Mit der cPanel-Funktion Datenschutz für Ordner kannst du den Zugriff auf ein Verzeichnis deiner Website mit einem Benutzernamen und Passwort schützen.
Besucher können Inhalte innerhalb dieses geschützten Bereichs dann nicht mehr ohne Anmeldung aufrufen. Stattdessen verlangt der Browser zunächst die hinterlegten Zugangsdaten.
Das eignet sich beispielsweise für Entwicklungsbereiche, interne Dateien, Testverzeichnisse oder Websites, die während der Bearbeitung noch nicht öffentlich erreichbar sein sollen.
In dieser Anleitung zeigen wir dir Schritt für Schritt, wie du bei CURIAWEB einen Ordner mit einem Passwort schützt, Benutzer für den geschützten Bereich erstellst und den Schutz später wieder entfernst.
Wichtig: Der Verzeichnisschutz ist nicht dasselbe wie ein WordPress-Benutzerkonto oder ein Passwortschutz für eine einzelne WordPress-Seite. Die Zugriffskontrolle erfolgt auf Ebene des Webservers für das geschützte Verzeichnis.
Was bewirkt der Passwortschutz? #
Wenn du ein Verzeichnis schützt, verlangt der Webserver beim Aufruf geschützter Inhalte eine Authentifizierung.
Ein Besucher ruft beispielsweise einen geschützten Bereich auf:
Bevor der Inhalt angezeigt wird, erscheint eine Anmeldeabfrage des Browsers.
Erst mit einem gültigen Benutzernamen und Passwort kann auf den geschützten Bereich zugegriffen werden.
Welche Inhalte werden geschützt? #
Der Schutz gilt für das ausgewählte Verzeichnis und wirkt grundsätzlich auch auf dessen Inhalte beziehungsweise darunterliegende Verzeichnisse, soweit keine abweichende Konfiguration eingreift.
Wenn du beispielsweise das Verzeichnis:
public_html/intern
schützt, betrifft dies Inhalte wie:
public_html/intern/index.html
public_html/intern/dokumente/
public_html/intern/downloads/datei.pdf
Du solltest deshalb genau prüfen, welches Verzeichnis du auswählst.
Achtung: Wenn du versehentlich den Dokumentenstamm deiner gesamten Website schützt, müssen sich Besucher möglicherweise für die komplette Website authentifizieren.
1. Bei cPanel anmelden #
Melde dich bei deinem CURIAWEB-cPanel an.
Öffne anschließend im Bereich Dateien die Funktion:
Datenschutz für Ordner
cPanel zeigt dir anschließend die Verzeichnisstruktur deines Hosting-Accounts.
2. Gewünschtes Verzeichnis auswählen #
Navigiere zu dem Ordner, den du schützen möchtest.
Bei einer Website kann sich dieser beispielsweise innerhalb von:
public_html
befinden.
Ein möglicher Testbereich wäre beispielsweise:
public_html/test
Kontrolliere den Pfad sorgfältig, bevor du den Schutz aktivierst.
Verzeichnisstruktur vorher im Dateimanager prüfen #
Wenn du nicht sicher bist, welches Verzeichnis zu einer bestimmten Website oder einem bestimmten Bereich gehört, kannst du die Struktur vorher im cPanel-Dateimanager kontrollieren.
Die Bedienung erklären wir unter cPanel-Dateimanager verwenden.
Praxis-Tipp: Besonders bei mehreren Domains solltest du nicht allein aufgrund des Ordnernamens entscheiden. Stelle sicher, dass du tatsächlich den gewünschten Dokumentenstamm beziehungsweise Unterordner schützt.
3. Verzeichnisschutz aktivieren #
Nachdem du das gewünschte Verzeichnis ausgewählt hast, aktiviere die Option zum Passwortschutz dieses Verzeichnisses.
Je nach Spracheinstellung kann die genaue Bezeichnung der Option leicht abweichen.
Vergib anschließend einen Namen für den geschützten Bereich.
Dieser Name dient zur Kennzeichnung des geschützten Verzeichnisses und kann bei der Authentifizierungsabfrage angezeigt werden.
