Website Header

SFTP Zugang einrichten und sicher nutzen

Über einen SFTP Zugang laden Sie Dateien verschlüsselt auf Ihren Webspace und wieder herunter. Das braucht man häufiger, als man denkt. Sie brauchen ihn etwa für eine Installation von Hand oder einen Umzug. Auch wenn eine Seite nach einem Update nicht mehr lädt, hilft er weiter. Auch Sicherungen holen Sie so auf den eigenen Rechner. Der ältere Weg über FTP überträgt Passwörter unverschlüsselt und sollte nicht mehr genutzt werden.

FTP, FTPS oder SFTP

Die drei Abkürzungen klingen ähnlich, funktionieren aber unterschiedlich. Für die Sicherheit Ihrer Seite ist der Unterschied entscheidend.

FTP überträgt unverschlüsselt über Port 21 und sollte nicht mehr genutzt werden, FTPS ist FTP mit TLS über Port 21 oder 990, SFTP läuft verschlüsselt über SSH auf Port 22 und ist die erste Wahl

Bei FTP gehen Benutzername und Passwort im Klartext durch das Netz. Wer die Verbindung mitliest, etwa in einem offenen WLAN, hat Zugriff auf Ihren Webspace. Genau so gelangen Angreifer immer wieder an Zugangsdaten.

FTPS verschlüsselt die Verbindung zusätzlich, ist aber umständlicher, weil mehrere Verbindungen und Ports im Spiel sind. Ein Port ist so etwas wie eine Türnummer am Server, hinter der ein bestimmter Dienst wartet. SFTP nutzt dagegen eine einzige verschlüsselte Verbindung über SSH, das Verfahren für sichere Fernzugriffe auf Server. Es funktioniert auch hinter den meisten Firewalls zuverlässig.

Den SFTP Zugang im Kundenmenü finden

Die Zugangsdaten stehen im Kundenmenü Ihres Hosters. Je nach Oberfläche heißt der Bereich FTP-Zugang, Webhosting-Zugang oder Systembenutzer.

Dort finden Sie den Benutzernamen und können ein Passwort festlegen. Bei manchen Oberflächen muss der SSH-Zugang für diesen Benutzer erst eingeschaltet werden, damit SFTP funktioniert. Ist dort „verboten“ oder „kein Zugang“ eingestellt, klappt nur FTP. Viele Hoster erlauben mehrere Benutzer, die jeweils nur einen bestimmten Ordner sehen. Das ist praktisch, wenn ein Webdesigner nur an einem Teil der Seite arbeiten soll.

Nicht jeder Tarif bietet SFTP. Sehr günstige Pakete beschränken sich manchmal auf FTP oder FTPS. Ein Tarif ohne verschlüsselten Dateizugang ist heute ein Grund, den Anbieter zu wechseln. Ein Aufpreis nur für SFTP ebenso.

Das passende Programm

Sie brauchen ein Programm, das SFTP beherrscht. Bewährt sind FileZilla für Windows, Mac und Linux, WinSCP für Windows und Cyberduck für Mac und Windows. Alle drei sind kostenlos. Für einzelne Dateien geht es auch ohne Programm, denn die meisten Kundenmenüs haben einen Dateimanager im Browser. Für größere Arbeiten und den Notfall ist der SFTP Zugang mit einem eigenen Programm aber bequemer.

Laden Sie das Programm nur von der offiziellen Seite des Herstellers. Achten Sie bei der Installation auf Zusatzangebote, die Sie nicht brauchen. Wenn das Programm Zugangsdaten speichert, schützen Sie sie mit einem Masterpasswort, sofern es diese Möglichkeit gibt. Sonst liegen die Passwörter für Ihren Webspace ungeschützt auf dem Rechner.

Die Verbindung einrichten

In jedem Programm gibt es eine Verwaltung für Server oder Lesezeichen. Dort tragen Sie die Angaben aus dem Kundenmenü ein.

Angaben für die Verbindung: Server aus dem Kundenmenü, Protokoll SFTP, Port 22, Benutzername aus dem Kundenmenü und Passwort oder Schlüssel

Beim ersten Verbinden zeigt das Programm einen Fingerabdruck des Servers und fragt, ob Sie ihm vertrauen. Der Fingerabdruck ist eine Zeichenfolge, an der Sie den echten Server erkennen. Viele Hoster veröffentlichen diese Fingerabdrücke in ihrer Hilfe. Vergleichen Sie sie, bevor Sie bestätigen. Taucht die Frage später bei einem bekannten Server erneut auf, fragen Sie beim Support nach. Das gilt besonders, wenn der Hoster keinen Wechsel angekündigt hat.

Nach der Verbindung sehen Sie links Ihren Rechner und rechts den Webspace. Der Ordner, den Besucher im Browser sehen, heißt je nach Oberfläche etwa httpdocs, public_html oder html. Dateien, die öffentlich sein sollen, gehören dort hinein.

