Webspace: Sicherheitsrisiko FTP

Wer eine eigene Webseite betreibt, überträgt sie meist per FTP zum Webhoster. Dabei kommt häufig keine Verschlüsselung zum Einsatz. Kein einziger großer Provider weist seine Kunden auf diese Risiken adäquat hin; bei manchen Providern ist eine verschlüsselte Verbindung überhaupt nicht möglich.

Artikel veröffentlicht am , Hanno Böck
Firefox meldet eine gehackte Webseite mit Malware.
Firefox meldet eine gehackte Webseite mit Malware. (Bild: Mozilla)

Das File Transfer Protokoll (FTP) ist schon etwas betagt. Entwickelt wurde es bereits in den 1970er Jahren, lange bevor es das World Wide Web überhaupt gab. Doch bis heute hat FTP eine wichtige Funktion: Es kommt fast immer zum Einsatz, wenn Betreiber von Webseiten ihre HTML- oder PHP-Dateien auf den Server eines Webhosters hochladen - häufig ohne Verschlüsselung.

Verwirrende Situation: SFTP, FTPS, FTPES

Ursprünglich unterstützte FTP keine Verschlüsselung, sämtliche Dateien und auch die Zugangsdaten wurden ungeschützt übertragen. Die Situation bei verschlüsselten Dateiübertragungsverfahren ist heute unübersichtlich geworden.

Zunächst gibt es ein Protokoll namens SFTP. Das hat allerdings mit dem ursprünglichen FTP-Protokoll nur den Namen gemein. Es handelt sich hierbei um das SSH-Protokoll, das üblicherweise zum abgesicherten Login auf Unix-Servern dient. Es kann auch so konfiguriert werden, dass kein echter Login möglich ist und nur Dateien übertragen werden können.

Daneben gibt es auch die Möglichkeit, das ursprüngliche FTP-Protokoll um TLS zu erweitern, was häufig mit der Abkürzung FTPS bezeichnet wird. Hier gibt es zwei Varianten, einen sogenannten impliziten und einen expliziten Modus. Der implizite Modus gilt als veraltet und wird kaum noch verwendet, der explizite Modus wird häufig mit FTPES abgekürzt (File Transfer Protocol Explicit Security).

Gehackte Webseiten

Gehackte Webseiten sind keine Seltenheit. In den meisten Fällen werden die Webseiten über Sicherheitslücken in Webanwendungen gehackt, doch auch gestohlene Zugangsdaten können hierfür genutzt werden. Deshalb sollte die Verschlüsselung der Datenübertragung eigentlich selbstverständlich sein. Besonders problematisch ist es, wenn Zugangsdaten geklaut werden, aber auch der Inhalt der Dateien kann für einen Angreifer interessant sein, beispielsweise wenn sich in PHP-Dateien Zugangsdaten zu einem Datenbankserver befinden.

Wenn eine Webseite gehackt wurde, kann es passieren, dass Werbebanner plötzlich Malware ausliefern oder der Webspace für Phishing-Webseiten missbraucht wird. Auch können über PHP E-Mails verschickt werden, somit können Webseiten zu Spamschleudern werden.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
Verschlüsselung bei den fünf größten Anbietern 
  1. 1
  2. 2
  3. 3
  4. 4
  5.  


hjp 07. Mär 2014

Wenn der Block-Cipher gemeint ist (was ich natürlich nicht ausschließen kann), zeugt das...

Horsty 06. Mär 2014

Die Sicherheitsfrage beim FTP Protokoll ist absolut berechtigt und es ist gut hierüber...

redmord 05. Mär 2014

Pageant ist für mich wirklich keine Lösung. Außerdem nutze ich auch mehrere Verbindungen...

das_ist_unglaub... 05. Mär 2014

sftp weil es über SSH läuft und nicht wie bei diversen verschlüsselten FTP Variationen...



Aktuell auf der Startseite von Golem.de
Beamer im Test
Mini-Projektoren, die nicht Mist sind

Sie sind kompakter und günstiger als große Heimkinoprojektoren. Unser Test von vier Mini-Projektoren zeigt, dass einige inzwischen auch fast so gut sind.
Ein Test von Martin Wolf

Beamer im Test: Mini-Projektoren, die nicht Mist sind
Artikel
  1. Gegen Drohnen: Kawasaki stellt mobile Laserwaffe vor
    Gegen Drohnen
    Kawasaki stellt mobile Laserwaffe vor

    Die Laserkanone, die auf einem kleinen Geländefahrzeug montiert ist, schießt Drohnen aus 100 Metern Entfernung ab.

  2. Dungeons & Dragons: Ehre unter Dieben: Überraschend gut
    Dungeons & Dragons: Ehre unter Dieben
    Überraschend gut

    Zuletzt gab es vor einem Vierteljahrhundert den Versuch, die Welt von Dungeons & Dragons auf die Leinwand zu bringen. Aber der erst der neue Film kommt dem Spielgefühl nahe.
    Eine Rezension von Peter Osteried

  3. 3D-Drucker: Der Prusa MK4 ist da
    3D-Drucker
    Der Prusa MK4 ist da

    Mit dem Prusa MK4 hat der Hersteller viele Elemente verbessert oder komplett ausgetauscht. Der 3D-Drucker kalibriert sich etwa automatisch.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    • Daily Deals • MindStar: Gigabyte RTX 4080 1.229€ statt 1.299€, Intel Core i9-12900K 399€ statt 474€ • SSDs & Festplatten bis -60% • AOC 34" UWQHD 279€ • Xbox-Controller & Konsolen-Bundles bis -27% • Windows Week • 3 Spiele kaufen, 2 zahlen [Werbung]
    •  /