Beispielsweise:
Interner Bereich
oder:
Testwebsite
Speichere anschließend die Einstellung.
Wichtig: Mit dem Aktivieren des Verzeichnisschutzes allein bist du noch nicht fertig. Du benötigst zusätzlich mindestens einen Benutzer, der sich am geschützten Bereich anmelden kann.
4. Benutzer für den geschützten Bereich erstellen #
Im Bereich für die Benutzerverwaltung kannst du nun einen Benutzer anlegen, der Zugriff auf das geschützte Verzeichnis erhalten soll.
Vergib einen Benutzernamen.
Beispielsweise:
projektzugang
Verwende keinen leicht erratbaren Benutzernamen, wenn der Bereich sensible Inhalte enthält.
5. Sicheres Passwort festlegen #
Vergib anschließend ein starkes Passwort.
Ein gutes Passwort sollte ausreichend lang sein und nicht aus einfachen Begriffen, Firmennamen oder bekannten persönlichen Informationen bestehen.
Verwende insbesondere keine Passwörter wie:
123456
passwort
admin123
oder den Namen der Domain.
Wenn cPanel einen Passwortgenerator beziehungsweise eine Passwortstärke-Anzeige anbietet, kannst du diese Funktionen verwenden.
Sicherheit: Verwende für den Verzeichnisschutz nicht dasselbe Passwort wie für cPanel, dein E-Mail-Konto, WordPress oder andere wichtige Zugänge.
6. Benutzer speichern #
Speichere den neuen Benutzer.
Damit stehen nun Benutzername und Passwort für den Zugriff auf das geschützte Verzeichnis zur Verfügung.
Wenn mehrere Personen unterschiedliche Zugangsdaten erhalten sollen, kannst du weitere Benutzer für den geschützten Bereich anlegen.
7. Passwortschutz testen #
Öffne anschließend den geschützten Bereich in deinem Browser.
Wenn du beispielsweise:
public_html/test
geschützt hast und dieser Ordner über die Domain unter:
erreichbar ist, rufe diese Adresse auf.
Der Browser sollte nun eine Authentifizierung verlangen.
8. Mit Benutzername und Passwort anmelden #
Gib den zuvor angelegten Benutzernamen und das dazugehörige Passwort ein.
Nach erfolgreicher Anmeldung sollte der geschützte Inhalt angezeigt werden.
Teste anschließend auch, ob der Zugriff mit falschen Zugangsdaten tatsächlich verweigert wird.
Praxis-Tipp: Teste den Schutz zusätzlich in einem privaten Browserfenster. Dein normaler Browser kann eine bereits erfolgreiche Authentifizierung für die laufende Sitzung zwischenspeichern.
Warum erscheint die Passwortabfrage nicht erneut? #
Browser können die Zugangsdaten einer HTTP-Authentifizierung für eine gewisse Zeit beziehungsweise während einer Browsersitzung zwischenspeichern.
Wenn du dich einmal erfolgreich angemeldet hast, erscheint die Abfrage deshalb möglicherweise nicht bei jedem erneuten Seitenaufruf.
Das bedeutet nicht automatisch, dass der Verzeichnisschutz deaktiviert wurde.
Für einen unabhängigen Test kannst du beispielsweise ein privates Browserfenster oder einen anderen Browser verwenden.
Mehrere Benutzer für einen Ordner anlegen #
Du kannst für einen geschützten Bereich mehrere Benutzer erstellen.
Das ist sinnvoller, als mehreren Personen denselben Benutzernamen und dasselbe Passwort zu geben.
Wenn beispielsweise drei Personen Zugriff benötigen, können separate Zugänge eingerichtet werden.
Dadurch kannst du später den Zugang einer einzelnen Person entfernen, ohne das Passwort für alle anderen Benutzer ändern zu müssen.
Benutzer entfernen #
Wenn ein Benutzer keinen Zugriff mehr erhalten soll, öffne erneut:
Dateien → Datenschutz für Ordner
Wähle das geschützte Verzeichnis aus und öffne die Benutzerverwaltung.
