FTP, SFTP, FTPS, HTTPS, AS2 … Bei den vielen verschiedenen Optionen für die Übertragung von Dateien fällt es mitunter nicht leicht, die allerwichtigste Frage zu beantworten: Welche Option für die sichere Übertragung von Daten ist für Ihr Unternehmen am besten geeignet? Dieser Artikel bietet eine Einführung in die Unterschiede zwischen zwei gängigen sicheren FTP-Protokollen – SFTP und FTPS – und gibt Auskunft darüber, mit welcher Option Sie Ihre Dateiübertragungen am besten schützen können.
Was spricht gegen FTP?
FTP ist ein beliebtes Verfahren zur Dateiübertragung, das bereits länger als das World Wide Web existiert – und das seit seiner Einführung kaum geändert wurde. Damals wurden böswillige Angriffe über das Internet nicht antizipiert. Daher wurde FTP nicht als sicheres Dateiübertragungsprotokoll entwickelt und ist hinsichtlich der heutigen Sicherheitsbedrohungen ungeeignet.
Bei FTP werden Daten über zwei getrennte Kanäle ausgetauscht, den Befehlskanal und den Datenkanal. Beide Kanäle bleiben dabei unverschlüsselt. Daten, die über diese Kanäle übertragen werden, können abgefangen und gelesen werden.
Selbst wenn Sie persönlich einen Man-in-the-Middle-Angriff in Kauf nehmen würden, schreiben Branchenanforderungen wie PCI DSS und HIPAA verschlüsselte Datenübertragungen vor. Leider erfreut sich FTP trotz steigender Sicherheitsrisiken und den hohen Risiken von Compliance-Verstößen immer größerer Beliebtheit.
Wir empfehlen Ihnen ausdrücklich, anstelle von FTP-Standardprotokollen eine sicherere Option zu verwenden.
Was ist FTPS?
In den 1990er-Jahren wuchsen die Bedenken hinsichtlich der Internetsicherheit. Netscape entwickelte daraufhin für den Schutz der Kommunikation über ein Netzwerk das Secure Sockets Layer-Protokoll (SSL, heute TLS). Aus SSL und FTP entstand FTPS. Wie bei FTP läuft auch bei FTPS die Übertragung über zwei Verbindungen, einen Befehls- und einen Datenkanal. Es können beide Verbindungen oder nur die Verbindung über den Datenkanal verschlüsselt werden.
FTPS authentifiziert Ihre Verbindung anhand von Benutzer-ID und Kennwort, einem Zertifikat oder mit beiden Optionen. Bei der Verbindungsherstellung zu einem FTPS-Server eines Geschäftspartners überprüft Ihr FTPS-Client zunächst, ob das Zertifikat des Servers vertrauenswürdig ist. Ein Zertifikat ist vertrauenswürdig, wenn es entweder von einer bekannten Zertifizierungsstelle oder von Ihrem Partner signiert wurde und Sie in Ihrem Key Store über eine Kopie des öffentlichen Zertifikats verfügen. Möglicherweise setzt Ihr Partner voraus, dass Sie bei der Verbindungsherstellung ein Zertifikat bereitstellen. Ist Ihr Zertifikat nicht von einer dritten Zertifizierungsstelle signiert, lässt Ihr Partner möglicherweise eine Selbstsignierung zu. Dabei wird der öffentliche Teil vorab an den Key Store gesendet.
Die Authentifizierung der Benutzer-ID kann mit einer beliebigen Kombination aus Zertifikat und/oder Kennwort erfolgen.
Was ist SFTP?
FTPS fügt dem FTP-Protokoll eine Sicherheitsebene hinzu. SFTP hingegen ist ein komplett eigenständiges Protokoll, das auf dem Netzwerkprotokoll SSH (Secure Shell) beruht. Bei SFTP wird nur eine Verbindung verwendet und es werden sowohl Authentifizierungsinformationen als auch die übertragenen Daten verschlüsselt.
