Dieser Artikel soll den Umgang mit den Webhosting
bzw. Root Server
Angeboten von Hosterplus.de erleichtern. Wenn Sie noch kein Angebot
von Hosterplus.de nutzen, können Sie dies hier
bestellen.
IP-Sperre nach fehlerhaften Anmeldeversuchen: IP gesperrt, was tun
Der Zugang zur Verwaltung reagiert nicht mehr, das E-Mail-Programm meldet einen Fehler, und selbst die eigene Website bleibt weiß. Bei allen anderen läuft dieselbe Seite völlig normal. Dahinter steckt oft eine IP-Sperre nach fehlerhaften Anmeldeversuchen.
Die kurze Antwort: Gesperrt wird nicht Ihr Konto, sondern die Adresse, von der die Versuche kamen. Hören Sie auf zu probieren, schalten Sie Programme ab, die im Hintergrund weiter abrufen, und warten Sie ab. Die meisten Sperren laufen von selbst wieder aus.
Was eine IP-Sperre nach fehlerhaften Anmeldeversuchen ist
Auf allen unseren Servern läuft ein Schutzprogramm mit dem Namen Fail2Ban. Es liest die Protokolldateien der Dienste mit und zählt jeden fehlgeschlagenen Login. Meldet sich die gleiche IP mehrfach mit falschen Daten, trägt es die Adresse in die Firewall ein und lässt sie eine Weile nicht mehr durch.
Gedacht ist das gegen Brute-Force-Angriffe. Dabei probiert ein fremdes Skript in wenigen Minuten tausende Kombinationen durch, bis eine passt. Ohne diese Erkennung wäre jeder Server nach kurzer Zeit offen. Die Blockierung ist also kein Versehen, sondern genau das, wofür sie da ist.
Der Zähler unterscheidet dabei nicht, wer da tippt. Viele fehlerhafte Anmeldeversuche in kurzer Zeit sehen von außen gleich aus. Dahinter kann ein Angreifer stecken oder schlicht ein vergessenes Passwort.
Wichtig ist vor allem, was dabei gesperrt wird: nicht Ihr Konto, sondern Ihre öffentliche IP-Adresse. Das ist die Adresse, unter der Ihr Anschluss im Internet erscheint. Alle Geräte in einem Haushalt oder Büro teilen sie sich. Deshalb trifft eine Sperre nicht nur das Gerät, an dem die Eingabe fehlerhaft war, sondern alle im selben Netz.
Woran Sie erkennen, dass Ihre IP gesperrt ist
Ist Ihre IP-Adresse gesperrt, geht von Ihrem Anschluss aus gar nichts mehr, während niemand sonst ein Problem meldet. Der Gegentest dauert eine Minute:
Mobilfunk statt WLAN. Schalten Sie am Telefon das WLAN aus und rufen Sie Ihre Seite über das Mobilfunknetz auf. Klappt es dort, war es die Sperre.
Ein fremder Anschluss. Dasselbe zeigt der Rechner eines Bekannten oder ein Zugang im Büro, sofern er nicht über dieselbe Leitung läuft.
Eine eigene Fehlermeldung bekommen Sie dabei übrigens nicht. Wer von einer gesperrten Adresse aus zugreifen will, bekommt von der Firewall gar keine Antwort. Im Browser sieht das aus wie eine Leitungsstörung, im Mailprogramm wie ein Serverausfall.
Was IP-Sperren auslöst: FTP, Postfach und Verwaltung
Fast immer steckt kein Angriff dahinter, sondern ein Gerät im eigenen Haus. Es probiert im Hintergrund unermüdlich weiter. Diese drei Fälle sehen wir am häufigsten.
Ein FTP-Zugang oder ein Mailkonto wird einmal eingerichtet und danach gespeichert. Ändern sich die Daten auf dem Server, versucht die Software es weiter mit den alten. Ein Mailkonto ruft alle paar Minuten neue Post ab. Jeder dieser Abrufe zählt als einer von vielen fehlerhaften Logins. Damit ist die Zahl nach kurzer Zeit erreicht.
