Sicheres Passwort für den FTP-Zugang: so scheitern Hacker sicher

Es gibt eine Antwort, die kürzer ist als jede Regel: Lassen Sie das Passwort erzeugen. Plesk hat dafür eine Schaltfläche, und was dabei herauskommt, schlägt alles, was Sie sich merken könnten. Dieser Beitrag erklärt, warum ein sicheres Passwort für den FTP-Zugang vor allem lang sein muss, und was gilt, wenn Sie es trotzdem selbst wählen wollen.

Inhaltsverzeichnis

• Wer das Passwort kennt, ändert jede Datei
• Warum ein FTP-Server für Hacker attraktiv ist
• Die kurze Antwort: das Passwort erzeugen lassen
• Passwortrichtlinien, wenn Sie selbst wählen
• Wo Sie Ihre FTP-Zugangsdaten aufbewahren
• Wann Sie das FTP-Passwort wechseln sollten
• Das neue Passwort in FileZilla nachtragen
• Die Schwachstelle steckt selten im FTP-Port
• Erst mit Verschlüsselung ist der FTP-Zugang sicher
• Häufige Probleme mit dem FTP-Programm
• Sicheres Passwort für den FTP-Zugang: was sonst noch zählt

Wer das Passwort kennt, ändert jede Datei

Das FTP-Passwort ist der Vollzugriff auf Ihren Webspace. Wer es kennt, liest jede Datei, ändert sie und löscht sie. Er kann auch eigene Dateien ablegen, und damit Schadsoftware, die von außen wie ein Teil Ihrer Website aussieht. Malware auf einer gekaperten Website bleibt oft monatelang unbemerkt, weil die Seite weiterhin normal aussieht.

Der Zugang gehört dabei zum Systembenutzer Ihres Abonnements, nicht zu einer einzelnen Domain. Wer sich damit anmeldet, sieht deshalb jedes Verzeichnis darin, also auch die Daten der übrigen Domains. Wie dieses Konto aufgebaut ist, steht im Beitrag Systembenutzer in Plesk.

Warum ein FTP-Server für Hacker attraktiv ist

FTP steht für File Transfer Protocol, und dieses Protokoll ist so alt wie das Netz selbst. Ein FTP-Server steht rund um die Uhr im Netz und antwortet jedem, der anklopft. Genau das macht ihn zu einem lohnenden Ziel für Angreifer, denn eine Lücke im Webserver brauchen sie gar nicht. Ein geratenes Passwort genügt, und Hacker kommen damit weiter als mit jedem Werkzeug.

Brute-Force-Angriffe probieren dazu wiederholt verschiedene Benutzernamen- und Passwortkombinationen durch, meist aus fertigen Passwortlisten: Sammlungen aus früheren Datenlecks und aus Wörterbüchern. Standardpasswörter wie „admin“ oder „123456“ stehen in diesen Listen ganz oben. Die am häufigsten verwendeten Passwörter sind kurz und mischen kaum Zeichentypen, weshalb sie bei Passwortangriffen zuerst an der Reihe sind. Schwache Passwörter sind deshalb kein kleineres Risiko, sondern gar keine Hürde. Ein Passwort, das für ein Forum reicht, reicht hier also nicht.

Die kurze Antwort: das Passwort erzeugen lassen

Klicken Sie auf Erstellen und nehmen Sie, was Plesk vorschlägt. Das Feld finden Sie unter Websites & Domains, Ihre Domain, Hosting und DNS, Hosting-Einstellungen im Abschnitt Anmeldedaten für Systembenutzer.

Über den Feldern steht der Erklärtext „Verwalten Sie die Dateien und Verzeichnisse der Website über FTP oder den Dateimanager. Zugriff auf den Server über SSH, wenn erlaubt.“ Unter dem Passwortfeld ergänzt Plesk: „Geben Sie hier ein neues Passwort ein, um das Passwort des Systembenutzers zu ändern.“ Rechts daneben führt die Seite die IP-Adresse und den Dateisystempfad des Abonnements auf. Für die Passwortwahl spielt beides keine Rolle.

