Dateirechte: wie stelle ich das bei meinem Hoster ein?

Vorweg: Dieser Artikel behandelt nur Webspace, d.h. er gibt eine Übersicht über die Möglichkeiten auf Webspace bei verschiedenen Hostern. Es ist keine Übersicht über Managed Server. Bei Root-Servern seid ihr dagegen selbst für die Sicherheit eures Systems und damit auch für Dateirechte verantwortlich.

Leider gibt es beim Thema Dateirechte kein Universalrezept. Viele Anleitungen suggerieren, dass man einfach chmod 750 bzw 640 machen müsse, und schon sei alles sicher. Wenn FTP- und PHP-Nutzer allerdings identisch sind, ist chmod wirkungslos. Wieso das so ist, habe ich umfassend in einem vorangegangenen Post erläutert. Erschreckend viele Hoster weisen auf die völlige Sinnlosigkeit von chmod bei identischen Systemnutzern nicht einmal hin und wiegen so ihre Kunden in falscher Sicherheit.

Mit Hilfe der Facebook-Gruppe von DRWP habe ich eine ganze Reihe an Hostern gesammelt und diese angefragt. Grundsätzlich gibt es vier Kategorien von Hostern:

  1. Hoster, bei denen PHP- und FTP-Nutzer als Standardeinstellung unterschiedlich sind und chmod so wirkt, dass 750 / 640 nur Leserechte, 770 / 660 Lese- und Schreibrechte für PHP bedeuten.
  2. Hoster, bei denen man die Trennung zwischen PHP- und FTP-Nutzer manuell umstellen muss; danach funktionieren sie wie die Kategorie 1)
  3. Hoster, bei denen chmod wirkungslos ist, die aber ein gesondertes Interface in ihrem Kundenbereich haben, um PHP- und FTP-Nutzer zu trennen
  4. Hoster, bei denen chmod wirkungslos ist, und es keine Möglichkeit gibt, Dateirechte zu nutzen

In Folge liste ich alle Hoster in den vier Kategorien auf. Wenn Dir ein Hoster fehlt, schreibe mir das bitte – ich frage dann nach. Um den Webspace / die Aussagen des Supports zu testen, empfehle ich das Script aus dem Dateirechte-Post. Wenn dabei rauskommen sollte, dass der Support des jeweiligen Hosters Falschaussagen getroffen hat, freue ich mich sehr über eine Nachricht.

Disclaimer: Ich übernehme für die Auflistung keine Garantie – ich habe nur wenige der Hoster selbst getestet und fasse hier vor allem Aussagen des jeweiligen Supports zusammen. Manchmal waren die Aussagen des Supportes auch sehr interpretierungsbedürftig, so dass ich auch für die Interpretation keine Garantie übernehme.

(1) Sichere Standard-Konfiguration (chmod)

All-Inkl

Sichere Standardkonfiguration. Statt 770 bzw. 660 muss aber 777 bzw. 666 verwendet werden, statt 750 bzw. 640 jeweils 755 bzw 644. Dies ist kein Sicherheitsrisiko, da All Inkl open_basedir nutzt, um PHP einzusperren. Aber Achtung: wenn man via .htaccess die CGI-Version von PHP lädt, ist chmod wirkungslos!

Website: http://all-inkl.com/
Quelle: Support, eigene Tests.

JP Berlin

Sichere Standardkonfiguration, chmod funktioniert wie erwartet.

Website: https://www.jpberlin.de/
Quelle: Support.

Manitu

Sichere Standardkonfiguration, chmod funktioniert wie erwartet.

Website: https://www.manitu.de/
Quelle: Support.

Novahosting

Sichere Standardkonfiguration, chmod funktioniert wie erwartet.

Website: http://www.novahosting.ch/
Quelle: Support.

WP Webhosting

Sichere Standardkonfiguration, chmod funktioniert wie erwartet.

Website: http://www.wp-webhosting.de/
Quelle: Support.

(2) Sichere Konfiguration nach Änderungen (chmod)

Ehrenwert IT

Bei der Standardkonfiguration ist chmod wirkungslos. Trennung von PHP- und FTP-Nutzer möglich durch Aktivierung von mod_php im Kundenbereich, dann funktioniert chmod wie erwartet.

Website: https://www.ehrenwert-it.de/
Quelle: Support.

HostEurope

Bei der Standardkonfiguration ist chmod wirkungslos. Trennung von PHP- und FTP-Nutzer möglich im Kundenbereich (der FTP-Nutzer muss von www auf ftp umgestellt werden, anschließend alle Dateien dem ftp-Nutzer zugeordnet werden). Dann funktioniert chmod wie erwartet.

Website: http://hosteurope.de/
Quelle: eigene Tests.

Netcup

Mit Nutzung der zusätzlichen FTP-Nutzer (Verfügbar ab dem Expert-Tarif) hat man einen zweiten Systemnutzer. Wenn alle Dateien diesem Nutzer gehören, sind Dateirechte via chmod möglich.