Besonders unangenehm daran: Solche Loginversuche laufen oft auf einem Gerät, an das gerade niemand denkt. Ein altes Telefon in der Schublade genügt, ebenso ein Rechner im Nebenraum. Fehlerhafte Anmeldungen kommen dann in aller Ruhe rund um die Uhr, ohne dass jemand etwas davon merkt.
Wer sein Passwort nicht zur Hand hat, probiert der Reihe nach aus, was es gewesen sein könnte. Damit kommt man schnell auf eine Handvoll Fehlversuche. Ist ein Anmeldeversuch fehlgeschlagen, wird der nächste selten besser geraten. Genau deshalb gilt der erste Rat weiter unten: aufhören, statt weiterzuraten.
Im Büro erscheinen alle Arbeitsplätze unter einer gemeinsamen Adresse nach außen. Vertippt sich also eine Kollegin, trifft die Sperre das ganze Haus. Von außen ist nicht zu unterscheiden, wer da gerade probiert hat.
Die Sperre loswerden: abwarten oder entsperren lassen
Die Reihenfolge ist wichtig. Wer den zweiten Schritt vor dem ersten macht, verlängert die Sache nur.
Hören Sie auf zu probieren. Jeder weitere Versuch setzt die Uhr zurück, und bei Wiederholungstätern greifen längere Sperren.
Schalten Sie abrufende Geräte ab. Mailprogramm schließen, FTP-Programm beenden, das Telefon vom WLAN trennen. Solange eines davon weiterprobiert, bleibt der Zähler in Bewegung.
Warten Sie. Die Sperre ist temporär und läuft nach der eingestellten Zeit von selbst wieder aus.
Starten Sie den Router neu. Viele Anschlüsse bekommen dabei eine neue Adresse, und die ist nicht gesperrt. Bei einer festen Adresse hilft das nicht.
Bitten Sie den Support. Wir können die Sperre manuell aufheben und Ihren Zugang wieder freischalten. Nennen Sie dabei den Dienst, bei dem es hakte, und die Adresse, unter der Sie erscheinen. Die zeigt Ihnen unter anderem die Oberfläche Ihres Routers.
Ist für Ihren Zugang ein zweiter Faktor eingeschaltet, bremst Plesk selbst, bevor die Firewall überhaupt eingreift. Der Wortlaut lautet dann: Sie haben die maximale Anzahl der Versuche zur Eingabe des Codes überschritten. Bitte versuchen Sie es später noch einmal.
Auch hier gilt: warten statt weiter tippen. Prüfen Sie in der Zwischenzeit die Uhrzeit Ihres Telefons. Läuft sie ein paar Minuten vor oder nach, stimmen die erzeugten Codes nicht mehr.
Wie lange eine gesperrte IP gesperrt bleibt
Eine feste Zahl können wir Ihnen nicht nennen. Die Zeitspanne ist konfiguriert und lässt sich aus Ihrer Ansicht nicht ablesen. Sagen lässt sich aber die Größenordnung, mit der Plesk arbeitet.
In den Grundeinstellungen des Produkts wird eine Adresse nach fünf fehlgeschlagenen Versuchen für 300 Sekunden gesperrt, also für fünf Minuten. Anmeldeversuche zählt der Server dabei innerhalb eines Zeitfensters von zehn Minuten. Ob ein einzelner Server genau so eingestellt ist, steht allerdings auf einem anderen Blatt. Diese Werte gehören zur Serververwaltung, und dort kann sie der Administrator anpassen.
Dort steht auch, welche IPs gerade gesperrt sind, zusammen mit den Firewall-Regeln, die dazu geführt haben. Aus Ihrer Kundenansicht heraus ist diese Übersicht nicht erreichbar, deshalb führt der Weg im Zweifel über den Support.
Zwei Dinge kommen hinzu. Erstens hängt es von der Einstellung ab, ob nach fehlgeschlagenen Anmeldeversuchen nur der betroffene Dienst dichtmacht oder gleich alle Zugänge. Zweitens gibt es eine gesonderte Regel für Adressen, die immer wieder auffallen. Sie werden für deutlich längere Zeit ausgesperrt, im Extremfall für eine ganze Woche. Deshalb ist es keine Kleinigkeit, nach einer abgelaufenen Sperre einfach weiterzuprobieren.