Ein erzeugtes Passwort ist jedem selbst ausgedachten überlegen. Sie tippen es genau einmal ins FTP-Programm, danach nie wieder. Es muss also nicht merkbar sein, sondern nur gut.

⚠️ Das bestehende Passwort zeigt Plesk nirgends an. Dahinter steckt ein einfacher Sicherheitsgrund, weil niemand mitlesen kann, was nirgends steht. Deshalb bleibt das Feld leer, und das Augensymbol macht nur sichtbar, was Sie gerade eintippen. Ein vergessenes Passwort lässt sich deshalb ersetzen, aber nie nachschlagen.

Passwortrichtlinien, wenn Sie selbst wählen

Plesk bewertet ein eingetipptes Passwort und stuft es ein. Die Stufen heißen Sehr schwach, Schwach, Stark und Sehr sicher. Zielen Sie auf die letzte Stufe, denn die erreicht ein erzeugtes Passwort mühelos.

Wollen Sie dennoch selbst wählen, helfen fünf Regeln weiter. Sie sind gängige Praxis und keine Vorgabe dieser Oberfläche.

Ein sicheres Passwort für den FTP-Zugang muss also nicht kompliziert sein, sondern lang. Vier zufällige Wörter hintereinander sind schwerer zu raten als „P@ssw0rt!“, obwohl das zweite komplizierter aussieht. Ihre eigenen Domainnamen gehören dabei in keines von beiden, denn die kennt jeder. Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen schaden dabei nicht, sie ersetzen die Länge aber nicht.

Wo Sie Ihre FTP-Zugangsdaten aufbewahren

In einem Passwortspeicher, und nirgends sonst. Ein solches Programm nimmt Ihnen das Merken ab und trägt die Zugangsdaten auf Wunsch selbst ein.

Schlecht aufgehoben sind die FTP-Zugangsdaten dagegen in der Konfigurationsdatei eines Programms auf einem gemeinsam genutzten Rechner, in einer Textdatei auf dem Schreibtisch und erst recht im Webspace selbst. Auf ein Verzeichnis, das im Web liegt, wird von außen zugegriffen, und damit ist es kein Versteck. Die Empfehlung lautet deshalb in jedem Fall: ab in den Passwortspeicher.

⚠️ Verschicken Sie die Zugangsdaten nicht per E-Mail. Braucht ein Dienstleister Zugriff, legen Sie ihm ein eigenes FTP-Konto an, dessen Basisverzeichnis nur auf seinen Ordner zeigt. Das lässt sich später wieder entfernen, ohne dass Sie Ihr eigenes Passwort ändern müssen. Plesk führt diese Konten unter Zusätzliche FTP-Konten; andere Oberflächen nennen dasselbe FTP-Accounts.

Wann Sie das FTP-Passwort wechseln sollten

Ein Wechsel ohne Anlass bringt wenig. Ein starrer Rhythmus schadet sogar eher, weil jemand, der alle vier Wochen ein neues Passwort braucht, irgendwann ein schwächeres wählt. Diese Anlässe zählen dafür wirklich:

• Ein Dienstleister ist nicht mehr für Sie tätig und kannte das Passwort.
• Sie haben es einmal per Mail oder Chat verschickt.
• Ein kompromittierter Rechner hatte es gespeichert, oder das Gerät ist abhandengekommen.
• Auf Ihrem Webspace sind fremde Dateien aufgetaucht.

⚠️ Nach einer Änderung braucht jedes Programm das neue Passwort, das sich damit anmeldet: Ihr FTP-Programm, ein Bereitstellungswerkzeug, ein Sicherungsdienst. Ist eines davon noch auf den alten Stand konfiguriert, läuft es im Hintergrund weiter und löst lauter Fehlversuche aus. Das trifft besonders Werkzeuge, die regelmäßig neue Dateien bereitstellen.

Wo genau Sie das Passwort ersetzen und welche Angaben sonst noch dazugehören, zeigt der Beitrag FTP-Zugangsdaten finden Schritt für Schritt.

Das neue Passwort in FileZilla nachtragen

Wer den FTP-Zugang mit FileZilla eingerichtet hat, findet den Login im Servermanager. Öffnen Sie Datei, dann Servermanager, wählen Sie den Eintrag Ihres Servers und tragen Sie das neue Passwort in das Feld Passwort ein. Speichern Sie, bevor Sie verbinden.

