Im Bereich Sicherheit deines CURIAWEB-cPanels findest du Werkzeuge zum Schutz deines Hosting-Accounts, deiner Websites und der verschlüsselten Kommunikation. Hier kannst du unter anderem SSL-Zertifikate verwalten, die Zwei-Faktor-Authentifizierung aktivieren, IP-Adressen blockieren und sicherheitsrelevante Funktionen wie ModSecurity und Imunify360 aufrufen.
Bei CURIAWEB findest du in diesem Bereich die Funktionen SSH-Zugriff, IP-Blockierung, SSL/TLS Certificates, API-Token verwalten, Schutz vor Hotlinks, Schutz vor Passwortfreigabe, ModSecurity, Zwei-Faktor-Authentifizierung und Imunify360.
In diesem Artikel erklären wir dir, wofür diese Sicherheitsfunktionen vorgesehen sind und bei welchen Einstellungen besondere Vorsicht erforderlich ist.
Kurz erklärt: Sicherheit im Webhosting besteht nicht aus einer einzelnen Funktion. SSL schützt beispielsweise die Datenübertragung, die Zwei-Faktor-Authentifizierung deinen cPanel-Zugang und Imunify360 unterstützt den Schutz der Hosting-Umgebung und deiner Websites vor verschiedenen Bedrohungen.
Wo findest du die Sicherheitsfunktionen? #
Melde dich bei deinem CURIAWEB-cPanel an und öffne auf der Startseite den Bereich Sicherheit.
Dort findest du folgende Funktionen:
- SSH-Zugriff
- IP-Blockierung
- SSL/TLS Certificates
- API-Token verwalten
- Schutz vor Hotlinks
- Schutz vor Passwortfreigabe
- ModSecurity
- Zwei-Faktor-Authentifizierung
- Imunify360
Eine Übersicht über alle Bereiche deines cPanels findest du unter cPanel bei CURIAWEB erklärt: Alle Bereiche und Funktionen im Überblick.
SSH-Zugriff #
SSH steht für Secure Shell und ermöglicht einen verschlüsselten Zugriff auf die Kommandozeile eines Servers beziehungsweise Hosting-Accounts.
Statt Dateien und Einstellungen ausschließlich über grafische Oberflächen zu verwalten, können technisch erfahrene Benutzer bestimmte Aufgaben über Terminalbefehle ausführen.
SSH wird beispielsweise von Entwicklern und Administratoren für Kommandozeilenwerkzeuge, Dateiverwaltung, Entwicklungsabläufe oder andere technische Arbeiten verwendet.
Für die normale Verwaltung einer Website benötigst du SSH nicht zwingend.
Wichtig: SSH bietet direkten Zugriff auf technische Funktionen deines Hosting-Accounts. Führe keine Befehle aus einer fremden Anleitung aus, wenn du nicht verstehst, was diese Befehle verändern oder löschen.
SSH-Schlüssel #
SSH kann mit kryptografischen Schlüsselpaaren verwendet werden. Dabei besteht ein Schlüsselpaar aus einem privaten und einem öffentlichen Schlüssel.
Der öffentliche Schlüssel kann auf dem Zielsystem hinterlegt werden. Der private Schlüssel verbleibt beim Benutzer und darf nicht an Dritte weitergegeben werden.
Sicherheit: Behandle einen privaten SSH-Schlüssel wie ein besonders sensibles Zugangsmittel. Veröffentliche ihn nicht, sende ihn nicht ungeschützt weiter und speichere ihn nicht an öffentlich erreichbaren Orten.
IP-Blockierung #
Mit der IP-Blockierung kannst du Zugriffe bestimmter IP-Adressen beziehungsweise entsprechend definierter Adressbereiche auf deine Website blockieren.
Das kann beispielsweise sinnvoll sein, wenn von einer bestimmten Adresse wiederholt unerwünschte oder schädliche Anfragen ausgehen.
Eine IP-Sperre sollte jedoch gezielt eingesetzt werden. IP-Adressen können dynamisch vergeben oder von mehreren Benutzern gemeinsam verwendet werden.
Das Blockieren einer einzelnen IP-Adresse ist deshalb keine allgemeine Lösung gegen Spam, Bots oder Angriffe.