Sehe ich, wer sich zuletzt angemeldet hat?
In der Kundenansicht nicht. Wir haben zunächst unter Mein Profil nachgesehen und danach auf der Kontoseite. Es gibt dort weder eine Liste der letzten Sitzungen noch eine Anzeige fehlgeschlagener Zugriffe. Ein Anmeldeverlauf gehört schlicht nicht zum Umfang dieser Ansicht.
Protokolle gibt es trotzdem, sie betreffen nur etwas anderes. Unter Protokolle stehen die Aufzeichnungen des Webservers, also wer Ihre Website aufgerufen hat. Wer sich an der Verwaltung angemeldet hat, steht dort nicht.
Die Spalte IP in dieser Liste hilft im Verdachtsfall weiter. Sie zeigt nämlich, von welchen Adressen aus Ihre Seite abgerufen wurde. Wie Sie die Protokolle öffnen und lesen, steht in der Anleitung zu Fehler 500 und den Protokollen.
Das Fehlen eines Anmeldeverlaufs ist übrigens keine Nachlässigkeit. Auf der Serverseite werden Anmeldungen sehr wohl aufgezeichnet, nur eben an einer Stelle, die dem Betrieb vorbehalten bleibt. Bleibt ein Verdacht, kann der Support dort nachsehen.
Woran Sie einen fremden Zugriff sonst bemerken
Ohne Anmeldeverlauf bleiben mehrere Anhaltspunkte. In der Praxis sind die oft sogar aussagekräftiger als eine Liste von Zeitstempeln.
Wo
Was auffällt
Postausgangskontrolle
über Ihre Adressen lief plötzlich Massenpost
Statistiken
ungewöhnlich viel Verkehr oder belegter Speicher
Protokolle
Zugriffe zu Zeiten, in denen niemand arbeitet
Dateimanager
Dateien mit einem Änderungsdatum, das niemand erklärt
Benutzer
Konten, die Sie nie angelegt haben
Bestätigt sich der Verdacht, ändern Sie zuerst die Zugangsdaten und melden sich dann beim Support. Beides zusammen, denn ein neues Passwort allein sagt uns nichts über den Weg, den jemand genommen hat.
So vermeiden Sie die nächste IP-Sperre
Die wirksamsten Gewohnheiten kosten nichts. Sie helfen zudem gegen beide Fälle, gegen den Fehlalarm und gegen den echten Einbruch.
Zugangsdaten an einer Stelle pflegen. Wer sie in einem Passwortmanager ablegt, tippt sie nicht dreimal falsch und muss auch nicht raten.
Nach jeder Änderung alle Geräte nachziehen. Telefon, Tablet, der Rechner im Nebenraum und das Programm, das nachts sichert.
Für jeden Zugang ein eigenes Passwort. Fällt eines auf, sind die anderen davon unberührt.
Einen zweiten Faktor einschalten. Damit nützt ein gestohlenes Passwort niemandem mehr, und das ist der wirksamste einzelne Schritt.
Die Liste der Benutzer gelegentlich prüfen. Ein Konto, das niemand mehr braucht, gehört entfernt, und wer weniger darf, kann weniger anrichten.
Technisch ja, denn über ein VPN oder einen Proxy erscheinen Sie unter einer anderen Adresse, und die ist nicht gesperrt. Als Lösung taugt es trotzdem nicht: Das Programm, das den Fehler ausgelöst hat, probiert weiter, und die nächste Sperre kommt bestimmt. Wer die Ursache abstellt, braucht den Umweg nicht.
Ja. Eine Sperre gilt immer nur für die eine Adresse, von der die Versuche kamen, im Englischen oft IP-Ban genannt. Ihre Besucher merken davon nichts, Ihre Seite bleibt online, und auch Postfächer arbeiten für alle anderen weiter. Genau das macht den Fall so verwirrend: Für Sie ist alles tot, für den Rest der Welt läuft es.
Dort verwalten Sie den Schutz selbst. Sie können die Regeln der Firewall ändern, gesperrte Adressen einsehen und die Anmeldungen am System auswerten. Wie Sie dabei vorgehen, steht unter fremde Anmeldungen am Root-Server erkennen.
