Webspace: Sicherheitsrisiko FTP

Wer eine eigene Webseite betreibt, überträgt sie meist per FTP zum Webhoster. Dabei kommt häufig keine Verschlüsselung zum Einsatz. Kein einziger großer Provider weist seine Kunden auf diese Risiken adäquat hin; bei manchen Providern ist eine verschlüsselte Verbindung überhaupt nicht möglich.

Artikel veröffentlicht am , Hanno Böck
Firefox meldet eine gehackte Webseite mit Malware.
Firefox meldet eine gehackte Webseite mit Malware. (Bild: Mozilla)

Das File Transfer Protokoll (FTP) ist schon etwas betagt. Entwickelt wurde es bereits in den 1970er Jahren, lange bevor es das World Wide Web überhaupt gab. Doch bis heute hat FTP eine wichtige Funktion: Es kommt fast immer zum Einsatz, wenn Betreiber von Webseiten ihre HTML- oder PHP-Dateien auf den Server eines Webhosters hochladen - häufig ohne Verschlüsselung.

Verwirrende Situation: SFTP, FTPS, FTPES

Ursprünglich unterstützte FTP keine Verschlüsselung, sämtliche Dateien und auch die Zugangsdaten wurden ungeschützt übertragen. Die Situation bei verschlüsselten Dateiübertragungsverfahren ist heute unübersichtlich geworden.

Zunächst gibt es ein Protokoll namens SFTP. Das hat allerdings mit dem ursprünglichen FTP-Protokoll nur den Namen gemein. Es handelt sich hierbei um das SSH-Protokoll, das üblicherweise zum abgesicherten Login auf Unix-Servern dient. Es kann auch so konfiguriert werden, dass kein echter Login möglich ist und nur Dateien übertragen werden können.

Daneben gibt es auch die Möglichkeit, das ursprüngliche FTP-Protokoll um TLS zu erweitern, was häufig mit der Abkürzung FTPS bezeichnet wird. Hier gibt es zwei Varianten, einen sogenannten impliziten und einen expliziten Modus. Der implizite Modus gilt als veraltet und wird kaum noch verwendet, der explizite Modus wird häufig mit FTPES abgekürzt (File Transfer Protocol Explicit Security).

Gehackte Webseiten

Stellenmarkt
  1. IT-Administrator/IT-Kaufmann (m/w/d)
    Elektrizitätswerk Mittelbaden AG & Co. KG, Lahr
  2. Software Engineer (m/w/d) im Bereich Application Integration / Integrationsarchitektur Dell Boomi/IDS
    Hannover Rück SE, Hannover
Detailsuche

Gehackte Webseiten sind keine Seltenheit. In den meisten Fällen werden die Webseiten über Sicherheitslücken in Webanwendungen gehackt, doch auch gestohlene Zugangsdaten können hierfür genutzt werden. Deshalb sollte die Verschlüsselung der Datenübertragung eigentlich selbstverständlich sein. Besonders problematisch ist es, wenn Zugangsdaten geklaut werden, aber auch der Inhalt der Dateien kann für einen Angreifer interessant sein, beispielsweise wenn sich in PHP-Dateien Zugangsdaten zu einem Datenbankserver befinden.

Wenn eine Webseite gehackt wurde, kann es passieren, dass Werbebanner plötzlich Malware ausliefern oder der Webspace für Phishing-Webseiten missbraucht wird. Auch können über PHP E-Mails verschickt werden, somit können Webseiten zu Spamschleudern werden.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
Verschlüsselung bei den fünf größten Anbietern 
  1. 1
  2. 2
  3. 3
  4. 4
  5.  


Aktuell auf der Startseite von Golem.de
Ubisoft
Avatar statt Assassin's Creed

E3 2021 Als wichtigste Neuheit hat Ubisoft ein Spiel auf Basis von Avatar vorgestellt - und Assassin's Creed muss mit Valhalla in die Verlängerung.

Ubisoft: Avatar statt Assassin's Creed
Artikel
  1. Fifa, Battlefield und Co.: Der EA-Hack startete mit Cookies für 10 US-Dollar
    Fifa, Battlefield und Co.
    Der EA-Hack startete mit Cookies für 10 US-Dollar

    Die Hacking-Gruppe erklärt dem Magazin Motherboard Schritt für Schritt, wie der Hack auf EA gelang. Die primäre Fehlerquelle: der Mensch.

  2. Extraction: Rainbow Six und der Kampf gegen Außerirdische
    Extraction
    Rainbow Six und der Kampf gegen Außerirdische

    E3 2021 Es ist ein ungewöhnlicher Ableger für Siege: Ubisoft hat Rainbow Six Extraction vorgestellt, das auf den Kampf gegen KI-Aliens setzt.

  3. Onlinetickets: 17-Jähriger betrügt Bahn um 270.000 Euro
    Onlinetickets
    17-Jähriger betrügt Bahn um 270.000 Euro

    Mit illegal erworbenen Onlinetickets soll ein 17-Jähriger die Bahn um 270.000 Euro geprellt haben. Entdeckt wurde er nur durch Zufall.

hjp 07. Mär 2014

Wenn der Block-Cipher gemeint ist (was ich natürlich nicht ausschließen kann), zeugt das...

Horsty 06. Mär 2014

Die Sicherheitsfrage beim FTP Protokoll ist absolut berechtigt und es ist gut hierüber...

redmord 05. Mär 2014

Pageant ist für mich wirklich keine Lösung. Außerdem nutze ich auch mehrere Verbindungen...

das_ist_unglaub... 05. Mär 2014

sftp weil es über SSH läuft und nicht wie bei diversen verschlüsselten FTP Variationen...

das_ist_unglaub... 05. Mär 2014

So ein Unsinn - Du glaubst doch nicht wirklich dass die Verschlüsselung im Kontext einer...


Folgen Sie uns
       


Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Schnäppchen • Alternate (u. a. MSI Optix 27" WQHD/165 Hz 315,99€ und Fractal Design Vector RS Blackout Dark TG 116,89€) • Corsair Hydro H80i V2 RGB 73,50€ • Apple iPad 10.2 389€ • Razer Book 13 1.158,13€ • Fractal Design Define S2 Black 99,90€ • Intel i9-11900 379€ • EPOS Sennheiser GSP 600 149€ [Werbung]
    •  /