Herzlichen Dank erstmal für den vielen Input und den damit verbundenen Aufwand für meine "Probleme" 
Anstatt jetzt jeden zu zitieren, würde ich das gesammelte Wissen mal in einer flachen Liste zusammenfassen:
- SSH root Zugriff via Schlüssel wieder erlauben (erleichtert vor allem auch die Bedienung mit WinSCP und ich kann meinen unprivilegierten Benutzer wieder aus der sudoers austragen)
- fail2ban einsetzen, jedoch vorher die Dokumentation studieren
- iptables IP-Blocks wieder entfernen (siehe Punkt fail2ban). Übrigens: Die waren nicht IP-Adressbasierend, sondern IP-Bereichsbasierend mithilfe von Subnetzmasken.
- psad und ufw einsetzen, jedoch vorher die Dokumentation studieren
- Finger weg von Intrusion Detection und Applicaction Layer Firewalls, wenn man nicht 100 prozentig weis was man tut. Was aktuell bei mir noch nicht der Fall ist. RegEx verstehe ich zwar, kann ich aber noch nicht auswending beten. Vorallem ist mir der Dialekt von grep noch schleierhaft, mit den Dialekten von PCRE, Java und C# komme ich allerdings gut klar. mod_rewrite vom Apache Webserver auch nur bedingt was das Thema RegEx anbelangt.
- lieber auf einen USB Stick mit cryfs setzen, als einen Hardware Wallet anzuschaffen. Vor allem wegen dem eigenen Lerneffekt.
- Quantenrechner sind noch nicht wirklich im "hier und jetzt" angekommen, von daher noch keine ausschlaggebende Gefahr für das SSH Protokoll ohne Zweifaktor-Autorisierung
- Ein eigens VPN aufbauen für das Authentifizierungs- und Autorisierungsmanagement hört sich gut an, allerdings bin ich davon vom Know-How her noch weit entfernt.
- SSH Port jenseits der well-known Ports legen, um Ressourcen einzusparen (nicht wegen der Sicherheit)
Was ich noch zusätzlich einsetzen würde zu der oben genannten Software:
- ClamAV im Cronjob mit Bericht via E-Mail
- rkhunter im Cronjob mit Bericht via E-Mail
- eventuell noch ein Monotoring System wie Nagios oder den ELK (Elasticsearch, Logstash und Kibana) Stack zur komfortableren Analyse von Logfiles, sowie wegen der Dienst-Gesundheitsstatus.
Eine Frage noch: Würde es anstatt cryfs auch Truecrypt tun? Truecrypt wurde doch nur auf Nachdruck der amerikanischen Geheimdienste als "nicht sicher" deklariert. Außerdem würde ich cryfs vornehmlich unter Windows einsetzen und der Windows Support ist noch in der Beta Phase. Denn ich habe immer noch die gleiche Ausgangslage wie vor Jahren: Einen PC mit Software RAID und Hybrid Festplatten, deswegen kein Linux im DualBoot. Ich setze stattdessen eher auf Hypervisor, man merkt dort kaum einen Unterschied mehr zum "echten" Linux.
Könnte man cryfs heute schon unter Windows mittels Cygwin einsetzen? Ich überlege eh von "Git Bash for Windows" hin zu Cygwin zu migrieren.
Aktuell habe ich alle meine Passwörter und SSH Key Files in KeePass Passwort Container abgelegt. Der ist auch Cross Platform kompatibel über das .NET Core Framework. Wem .NET nicht gefällt, der kann sich auch einer inoffiziellen Portierung bedienen. So hatte ich zum Beispiel schon KeePassX auf Mac OS X eingesetzt. Wirklich eine durchgängige Lösung ist KeePass allerdings nicht, besonders weil man für PuTTY, openSSH & Co. die Schlüssel noch außerhalb des verschlüsselten Containers auf der Festplatte irgendwo ablegen muss.
Was ich mit Hardware Wallets meinte: Das sind "Geldbeutel" für Kryptowährungen in Hardware-Form. Denen sagt man etwas mehr Sicherheit zu als die reine Software seitige Verschlüsselung. Vor allem auch deswegen, weil der private Schlüsselteil nur auf diesem USB Stick liegt, und eben nicht wie bei Software Verschlüsselung üblich, irgendwo auf der Festplatte. Diese Wallets kann man nicht nur ausschließlich für Kryptowährungen nutzen, sondern ebenfalls für Zweifaktor-Autorisierungen. In Bezug auf letzteres halte ich das aktuell für den State-of-the-art, denn alternative Zweifaktor-Autorisierungen funktionieren nur via E-Mail, SMS oder den Google Authentifikator. Gerne könnt ihr mich in diesem Punkt eines Besseren belehren, falls ich nicht den nötigen Kenntnisstand besitzen sollte. Ansonsten natürlich auch... 
PS: Den Rat komplett den Server abzuschalten und eher Platform-as-a-Service zu benutzen habe ich verstanden und beherzigt. Allerdings, finde ich, lernt man solche Fähigkeiten nur durch selber machen, "learning by doing" quasi. Außerdem bin ich mir sicher, dass sich im Netz noch viel unsichere Server tummeln als meiner (Stichwort Agenturen). Wie auch immer, man sollte sich kein Beispiel an den Schlechten nehmen, sondern eher an den Guten. In diesem Sinne halte ich "learning by doing" als den einzigen gangbaren Weg, mein Know-How auf den benötigten Stand zu bringen.