Achtung: Prüfe vor dem Sperren größerer IP-Bereiche genau, welche Adressen davon betroffen sind. Eine zu weit gefasste Regel kann auch legitime Besucher aussperren.
SSL/TLS Certificates #
Unter SSL/TLS Certificates verwaltest du Zertifikate und die dazugehörigen kryptografischen Informationen für verschlüsselte Verbindungen.
SSL beziehungsweise technisch heute vor allem TLS ermöglicht die verschlüsselte Übertragung von Daten zwischen einem Client und dem Server.
Bei einer Website erkennst du eine entsprechend eingerichtete Verbindung normalerweise an einer Adresse, die mit https:// beginnt.
Was schützt HTTPS? #
HTTPS schützt die Datenübertragung zwischen Browser und Webserver vor einfachem Mitlesen und Manipulieren während der Übertragung und ermöglicht dem Browser die Prüfung der Identität, für die das Zertifikat ausgestellt beziehungsweise gültig ist.
Das ist insbesondere bei Anmeldungen, Formularen, Kundendaten und anderen sensiblen Übertragungen wichtig.
HTTPS bedeutet jedoch nicht, dass die Website selbst automatisch frei von Sicherheitslücken oder Schadsoftware ist.
Wichtig: Ein gültiges SSL/TLS-Zertifikat bestätigt nicht, dass eine Website inhaltlich vertrauenswürdig oder technisch vollständig sicher ist. Es schützt in erster Linie die verschlüsselte Verbindung und stellt die dafür vorgesehene Authentifizierung bereit.
Zertifikat, privater Schlüssel und CSR #
Bei der manuellen Arbeit mit SSL/TLS können dir mehrere Begriffe begegnen.
Das Zertifikat enthält unter anderem Informationen über die abgesicherte Identität beziehungsweise Domain und wird von einer Zertifizierungsstelle signiert.
Der dazugehörige private Schlüssel ist geheim und darf nicht veröffentlicht werden.
Ein CSR – Certificate Signing Request – ist eine Zertifikatsanforderung, die bei bestimmten Verfahren zur Ausstellung eines Zertifikats verwendet wird.
Sicherheit: Ein privater SSL/TLS-Schlüssel darf nicht öffentlich zugänglich sein. Wer über den passenden privaten Schlüssel verfügt, besitzt einen sicherheitskritischen Bestandteil der Zertifikatskonfiguration.
SSL-Zertifikat und HTTPS sind eng verbunden, aber nicht identisch #
Ein Zertifikat ist ein technischer Bestandteil der HTTPS-Konfiguration. Damit eine Website tatsächlich korrekt über HTTPS funktioniert, müssen jedoch auch Webserver und Website entsprechend eingerichtet sein.
Eine Website kann beispielsweise ein gültiges Zertifikat besitzen und trotzdem noch interne Ressourcen über unverschlüsseltes HTTP laden. Dann können sogenannte Mixed-Content-Probleme auftreten.
Auch Weiterleitungen von HTTP auf HTTPS und die Konfiguration der jeweiligen Webanwendung können eine Rolle spielen.
API-Token verwalten #
Mit API-Tokens können Anwendungen oder automatisierte Prozesse auf dafür freigegebene cPanel-Funktionen zugreifen, ohne dafür das normale cPanel-Passwort verwenden zu müssen.
Das ist beispielsweise bei Automatisierungen oder externen Verwaltungssystemen relevant.
Ein API-Token ist ein Zugangsschlüssel und muss entsprechend geschützt werden.
Wichtig: API-Tokens gehören nicht in öffentlich zugängliche Dateien, Screenshots, Supportforen oder Quellcode-Repositories. Behandle sie wie Zugangsdaten.
Warum sind separate Tokens sinnvoll? #
Ein eigener Token kann für einen bestimmten Zweck erstellt und später wieder widerrufen werden, ohne deshalb dein eigentliches cPanel-Passwort ändern zu müssen.
Wenn eine Integration nicht mehr verwendet wird, sollte ein dafür erstellter Token nicht unnötig aktiv bleiben.
Schutz vor Hotlinks #
Mit dem Schutz vor Hotlinks kannst du verhindern beziehungsweise einschränken, dass andere Websites bestimmte Dateien direkt von deiner Domain einbinden.
Ein typisches Beispiel sind Bilder.
