FTP: der Dateitransfer aus den Anfängen des Internets

Älter als das Internet selbst, jahrzehntelang der Standard für Downloads und Website-Uploads – und heute ein Sicherheitsrisiko, wenn es noch unverschlüsselt läuft. Was FTP ist, was es ersetzt und worauf Sie achten sollten.

Was ist FTP?

FTP heisst File Transfer Protocol, auf Deutsch Dateiübertragungsprotokoll. Damit lädt man Dateien von einem Server herunter oder auf einen Server hoch – früher zum Beispiel Programme, Treiber oder die Dateien der eigenen Website.

FTP arbeitet mit zwei Leitungen: Über die eine sprechen Computer und Server miteinander («Ich bin Anna, mein Passwort ist …», «Zeig mir den Ordner», «Gib mir diese Datei»). Über die zweite fliesst die Datei selbst.

Schema: Steuerleitung auf Port 21 für Befehle wie Anmeldung und Dateiliste, getrennte Datenleitung für die Dateien — Zwei Leitungen: eine für die Befehle, eine für die Daten.

Wie ein Bestellschalter mit separater Warenausgabe: Am Schalter wird bestellt, die Ware kommt durch eine andere Öffnung.

Eine kurze Geschichte

Zeitstrahl von FTP: 1971 erste Beschreibung, 1985 heutiger Standard, 1990er Erweiterungen, 2005 FTPS, 2021 Ende von FTP in den Browsern — Über 50 Jahre Dateiübertragung.

1971 Abhay Bhushan beschreibt FTP für das ARPANET – noch vor E-Mail-Standards und lange vor dem World Wide Web.
1985 Die bis heute gültige Fassung erscheint.
1990er FTP ist der Weg, um Software zu verteilen. Viele Server erlauben «anonymes» FTP ohne eigenes Konto.
2000er Webhoster bieten FTP zum Hochladen von Websites an. Gleichzeitig entstehen sichere Nachfolger: FTPS (FTP mit Verschlüsselung) und SFTP (Dateiübertragung über SSH).
2021 Chrome und Firefox entfernen FTP. Links mit ftp:// öffnen sich im Browser nicht mehr.
Heute FTP lebt vor allem in älteren Geräten und Abläufen weiter, etwa bei Scannern, Maschinen oder alten Website-Werkzeugen.

Das Problem: alles im Klartext

Klassisches FTP überträgt Benutzername, Passwort und Dateien unverschlüsselt. Wer im selben Netz mithört – im öffentlichen WLAN, beim Provider oder mit einem gehackten Router –, kann alles mitlesen. Besonders heikel: Mit einem FTP-Passwort lässt sich oft die ganze Website verändern, zum Beispiel um Schadsoftware einzuschleusen.

Dazu kommen ständige Angriffe: Automaten probieren rund um die Uhr Passwörter an offenen FTP-Diensten aus, und alte FTP-Server haben bekannte Sicherheitslücken.

Die sicheren Nachfolger

Vergleich: FTP ohne Verschlüsselung (Port 21), FTPS mit TLS-Verschlüsselung (Port 21 oder 990), SFTP über SSH (Port 22) — FTP, FTPS und SFTP im Vergleich.

FTPS ist FTP mit Verschlüsselung (wie das S bei https). Es bleibt bei zwei Leitungen und ist deshalb für Firewalls umständlich.
SFTP hat mit FTP nur den Namen gemeinsam: Es läuft über SSH, die sichere Verbindung für die Fernwartung von Servern, braucht nur eine Leitung und kann statt Passwörtern Schlüssel verwenden. Das ist heute die Empfehlung.
Für das Teilen mit Menschen eignen sich verschlüsselte Austauschplattformen oder Cloud-Freigaben mit Ablaufdatum besser als ein Server.

FTP heute

Browser können kein FTP mehr; man braucht ein eigenes Programm (z. B. FileZilla, WinSCP).
Viele Hoster bieten neben FTP auch SFTP an – oft ist FTP nur noch aus Gewohnheit eingeschaltet.
Geräte wie Multifunktionsdrucker («Scan to FTP»), Kameras oder Steuerungen in der Produktion senden noch per FTP. Das sollte nur im internen Netz geschehen, nie über das Internet.
Öffentliche Download-Archive sind fast alle auf HTTPS umgestiegen.

Was kommt

Unverschlüsseltes FTP verschwindet weiter. Neue Systeme setzen auf SFTP oder HTTPS.
Auch SFTP wird moderner: SSH stellt auf Verfahren um, die auch künftigen Quantencomputern standhalten.
Automatische Abläufe zwischen Firmen laufen zunehmend über Schnittstellen (APIs) statt über Dateien auf einem Server.

Was Sie tun können

Prüfen, ob bei Ihrer Website oder Ihrem Hoster noch FTP offen ist, und es abschalten, wenn niemand es braucht.
Für Uploads SFTP verwenden, am besten mit Schlüssel statt Passwort.
Geräte, die per FTP senden, nur intern betreiben und vom Internet abschotten.
Die eigene Domain von aussen prüfen lassen: offene FTP-Dienste fallen dabei auf.

Kurz zusammengefasst

FTP (1971/1985) überträgt Dateien über zwei Verbindungen: Steuerung auf Port 21, Daten separat.
Klassisches FTP ist unverschlüsselt: Passwörter und Dateien lassen sich mitlesen.
Browser unterstützen FTP seit 2021 nicht mehr.
Sichere Nachfolger: SFTP (über SSH, Empfehlung) und FTPS (FTP mit TLS).
Nicht benötigte FTP-Dienste abschalten; Geräte mit FTP nur intern betreiben.