Anmeldung mit Schlüssel statt Passwort

Noch sicherer als ein Passwort ist ein SSH-Schlüssel. Er besteht aus zwei Teilen: einem privaten, der nur auf Ihrem Rechner liegt, und einem öffentlichen, den Sie beim Hoster hinterlegen. Wer Ihr Passwort errät, kommt damit nicht weiter.

  1. Erzeugen Sie ein Schlüsselpaar, etwa mit dem Befehl ssh-keygen -t ed25519 in der Kommandozeile oder mit dem Schlüsselprogramm Ihres SFTP-Programms.
  2. Schützen Sie den privaten Schlüssel mit einer Passphrase.
  3. Hinterlegen Sie den öffentlichen Schlüssel im Kundenmenü oder in der Datei authorized_keys im Ordner .ssh Ihres Benutzers. Mit SSH-Zugang erledigt das ssh-copy-id benutzer@server in einem Schritt. Die Datei braucht die Rechte 600, der Ordner .ssh die Rechte 700, sonst lehnt der Server den Schlüssel oft ab.
  4. Wählen Sie im Programm die Anmeldung mit Schlüssel und geben Sie die Datei des privaten Schlüssels an.

Den privaten Schlüssel geben Sie nie weiter, auch nicht an den Support. Für jede Person, die Zugriff braucht, gibt es ein eigenes Schlüsselpaar. Führen Sie eine kurze Liste, wer welchen Zugang und welchen Schlüssel hat. Verlässt jemand das Team oder endet ein Auftrag, löschen Sie beides am selben Tag.

Wenn die Verbindung nicht klappt

Die meisten Fehler beim SFTP Zugang haben eine von vier Ursachen. Die Meldung des Programms verrät meist schon, welche.

Verbindung abgelehnt heißt meist falsches Protokoll oder falscher Port, Authentifizierung fehlgeschlagen heißt Benutzername oder Passwort falsch oder SSH für den Benutzer aus, Zeitüberschreitung deutet auf einen falschen Servernamen oder eine Firewall, Zugriff verweigert beim Hochladen auf fremde Besitzrechte oder zu enge Rechte

Ein häufiger Stolperstein ist der Benutzername. Er ist meist nicht Ihre Mailadresse und nicht die Kundennummer, sondern ein eigener Name aus dem Bereich für den Dateizugang.

Lässt sich eine hochgeladene Datei nicht ändern, stimmen oft die Rechte nicht. Üblich sind 644 für Dateien und 755 für Ordner. Sie selbst dürfen dann lesen und schreiben, alle anderen nur lesen. Die meisten Programme zeigen die Rechte per Rechtsklick unter Dateiberechtigungen oder Dateiattributen. Was falsche Rechte sonst auslösen können, beschreibt 500 Internal Server Error.

SFTP Zugang: kurze Fragen und Antworten

Den Dateizugang braucht man meist genau dann, wenn im Dashboard nichts mehr geht.

Brauche ich SFTP überhaupt, wenn ich WordPress nutze?

Im Alltag nicht, das Dashboard reicht. Im Notfall schon: Lädt die Seite nach einem Plugin-Update nicht mehr, ist der Dateizugang oft der einzige Weg, das Plugin abzuschalten. Richten Sie ihn deshalb ein, bevor Sie ihn brauchen. Bei der Installation von Hand führt ohnehin kein Weg daran vorbei, siehe WordPress installieren.

Kann ich mit SFTP die Datenbank sichern?

Nein. SFTP überträgt nur Dateien. Die Datenbank exportieren Sie über die Datenbankverwaltung im Kundenmenü oder ein Backup-Werkzeug.

Ist SFTP dasselbe wie SSH?

SFTP läuft über SSH, ist aber auf Dateien beschränkt. Mit SSH selbst können Sie zusätzlich Befehle auf dem Server ausführen, sofern der Tarif das erlaubt.

Was mache ich, wenn ein Passwort in falsche Hände geraten ist?

Ändern Sie es sofort im Kundenmenü und prüfen Sie, ob Dateien verändert wurden. Wie Sie dabei vorgehen, steht unter Website gehackt.

Was nicht in den öffentlichen Ordner gehört

Mit dem SFTP Zugang landen schnell Dateien im Webordner, die dort nichts zu suchen haben. Alles in diesem Ordner kann im Browser aufgerufen werden, wenn jemand den Namen errät. Halten Sie diese Dateien davon fern:

  • Sicherungen als ZIP-Archiv oder Datenbank-Export,
  • alte Kopien wie index-alt.php oder wp-config.bak,
  • Notizen mit Zugangsdaten,
  • Testinstallationen, die niemand mehr pflegt.

Sicherungen holen Sie auf den eigenen Rechner oder legen sie in einen Ordner außerhalb des Webordners, wenn der Hoster das erlaubt. Alte Testinstallationen löschen Sie ganz. Was eine WordPress-Seite darüber hinaus schützt, zeigt WordPress jetzt absichern.