Wenn eine fremde Website ein Bild nicht auf den eigenen Server kopiert, sondern direkt über eine URL deiner Domain einbindet, wird die Datei bei jedem entsprechenden Aufruf weiterhin von deinem Hosting ausgeliefert.
Dadurch entsteht Datenverkehr auf deinem Hosting, obwohl der Inhalt auf einer fremden Website dargestellt wird.
Hotlink-Schutz mit Bedacht konfigurieren #
Nicht jede externe Verwendung einer Datei ist automatisch unerwünscht. Bestimmte Anwendungen, CDNs oder andere legitime Dienste können ebenfalls auf Ressourcen deiner Domain zugreifen.
Eine zu restriktive Konfiguration kann deshalb dazu führen, dass Bilder oder andere Dateien an Stellen nicht mehr angezeigt werden, an denen du sie eigentlich benötigst.
Praxis-Tipp: Aktiviere Hotlink-Schutz nicht allein aus Prinzip. Prüfe zuerst, ob tatsächlich unerwünschtes Hotlinking stattfindet und welche externen Dienste deine Website verwendet.
Schutz vor Passwortfreigabe #
Die Funktion Schutz vor Passwortfreigabe steht im Zusammenhang mit geschützten Webverzeichnissen und soll verhindern, dass Zugangsdaten für solche Bereiche auf unerwünschte Weise weiterverwendet beziehungsweise geteilt werden.
Sie ist damit eine spezielle Ergänzung für bestimmte zugriffsgeschützte Bereiche und keine allgemeine Passwortverwaltung für cPanel, WordPress oder E-Mail-Konten.
Für die meisten normalen Websites muss diese Funktion nicht verändert werden.
ModSecurity #
ModSecurity ist eine Web Application Firewall, kurz WAF, die HTTP-Anfragen anhand definierter Sicherheitsregeln untersuchen kann.
Solche Regeln können verdächtige oder bekannte Angriffsmuster erkennen und entsprechende Anfragen blockieren, bevor sie von einer Webanwendung verarbeitet werden.
Das kann beispielsweise beim Schutz vor bestimmten webbasierten Angriffsmethoden helfen.
Warum kann ModSecurity eine legitime Anfrage blockieren? #
Eine Web Application Firewall muss anhand technischer Merkmale entscheiden, ob eine Anfrage verdächtig erscheint. Dabei können in bestimmten Fällen auch legitime Anfragen eine Sicherheitsregel auslösen.
Das wird als False Positive bezeichnet.
Ein mögliches Symptom kann beispielsweise sein, dass eine bestimmte Aktion innerhalb einer Website blockiert wird, obwohl andere Bereiche normal funktionieren.
Achtung: Deaktiviere ModSecurity nicht dauerhaft nur deshalb, weil eine einzelne Aktion blockiert wird. Zuerst sollte geprüft werden, welche Sicherheitsregel ausgelöst wurde und warum.
ModSecurity ist kein Ersatz für eine sichere Website #
Eine Web Application Firewall stellt eine zusätzliche Schutzschicht dar. Sie ersetzt jedoch keine Aktualisierungen, sicheren Passwörter oder die Absicherung der eigentlichen Webanwendung.
Eine veraltete WordPress-Installation oder ein Plugin mit einer Sicherheitslücke wird nicht dadurch zu sicherer Software, dass davor eine Firewall arbeitet.
Mehrere Schutzmechanismen ergänzen sich deshalb gegenseitig.
Zwei-Faktor-Authentifizierung #
Mit der Zwei-Faktor-Authentifizierung – kurz 2FA – kannst du den Zugang zu deinem cPanel zusätzlich absichern.
Bei einer normalen Anmeldung genügt ein Benutzername beziehungsweise Account und das zugehörige Passwort. Bei aktivierter Zwei-Faktor-Authentifizierung wird zusätzlich ein zweiter Faktor benötigt.
Bei cPanel wird dafür typischerweise ein zeitbasierter Einmalcode verwendet, der von einer kompatiblen Authenticator-App erzeugt wird.
Warum ist 2FA sinnvoll? #
Wird dein Passwort gestohlen oder anderweitig bekannt, reicht es bei aktivierter Zwei-Faktor-Authentifizierung allein nicht mehr für eine normale Anmeldung aus. Ein Angreifer benötigt zusätzlich den zweiten Faktor.