Entferne dort den nicht mehr benötigten Benutzer.
Teste anschließend gegebenenfalls, ob dessen Zugang tatsächlich nicht mehr funktioniert.
Passwort eines Benutzers ändern #
Wenn ein Passwort nicht mehr verwendet werden soll oder möglicherweise bekannt geworden ist, solltest du es ändern beziehungsweise den betreffenden Benutzer neu konfigurieren.
Verwende anschließend nur noch das neue Passwort.
Wichtig: Wenn du vermutest, dass Zugangsdaten unbefugt bekannt geworden sind, ändere sie zeitnah. Ein Passwortschutz ist nur so wirksam wie die verwendeten Zugangsdaten.
Passwortschutz für einen Ordner wieder entfernen #
Wenn der geschützte Bereich wieder öffentlich erreichbar sein soll, öffne:
Dateien → Datenschutz für Ordner
Wähle das betreffende Verzeichnis aus und deaktiviere den Passwortschutz.
Speichere anschließend die Änderung.
Rufe die betreffende URL danach in einem privaten Browserfenster auf und kontrolliere, ob der Inhalt wieder ohne Authentifizierung erreichbar ist.
Benutzerkonten nach dem Entfernen des Schutzes prüfen #
Wenn der Passwortschutz dauerhaft nicht mehr benötigt wird, solltest du auch prüfen, ob angelegte Benutzer für diesen Bereich noch benötigt werden.
Unnötige Zugangsdaten solltest du nicht dauerhaft bestehen lassen.
Passwortschutz für eine komplette Website #
Du kannst grundsätzlich auch den Dokumentenstamm einer Website schützen.
Wenn sich die Hauptwebsite beispielsweise unter:
public_html
befindet und dieses Verzeichnis geschützt wird, kann die Authentifizierung die gesamte darin liegende Website betreffen.
Das kann beispielsweise während einer Entwicklungsphase sinnvoll sein.
Achtung: Schütze nicht versehentlich alle Websites eines Hosting-Accounts, indem du ein zu weit oben liegendes übergeordnetes Verzeichnis auswählst.
Passwortschutz für eine Entwicklungswebsite #
Eine noch nicht veröffentlichte Entwicklungswebsite kann mit dem Verzeichnisschutz vor normalen Besuchern geschützt werden.
Das ist beispielsweise praktisch, wenn eine neue Website unter einer Subdomain oder in einem Unterverzeichnis aufgebaut wird.
Der Schutz verhindert jedoch nicht automatisch jede Form der Kenntnisnahme oder Weitergabe bereits öffentlich zugänglicher Informationen außerhalb dieses Verzeichnisses.
Passwortschutz und Suchmaschinen #
Ein korrekt serverseitig geschützter Bereich kann von einem normalen Suchmaschinen-Crawler ohne gültige Zugangsdaten nicht wie eine frei zugängliche Website abgerufen werden.
Das ist für Entwicklungs- oder interne Bereiche häufig sinnvoller, als lediglich einen Hinweis wie „Bitte nicht indexieren“ auf einer ansonsten öffentlich erreichbaren Seite zu verwenden.
Kurz erklärt: Ein Passwortschutz kontrolliert den Zugriff. Eine
noindex-Anweisung steuert dagegen die gewünschte Suchmaschinenindexierung. Das sind unterschiedliche Mechanismen.
Passwortschutz ist kein Ersatz für Benutzerverwaltung einer Anwendung #
Wenn du innerhalb einer Anwendung unterschiedliche Rollen, Benutzerrechte oder persönliche Konten benötigst, ist der cPanel-Verzeichnisschutz normalerweise nicht die richtige Lösung.
Ein WordPress-Mitgliederbereich benötigt beispielsweise häufig eine Benutzerverwaltung innerhalb von WordPress.
Der cPanel-Verzeichnisschutz ist dagegen eine vorgelagerte Zugriffssperre für einen kompletten Webbereich.
