FTP ist ein standardisiertes Protokoll für den Dateiaustausch. Ein Client kann damit Dateien hochladen, herunterladen und Verzeichnisse auf einem Server verwalten, sofern seine Berechtigungen das erlauben. In älteren Anwendungen und automatisierten Austauschprozessen ist FTP weiterhin anzutreffen.
Wie funktioniert FTP?
FTP verwendet getrennte TCP-Verbindungen für Steuerung und Datenübertragung. Die Steuerverbindung läuft üblicherweise über Port 21. Darüber werden Anmeldung und Befehle ausgetauscht. Für Dateien und Verzeichnislisten wird zusätzlich eine Datenverbindung aufgebaut.
- Aktiver Modus: Der Server baut die Datenverbindung zum vom Client angegebenen Ziel auf.
- Passiver Modus: Der Server teilt dem Client einen Datenport mit; der Client baut auch diese Verbindung auf.
Diese Trennung ist bei Firewall und NAT relevant. Eine Freigabe von Port 21 allein reicht für einen funktionierenden Transfer häufig nicht. Passive Portbereiche und zulässige Gegenstellen sollten gezielt konfiguriert werden.
FTP, FTPS und SFTP unterscheiden
Unverschlüsseltes FTP bietet selbst keinen Schutz vor dem Mitlesen von Passwörtern oder übertragenen Inhalten. Für vertrauliche Daten über nicht vertrauenswürdige Netze ist es deshalb ungeeignet.
FTPS ergänzt FTP um TLS. Dabei müssen Client und Server sichere Verbindungen verlangen und Zertifikate prüfen. Auch der Datenkanal muss geschützt sein; eine verschlüsselte Anmeldung allein sichert nicht automatisch jede Dateiübertragung.
SFTP ist ein anderes Protokoll, das über SSH arbeitet. Es ist weder identisch mit FTP noch lediglich eine andere Bezeichnung für FTPS. Beide Seiten eines Transfers müssen dasselbe Verfahren unterstützen.
Worauf Unternehmen achten sollten
Für neue Austauschprozesse sollte ein geeignetes verschlüsseltes Verfahren vereinbart werden. Bestehende FTP-Abhängigkeiten zunächst inventarisieren, bevor Zugänge abgeschaltet oder umgestellt werden.
Dienstkonten benötigen nur die erforderlichen Verzeichnisrechte. Zugangsdaten gehören nicht ungeschützt in Skripte oder frei zugängliche Konfigurationsdateien. Protokollierung, Fehlerbehandlung und eine Prüfung der vollständig angekommenen Dateien machen automatisierte Abläufe nachvollziehbar.
Muss eine ältere Anwendung vorübergehend FTP behalten, können Netzwerksegmentierung und ein kontrollierter VPN-Tunnel den Übertragungsweg zusätzlich begrenzen. Das ersetzt keinen geplanten Wechsel auf ein geeignetes Verfahren.