Damit erhöht 2FA die Sicherheit eines administrativen Zugangs erheblich.
Empfehlung: Wenn dir die Zwei-Faktor-Authentifizierung für deinen cPanel-Zugang zur Verfügung steht, ist ihre Aktivierung eine sinnvolle zusätzliche Sicherheitsmaßnahme.
Was passiert, wenn du den zweiten Faktor verlierst? #
Wenn das Gerät mit deiner Authenticator-App verloren geht oder nicht mehr verfügbar ist, kann die Anmeldung entsprechend erschwert werden.
Bei der Einrichtung einer Zwei-Faktor-Authentifizierung solltest du deshalb auch berücksichtigen, wie du im Notfall wieder Zugriff erhältst beziehungsweise welche Wiederherstellungsmöglichkeiten für den jeweiligen Zugang vorgesehen sind.
Entferne eine funktionierende 2FA-Konfiguration nicht leichtfertig nur aus Bequemlichkeit.
Imunify360 #
Imunify360 ist eine zusätzliche Sicherheitsplattform für Webhosting-Umgebungen und in die CURIAWEB-Hosting-Infrastruktur integriert.
Die Lösung ergänzt die klassischen cPanel-Funktionen um weitere Sicherheitsmechanismen. Abhängig von der serverseitigen Konfiguration können dazu unter anderem Malware-Erkennung und weitere Schutz- und Analysefunktionen gehören.
Imunify360 wird zwar innerhalb von cPanel angezeigt, ist aber kein von cPanel selbst entwickeltes Sicherheitsmodul. Es handelt sich um eine eigenständige Sicherheitslösung, die in die Hosting-Oberfläche integriert wird.
Kurz erklärt: cPanel stellt die Verwaltungsoberfläche bereit. Imunify360 ist eine zusätzliche Sicherheitslösung innerhalb der CURIAWEB-Hosting-Umgebung. Dass du Imunify360 über cPanel aufrufst, macht es nicht zu einer cPanel-eigenen Funktion.
Malware-Erkennung mit Imunify360 #
Eine wichtige Aufgabe von Imunify360 ist die Erkennung verdächtiger beziehungsweise schädlicher Dateien innerhalb der Hosting-Umgebung.
Wird eine Datei als verdächtig erkannt, bedeutet das zunächst, dass sie sicherheitsrelevant untersucht beziehungsweise entsprechend der serverseitigen Sicherheitskonfiguration behandelt werden sollte.
Bei einer kompromittierten Website genügt es allerdings nicht immer, nur eine einzelne gefundene Datei zu betrachten.
Ein Angreifer kann beispielsweise mehrere Dateien verändert, neue Benutzer angelegt, Zugangsdaten erbeutet oder eine Sicherheitslücke in einer Webanwendung ausgenutzt haben.
Wichtig: Wird Malware auf einer Website gefunden, muss auch die Ursache der Kompromittierung berücksichtigt werden. Andernfalls kann eine bereinigte Website über dieselbe Schwachstelle erneut angegriffen werden.
Imunify360 ersetzt keine Updates #
Auch eine umfassende Sicherheitsplattform kann eine veraltete Webanwendung nicht in eine dauerhaft sichere Anwendung verwandeln.
WordPress, Plugins, Themes und andere installierte Anwendungen sollten deshalb weiterhin aktuell gehalten werden.
Nicht mehr verwendete Software sollte entfernt werden, insbesondere wenn sie weiterhin öffentlich erreichbar oder ausführbar ist.
Mehrere Sicherheitsebenen arbeiten zusammen #
Die verschiedenen Sicherheitsfunktionen deines Hostings erfüllen unterschiedliche Aufgaben und sollten nicht als austauschbare Alternativen betrachtet werden.
SSL/TLS schützt die Datenübertragung. 2FA erschwert den Missbrauch eines administrativen Zugangs. ModSecurity untersucht Webanfragen anhand von Sicherheitsregeln. Imunify360 ergänzt die Hosting-Umgebung um weitere Sicherheitsmechanismen.
Hinzu kommen sichere Passwörter, aktuelle Webanwendungen, korrekte Dateiberechtigungen und weitere serverseitige Schutzmaßnahmen.
Das Prinzip mehrerer voneinander unabhängiger Schutzschichten wird in der IT-Sicherheit häufig als Defense in Depth bezeichnet.