Website: https://www.netcup.de/
Quelle: Support.

Mittwald

Mit Nutzung des (zusätzlichen) FTP-Nutzer Typ 2 (pXXXXXXfyy) hat man einen zweiten Systemnutzer. Wenn alle Dateien diesem Nutzer gehören, sind Dateirechte via chmod möglich.

Website: https://www.mittwald.de/
Quelle: Support.

rshost

Bei der Standardkonfiguration ist chmod wirkungslos. Trennung von PHP- und FTP-Nutzer möglich durch Freischalten seitens des Supports, dann funktioniert chmod wie erwartet.

Website: http://www.rshost.eu/
Quelle: Support.

TopHoster

Bei der Standardkonfiguration ist chmod wirkungslos. Trennung von PHP- und FTP-Nutzer möglich durch Freischalten seitens des Supports, dann funktioniert chmod wie erwartet.

Website: https://www.tophoster.de/
Quelle: Support.

WebhostOne

Keine Trennung von PHP- und FTP-Nutzer möglich, daher chmod wirkungslos und korrekte Dateirechte nicht realisierbar.

Website: https://www.webhostone.de/
Quelle: Kommentar unter diesem Artikel.

WebGo

Mit der Nutzung der zusätzlichen FTP-Nutzer erhält man auch einen zusätzlichen Systemnutzer, mit dem dann sichere Dateirechte möglich sind. Die zusätzlichen FTP-Nutzer gibt es ab dem Tarif Webhosting Profi.

Website: https://www.webgo.de/
Quelle: Support

(3) Sichere Konfiguration via Interface in Kundenbereich

Strato

Dateirechte sind im Kundenbereich einstellbar. Hierzu muss zunächst der Schreibschutz aktiviert werden und anschließend die Ausnahmen definiert werden. Via FTP eingestellte chmod-Werte sind wirkungslos, der Schreibschutz erfolgt über ACLs und eine SQLite Datenbank.

Website: http://www.strato.de/
Quelle: Support, eigene Tests.

(4) Sichere Konfiguration nicht möglich

1und1

Sichere Standardkonfiguration, chmod funktioniert wie erwartet. Dies gilt aber nur, wenn man nicht den 1und1 WordPress Installer nutzt, sondern die WordPress Dateien via FTP hochlädt.

Website: http://www.1und1.de/
Quelle: Nutzererfahrung. Support behauptet, der Webspace würde Dateirechte per default nutzbar haben, was aber nicht zu stimmen scheint.

1blu

Keine Trennung von PHP- und FTP-Nutzer möglich, daher chmod wirkungslos und korrekte Dateirechte nicht realisierbar.

Website: https://www.1blu.de/
Quelle: Support.

5hosting

Keine Trennung von PHP- und FTP-Nutzer möglich, daher chmod wirkungslos und korrekte Dateirechte nicht realisierbar.

Website: http://www.5hosting.com/
Quelle: Support.

Alfahosting

Keine Trennung von PHP- und FTP-Nutzer möglich, daher chmod wirkungslos und korrekte Dateirechte nicht realisierbar.

Website: http://alfahosting.de/
Quelle: Facebook Support

checkdomain

Keine Trennung von PHP- und FTP-Nutzer möglich, daher chmod wirkungslos und korrekte Dateirechte nicht realisierbar.

Website: https://www.checkdomain.de/
Quelle: Support.

Domain Factory

Keine Trennung von PHP- und FTP-Nutzer möglich, daher chmod wirkungslos und korrekte Dateirechte nicht realisierbar.

Website: http://df.eu/
Quelle: Support.

easyname

Keine Trennung von PHP- und FTP-Nutzer möglich, daher chmod wirkungslos und korrekte Dateirechte nicht realisierbar.

Website: http://www.easyname.com/
Quelle: Support.

goneo

Keine Trennung von PHP- und FTP-Nutzer möglich, daher chmod wirkungslos und korrekte Dateirechte nicht realisierbar.

Website: https://www.goneo.de/
Quelle: Support.

Hetzner

Keine Trennung von PHP- und FTP-Nutzer möglich, daher chmod wirkungslos und korrekte Dateirechte nicht realisierbar.

Website: http://www.hetzner.de/
Quelle: Support.

Hostpoint

Keine Trennung von PHP- und FTP-Nutzer möglich, daher chmod wirkungslos und korrekte Dateirechte nicht realisierbar.

Website: https://www.hostpoint.ch/
Quelle: Support.

lima-city

Keine Trennung von PHP- und FTP-Nutzer möglich, daher chmod wirkungslos und korrekte Dateirechte nicht realisierbar.

Website: https://www.lima-city.de/
Quelle: Support.

