder nachträglich über eine leere Datei namens ssh in der Boot-Partition. Beides läuft komplett ohne Bildschirm und Tastatur.

Ist SSH sicher genug für den Dauerbetrieb?
Ja – Raspberry Pi OS Trixie liefert OpenSSH 10.0p1 aus. Das Risiko liegt bei schwachen Passwörtern und offenen Ports, nicht am Protokoll.

Wie komme ich von unterwegs auf meinen Pi?
Am einfachsten über Tailscale: Es kommt ohne Portfreigabe aus, funktioniert auch hinter DS-Lite und lässt den Pi wirken, als stünde er im selben Netz.

Kann ich über SSH auch Dateien übertragen?
Ja, SFTP ist Bestandteil von SSH. FileZilla, WinSCP oder scp genügen, ein zusätzlicher Dienst ist nicht nötig.

Wie schalte ich SSH wieder ab?
Mit sudo systemctl disable --now ssh oder im Menü von raspi-config. Sinnvoll ist das nur, wenn der Pi ausschließlich direkt am Bildschirm bedient wird.

Was mache ich, wenn gar nichts mehr geht?
Dann bleibt das Konsolenkabel: Es zeigt sämtliche Boot-Meldungen und erlaubt die Anmeldung selbst dann, wenn Netzwerk und SSH streiken. Startet der Pi gar nicht erst, führt die Spur zur Fehlersuche beim Boot.

Fazit

Wer SSH auf dem Raspberry Pi aktivieren will, sollte das an genau einer Stelle tun: im Imager, bevor die Karte beschrieben wird. Ein Haken, ein Benutzername, das WLAN dazu – und der Pi ist ab dem ersten Start erreichbar, ohne dass jemals Monitor und Tastatur nötig werden. Unsere klare Empfehlung darüber hinaus: Stell so früh wie möglich auf Schlüssel-Anmeldung um. Der Aufwand liegt bei zwei Befehlen, danach entfällt die Passworteingabe für immer und der häufigste Angriffsweg gleich mit. Und die dritte Regel ist die wichtigste von allen: Port 22 gehört niemals ins Internet freigegeben – für den Zugriff von unterwegs gibt es Tailscale und WireGuard, und beide sind schneller eingerichtet als jede Portfreigabe.

* = Affiliate Link (raspi-config.de ist Teilnehmer des Partnerprogramms von Amazon EU, das zur Bereitstellung eines Mediums für Websites konzipiert wurde, mittels dessen durch die Platzierung von Werbeanzeigen und Links zu Amazon.de Werbekostenerstattung verdient werden kann.)