Was solltest du tun, wenn eine Sicherheitsfunktion etwas blockiert? #
Wenn eine legitime Aktion plötzlich nicht mehr funktioniert, solltest du nicht sofort sämtliche Sicherheitsmechanismen deaktivieren.
Versuche zunächst, das Problem möglichst genau einzugrenzen. Notiere dir die betroffene URL, die ausgeführte Aktion, den Zeitpunkt und die angezeigte Fehlermeldung.
Bei Website-Problemen können zusätzlich die cPanel-Fehlerprotokolle wichtige Hinweise liefern.
Wie du diese auswertest, zeigen wir später unter cPanel Error Log lesen und Website-Fehler finden.
Praxis-Tipp: Eine Sicherheitsfunktion zu deaktivieren kann einen Fehler scheinbar beseitigen, ohne die eigentliche Ursache zu erklären. Für eine saubere Lösung ist entscheidend herauszufinden, welcher Mechanismus warum ausgelöst wurde.
403 Forbidden und Sicherheitsfunktionen #
Ein HTTP-Fehler 403 Forbidden bedeutet grundsätzlich, dass der Zugriff auf die angeforderte Ressource verweigert wurde.
Dafür kommen verschiedene Ursachen infrage. Neben Sicherheitsregeln können beispielsweise Dateiberechtigungen, Konfigurationsregeln oder Zugriffsbeschränkungen eine Rolle spielen.
Ein 403-Fehler beweist deshalb nicht automatisch, dass ModSecurity oder Imunify360 die Anfrage blockiert hat.
Die systematische Fehlersuche behandeln wir später unter 403 Forbidden beheben.
Was solltest du selbst nicht auf Verdacht ändern? #
Besondere Vorsicht ist bei Sicherheitsfunktionen angebracht, deren Auswirkungen du nicht vollständig kennst.
ModSecurity vollständig zu deaktivieren, umfangreiche IP-Bereiche zu sperren, Zertifikatsbestandteile zu löschen oder Sicherheitsmeldungen einfach zu ignorieren kann neue Probleme verursachen.
Änderungen sollten deshalb immer einen konkreten technischen Grund haben.
Grundregel: Bei einem Sicherheitsproblem zuerst diagnostizieren, dann gezielt ändern. Nicht mehrere Schutzmechanismen gleichzeitig abschalten, nur um zu prüfen, ob eine Website danach wieder funktioniert.
Sicherheitswarnung oder technischer Fehler? #
Nicht jedes technische Problem ist ein Sicherheitsvorfall. Gleichzeitig sollte eine ungewöhnliche Veränderung an einer Website nicht vorschnell als gewöhnlicher Softwarefehler abgetan werden.
Ein PHP-Fehler nach einem Update kann beispielsweise ein normales Kompatibilitätsproblem sein. Unbekannte Dateien, unerwartete Weiterleitungen, manipulierte Inhalte oder neu angelegte unbekannte Administratoren können dagegen auf eine Kompromittierung hindeuten.
Bei der Beurteilung ist deshalb der Gesamtzusammenhang entscheidend.
Zusammenfassung #
Der Bereich Sicherheit deines CURIAWEB-cPanels enthält verschiedene Werkzeuge, die unterschiedliche Ebenen deines Hostings schützen.
SSH ermöglicht einen verschlüsselten technischen Zugang. Über die IP-Blockierung können bestimmte Zugriffe gesperrt werden. SSL/TLS schützt die Datenübertragung, während API-Tokens kontrollierte Zugriffe für Anwendungen und Automatisierungen ermöglichen.
ModSecurity arbeitet als Web Application Firewall, und die Zwei-Faktor-Authentifizierung bietet zusätzlichen Schutz für deinen cPanel-Zugang. Mit Imunify360 ist außerdem eine eigenständige Sicherheitsplattform in die CURIAWEB-Hosting-Umgebung integriert.
Keine einzelne dieser Funktionen kann sämtliche Sicherheitsrisiken abdecken. Entscheidend ist das Zusammenspiel mehrerer Schutzebenen sowie eine gepflegte und aktuelle Website.
Wenn eine Sicherheitsfunktion eine Aktion blockiert oder eine Website einen Fehler anzeigt, solltest du die Ursache zuerst systematisch untersuchen, bevor du Schutzmechanismen deaktivierst.
