IPMI und BMC: Server aus der Ferne verwalten

Dein Server hat einen zweiten, winzigen Computer, der nie schläft und für dich den Einschaltknopf drücken kann. Behandle ihn mit dem Respekt, den das verdient.

Kurz gesagt

Ein BMC (Baseboard Management Controller) ist ein kleiner, getrennter Controller auf einer Serverplatine, der die Maschine auf Hardwareebene verwaltet, auch wenn das Betriebssystem nicht läuft. IPMI (Intelligent Platform Management Interface) ist die langjährige Schnittstellenspezifikation, die der BMC spricht [1][3]. Solltest du ihn ins Internet stellen? Nein. CISA rät, den IPMI-Zugriff auf bestimmte Verwaltungsadressen zu beschränken, am besten in einem getrennten Netzsegment [1]. Unsere Einschätzung: Nutze ihn für Stromsteuerung, Sensoren und Protokolle, aber halte ihn aus dem offenen Internet heraus.

So funktioniert’s

1. Was der BMC tut. CISA beschreibt IPMI als Schnittstelle auf niedriger Ebene, über die ein Administrator Server auf Hardwareebene verwaltet; sie läuft auf dem BMC und gibt Zugriff auf BIOS, Datenträger und weitere Hardware, einschließlich Fernstart und Überwachung der Serverumgebung [1]. „Out-of-Band“ heißt, dass es auch funktioniert, wenn das Betriebssystem des Servers nicht läuft.
2. Woher IPMI kommt. Die IPMI-Spezifikation in Version 2.0 wird von Intel veröffentlicht [3]. Viele Hardwarehersteller haben sie übernommen [1]. HPE nennt seine Umsetzung iLO (Integrated Lights-Out), Dell nennt sie iDRAC, andere Hersteller verwenden andere Namen (unsere Zusammenfassung, für die einzelnen Hersteller hier unbelegt).
3. Das Werkzeug. ipmitool verwaltet IPMI-Funktionen des lokalen oder eines entfernten Systems, darunter FRU-Informationen, LAN-Konfiguration, Sensorwerte und Fernsteuerung der Stromversorgung [2]. Die Fernverwaltung setzt voraus, dass die Schnittstelle IPMI-over-LAN aktiviert und eingerichtet ist [2].
4. Wahl der Schnittstelle. Für Fernsitzungen beschreibt das Handbuch lan und lanplus; lanplus nutzt IPMI v2.0 und standardmäßig die Cipher-Suite 17 (RAKP-HMAC-SHA256, AES-CBC-128). Versionen bis 1.8.18 nutzten standardmäßig die Suite 3, die das Handbuch als unsicher bezeichnet [2]. Unsere Einschätzung: Nutze lanplus und eine aktuelle Version.
5. Das Risiko. CISA nennt Schwächen, die der Forscher Dan Farmer gemeldet hat: im Klartext gespeicherte Passwörter, ein Passwort, das für eine ganze IPMI-Gruppe gilt, kaum Überwachung bei einem kompromittierten BMC und teils unverschlüsselter Verkehr [1]. Ein Angreifer mit BMC-Zugang kann den Rechner neu starten oder ein neues Betriebssystem installieren und dabei die Kontrollen des Betriebssystems umgehen [1]. Dieser Text stammt von 2013 (überarbeitet 2016), lies also die aktuellen Hinweise deines Herstellers [1].
6. Redfish als neuerer Weg. Die Redfish-Spezifikation der DMTF definiert eine REST-basierte Verwaltungsschnittstelle, die viele Hersteller neben IPMI anbieten [4]. Unsere Einschätzung: Unterstützt dein BMC Redfish, nimm das und schalte IPMI-over-LAN ab, wenn du es nicht brauchst.
7. Die Konsole deines Herstellers. HPE dokumentiert die Einstellungen seiner iLO im iLO-Benutzerhandbuch [5]. Ob IPMI over LAN bei deiner Generation standardmäßig an ist, ist hier unbelegt, lies es in deiner eigenen iLO nach.

Ein Homelab-Beispiel

Das Bytearium-Homelab betreibt Rackserver (HPE ProLiant DL360 Gen9 und DL380 Gen10) und ein QNAP-NAS, Stand 14. bis 18.10.2026. Ihre iLO- oder IPMI-Einstellungen haben wir nicht erfasst und sagen deshalb nichts dazu. Eine allgemeine Anleitung für deinen eigenen Server: Lege den Verwaltungsport in ein getrenntes Netz oder VLAN, gib ihm eine reservierte Adresse und prüfe in den Zugriffseinstellungen des Controllers, ob IPMI over LAN an ist. Nutzt du es, frage es von einem vertrauenswürdigen Rechner ab: ipmitool -I lanplus -H <Adresse> -U <Benutzer> -a chassis power status, und gib das Passwort an der Eingabeaufforderung ein [2]. Tippe das Passwort nicht in die Befehlszeile, wo andere Benutzer des Rechners es sehen könnten (unsere Einschätzung).

Prüfliste

• Finde den Verwaltungsport deines Servers und schließe ihn an ein getrenntes Netz an.
• Prüfe, dass die Verwaltungsadresse nicht weitergeleitet und nicht aus dem Internet erreichbar ist [1].
• Ändere Standardkonten und nutze ein langes, einmaliges Passwort.
• Prüfe, ob IPMI over LAN aktiviert ist, und schalte es ab, wenn du es nicht brauchst [2][5].
• Nutze lanplus und eine ipmitool-Version neuer als 1.8.18 [2].
• Aktualisiere die BMC-Firmware, nachdem du die Hinweise des Herstellers gelesen hast.
• Teste Stromstatus und Ereignisprotokoll von einem vertrauenswürdigen Rechner.
• Bevorzuge Redfish, wo dein BMC es anbietet [4].