SFTP ermöglicht zwei Verfahren für die Authentifizierung von Verbindungen. Wie bei FTP können Benutzer-ID und Kennwort verwendet werden. Da bei SFTP diese Anmeldeinformationen jedoch verschlüsselt sind, besteht ein großer Sicherheitsvorteil gegenüber FTP. Auch SSH-Schlüssel können als SFTP-Authentifizierungsverfahren eingesetzt werden. Bei diesem Verfahren werden zunächst ein privater und ein öffentlicher SSH-Schlüssel generiert. Sie senden dann den öffentlichen SSH-Schlüssel an Ihren Geschäftspartner, der diesen Schlüssel wiederum auf seinem Server speichert und mit Ihrem Konto verknüpft. Bei der Verbindungsherstellung mit Ihrem SFTP-Server übermittelt die Client-Software Ihren öffentlichen Schlüssel zur Authentifizierung an den Server. Wenn öffentlicher und privater Schlüssel sowie Benutzer-ID und Kennwort übereinstimmen, ist die Authentifizierung erfolgreich.
Die Authentifizierung der Benutzer-ID kann mit einer beliebigen Kombination aus Schlüssel und/oder Kennwort erfolgen.
Erfahren Sie in diesem kostenlosen Vergleich, wie SFTP in Bezug auf FTPS abschneidet.
Worin liegt der Unterschied zwischen FTPS und SFTP?
Sowohl FTPS als auch SFTP bieten einen zuverlässigen Schutz dank Authentifizierungsoptionen, die FTP nicht bereitstellen kann. Für welche Optionen sollten Sie sich nun entscheiden?
Ein wesentlicher Unterschied zwischen FTPS und SFTP besteht darin, dass bei FTPS mehrere Portnummern verwendet werden. Der erste Port für den Befehlskanal wird für Authentifizierungs- und Übergabebefehle verwendet. Bei jeder neuen Anfrage hinsichtlich einer Dateiübertragung oder eines Verzeichniseintrags muss eine weitere Portnummer für den Datenkanal geöffnet werden.
Daher müssen Sie und Ihre Geschäftspartner zahlreiche Ports in Ihren Firewalls für die FTPS-Verbindungen öffnen – dies stellt ein Sicherheitsrisiko für Ihr Netzwerk dar. Für die SFTP-Kommunikation hingegen ist nur eine Portnummer erforderlich – dies vereinfacht die Sicherung Ihres Netzwerks.
Beide Protokolle haben Vorteile. Wir empfehlen jedoch dank der leichteren Nutzung in Zusammenhang mit Firewalls den Einsatz von SFTP. Eine ideale MFT-Lösung für Unternehmen verwaltet, überwacht und automatisiert Dateiübertragungen über verschiedene Protokolle, darunter auch FTPS und SFTP.
Unsere MFT-Software GoAnywhere MFT ist mit verschiedenen Plattformen kompatibel, darunter Microsoft Azure (für Unternehmen in der Cloud), Microsoft Windows und Linux. Sichere Dateiübertragungsprotokolle bieten zusätzliche Funktionen wie ausführliche Audit-Protokolle zur Einhaltung von Branchenbestimmungen, sind flexibel hinsichtlich der Übertragung von Daten mit Geschäftspartnern, die ggf. unterschiedliche Anforderungen stellen, und können Dateiverschlüsselung, Workflows und andere Dateiübertragungsprozesse automatisieren.
Weit mehr als FTP
Sie wissen, dass FTP nur der Anfang ist. Informieren Sie sich jetzt über Ihre Möglichkeiten.
In unserem Whitepaper erfahren Sie, wie Sie die FTP-Implementierung moderner und sicherer gestalten. Wir stellen benutzerfreundliche Methoden für die Dateiübertragung vor, die nicht nur Ihre kritischen Daten schützen, sondern auch Ihre Effizienz erhöhen.
Whitepaper herunterladen (in englischer Sprache)