TimmeHosting

Keine Trennung von PHP- und FTP-Nutzer möglich, daher chmod wirkungslos und korrekte Dateirechte nicht realisierbar.

Website: https://timmehosting.de/
Quelle: Support.

18 Kommentare zu “Dateirechte: wie stelle ich das bei meinem Hoster ein?

  1. Danke für deine Arbeit und den hilfreichen Artikel! Werde demnächst meine eigene Seite auf WP umstellen und beschäftige mich gerade mit Sicherheit. Da hilft deine Webseite auch sehr gut weiter!

  2. „Sichere Standardkonfiguration, chmod funktioniert wie erwartet. Dies gilt aber nur, wenn man nicht den 1und1 WordPress Installer nutzt, sondern die WordPress Dateien via FTP hochlädt.“

    Und was gilt, wenn man diesen doch benutzt hat? 🙂 Vielen Dank für die informative Seite und auch die häufige Hilfe auf FB.

  3. Magst Du uns (UD Media, http://www.udmedia.de) hinzufügen?

    Da wir mittlerweile PHP standardmäßig via PHP-FPM ausführen, ist eine Anpassung der Standard-Wordpress-Installation seitens des Kunden nicht notwendig. Läuft somit out-of-the-box.

    Viele Grüße,
    Ronny

    1. Gerne. Aber: was bedeutet „via PHP-FPM ausführen“? Das heißt, dass der FTP- gleich der PHP-Systemnutzer ist? Wie ist die Konfiguration genau? Also nutzt ihr die PHP-FPM Pools? Aus „Läuft somit out-of-the-box“ interpretiere ich mal, dass dann keine Dateirechte mit Trennung von PHP- und FTP-Systemuser möglich sind?

  4. Hey Ernesto,
    nachdem ich gerade erst in einem anderen Beitrag von dir etwas über die Vergabe von Dateirechten gelernt habe, freut es mich, in diesem Artikel zu erfahren, wie es bei den verschiedenen Webhostern aussieht. Ich bin bei Webhostone und somit keine Dateirechtevergabe von mir einstellbar. Nun überlege ich, ob ich zu einem anderen Hoster wechsle. Vorher werde ich mal bei Webhostone nachfragen, was sie dazu meinen. Bisher war ich eigentlich sehr zufrieden mit Webhostone.
    Ich danke dir sehr, für deine hilfreichen Infos.

  5. Hallo,

    vielen Dank für Ihre Pionierarbeit und das Aufzeigen von Schwachstellen.
    Auch bei uns ist eine Trennung des FTP und PHP Nutzers möglich.

    Die Installation erfolgt manuell oder per 1Click in ein Verzeichnis. Im Adminpanel wird für diesen Ordner einen Zusatz-FTP User eingerichtet und diesen Ordner ggf. als Zielordner für die entsprechende Domain eingerichtet.
    Für die Ordner uploads und cache müssen ggf. die Rechte noch manuell geändert werden (CHMOD), damit PHP da hineinschreiben kann.
    Fertig!

    Eine bebilderte Anleitung werden wir auch in den nächsten Tagen in unserer FAQ veröffentlichen.
    Gerne stellen wir auch einen Testaccount zur Verfügung.

    Ich möchte daher bitten, uns aus der Kategorie 4 zu entfernen und in Kategorie 2 (meiner Meinung nach) zu verlegen.

    Mit freundlichen Grüssen
    A.Weigert

    1. Hallo, liebes WebhostOne Team,
      danke für die Rückmeldung! Dann hat der Support-Mitarbeiter damals wohl nicht alle Möglichkeiten Ihres Panels gekannt. Um so besser – mich freut es, wenn Webhoster eine Option geben. 🙂
      Beste Grüße,
      Ernesto Ruge

      1. Hallo Ernesto,
        ja, leider war das wohl nicht ganz klar.
        Danke für das Verschieben in Kategorie 2. Der Text müsste jedoch evt. noch angepasst werden.

        Viele liebe Grüsse
        A.Weigert

  6. In der Liste fehlt ganz klar raidboxes.de ! Artikel ist zwar älter, aber um einen Nachtrag würde ich mich freuen. Und die Jungs mit Sicherheit auch!

  7. Super Artikel, leider werde ich nicht schlauer draus ;-).

    Ich bin bei All-inkl.com und muss die Ordner wp-content/uploads bzw. wp-content/cache auf 777 einstellen? Dateien auf 666?

    Danke an dieser Stelle für die erhellenden Artikel!

      1. Auch von meiner Seite aus vielen Dank für deine super Artikel.
        Hätte zu All-inkl allerdings auch noch eine Frage. Dort kann man ja CHOWN auf den PHP-User oder auf den FTP-User legen. Sollte man also die Dateirechte so einstellen wie du geschrieben hast und zusätzlich die Ordner wp-content/uploads etc. CHOWN auf den PHP-User und den Rest auf den FTP-User?
        Check das nicht so ganz…

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.