Dasselbe gilt für jedes andere FTP-Programm und für jedes Werkzeug, das Inhalte hochladen soll. Auch WordPress fragt nach den Zugangsdaten, wenn es sich per FTP selbst aktualisieren soll, und behält sie danach. Wer dort mitliest, kann ohne Umweg schädliche Inhalte hochladen.

Meldet FileZilla trotz neuem Passwort weiterhin einen Anmeldefehler, hilft die Prüfliste im Beitrag FTP-Verbindung klappt nicht weiter.

Die Schwachstelle steckt selten im FTP-Port

Der FTP-Port ist die 21, und in einem Webhosting-Paket lässt sich daran nichts ändern. Nötig ist es auch nicht. Ein ungewöhnlicher Port verbirgt einen Dienst nämlich nur kurz, weil ihn jeder Scan in Sekunden wiederfindet.

Die Schwachstelle steckt fast immer im Passwort und nicht in der Portnummer. Was stattdessen hilft, steht im nächsten Abschnitt.

Erst mit Verschlüsselung ist der FTP-Zugang sicher

Ein starkes Passwort nützt wenig, wenn es unverschlüsselt durchs Netz geht. Stellen Sie in Ihrem Programm deshalb FTP über TLS ein, und zwar explizit. Der Server bietet es an. Ohne diese Einstellung wandern Benutzername und Passwort im Klartext durch jedes Netz, in dem Sie gerade sitzen, auch durch das WLAN im Café.

SFTP oder FTPS heißen die verschlüsselten Varianten im Sprachgebrauch, wobei SFTP für SSH File Transfer Protocol steht. Dieses Verfahren setzt allerdings voraus, dass Ihr Paket SSH erlaubt, während FTP über TLS immer zur Verfügung steht. Ist die Verbindung verschlüsselt, liest niemand mehr mit. Eine verschlüsselte Verbindung erkennen Sie daran, dass Ihr Programm beim ersten Verbinden ein Zertifikat zeigt.

Zwei Dinge ersetzt auch das beste Passwort nicht:

• Getrennte Zugänge. Plesk, FTP, Postfach und Datenbank haben eigene Passwörter. Wer überall dasselbe verwendet, macht aus einem Vorfall gleich vier.
• Sparsame Rechte. Ein zusätzliches FTP-Konto mit einem engen Basisverzeichnis richtet im Zweifel weniger Schaden an als der Hauptzugang.

Häufige Probleme mit dem FTP-Programm

#Das neue Passwort wird nicht angenommen

Sonderzeichen gehen beim Kopieren gern verloren, besonders am Ende. Nehmen Sie deshalb das Kopiersymbol neben dem Feld, statt den Text mit der Maus zu markieren.

#Ihr Programm verbindet nach dem Wechsel nicht mehr

Das ist erwartbar, denn es versucht weiterhin den alten Stand. Tragen Sie das Passwort dort neu ein. Bleibt es dabei, hilft die Prüfliste zur FTP-Verbindung.

#Sie wissen nicht mehr, wie das Passwort lautet

Anzeigen lässt es sich nicht, nur ersetzen. Das gilt für alle Passwörter in Plesk, auch für das Ihres Postfachs.

Sicheres Passwort für den FTP-Zugang: was sonst noch zählt

Das Passwort der Plesk-Oberfläche ist ein anderes als das für FTP. Wer sich in Plesk anmeldet, benutzt seinen Plesk-Benutzernamen; wer eine Datei hochlädt, den Systembenutzer. Eine Änderung des einen lässt das andere unberührt.

Auch das Passwort eines Postfachs gehört nicht dazu. Es wird an der E-Mail-Adresse selbst gesetzt, und wie das geht, steht im Beitrag E-Mail-Passwort in Plesk ändern.

Für einzelne Dateien brauchen Sie übrigens gar kein Passwort im Programm: Der Dateimanager in Plesk erledigt dasselbe im Browser, wie der Beitrag Dateien in Plesk hochladen zeigt.