Passwortschutz ist kein Dateiverschlüsselungssystem #
Der Verzeichnisschutz verhindert den normalen Zugriff über den Webserver ohne gültige Authentifizierung.
Die Dateien selbst werden dadurch jedoch nicht automatisch verschlüsselt.
Wer über einen entsprechend berechtigten anderen Zugang auf das Hosting-Dateisystem zugreifen kann, arbeitet auf einer anderen Zugriffsebene.
Wichtig: Passwortschutz und Verschlüsselung sind zwei unterschiedliche Sicherheitsmaßnahmen.
HTTPS für geschützte Bereiche verwenden #
Ein passwortgeschützter Webbereich sollte über HTTPS aufgerufen werden.
Verwende deshalb eine Adresse wie:
und nicht unverschlüsselt:
http://example.com/intern/
HTTPS schützt die Übertragung zwischen Browser und Webserver.
Nach Aktivierung erscheint 500 Internal Server Error #
Der cPanel-Verzeichnisschutz kann abhängig von der Serverkonfiguration mit Konfigurationsdateien beziehungsweise Authentifizierungsregeln arbeiten.
Wenn unmittelbar nach einer Änderung ein 500 Internal Server Error erscheint, solltest du nicht weitere Regeln auf Verdacht hinzufügen.
Prüfe zuerst, ob der Fehler tatsächlich unmittelbar mit der Aktivierung des Verzeichnisschutzes zusammenhängt.
Die systematische Fehlersuche behandeln wir unter 500 Internal Server Error beheben.
403 Forbidden statt Passwortabfrage #
Wenn anstelle der erwarteten Anmeldung ein 403 Forbidden erscheint, kann die Ursache beispielsweise in Zugriffsregeln, Berechtigungen oder einer anderen Konfiguration des Verzeichnisses liegen.
Die Diagnose behandeln wir unter 403 Forbidden beheben.
.htaccess und Verzeichnisschutz #
Abhängig von der Webserver-Konfiguration können Authentifizierungsregeln mit .htaccess beziehungsweise dazugehörigen Mechanismen umgesetzt werden.
Wenn du gleichzeitig manuell an .htaccess arbeitest, solltest du deshalb vorsichtig sein.
Entferne keine unbekannten Authentifizierungsregeln, nur weil du sie nicht selbst eingetragen hast.
Die sichere Bearbeitung erklären wir unter .htaccess erklärt und sicher bearbeiten.
Versteckte Authentifizierungsdateien nicht löschen #
Für den Passwortschutz können Konfigurations- beziehungsweise Zugangsdaten in Dateien gespeichert werden, die nicht für eine manuelle Bearbeitung gedacht sind.
Wenn du nach dem Aktivieren des Schutzes neue unbekannte Dateien oder Konfigurationseinträge bemerkst, solltest du diese nicht auf Verdacht löschen.
Passwortschutz funktioniert nach .htaccess-Änderung nicht mehr #
Wenn der Verzeichnisschutz zuvor funktioniert hat und unmittelbar nach einer manuellen .htaccess-Änderung nicht mehr arbeitet, solltest du die zuletzt vorgenommenen Änderungen prüfen.
Stelle gegebenenfalls die zuvor gesicherte Konfiguration wieder her.
Passwortabfrage erscheint immer wieder #
Wenn der Browser Benutzername und Passwort immer wieder verlangt, obwohl du die Daten eingegeben hast, prüfe zunächst:
- ob Benutzername und Passwort korrekt eingegeben wurden
- ob der Benutzer für den richtigen geschützten Bereich angelegt wurde
- ob Groß- und Kleinschreibung korrekt ist
- ob das Passwort zwischenzeitlich geändert wurde
- ob mehrere verschachtelte Bereiche unterschiedlich geschützt sind
Teste den Zugriff gegebenenfalls mit einem neu angelegten Benutzer.
Passwortabfrage erscheint gar nicht #
Wenn keine Authentifizierungsabfrage erscheint, kontrolliere zuerst, ob der Passwortschutz für das richtige Verzeichnis tatsächlich aktiviert und gespeichert wurde.
Prüfe außerdem die URL und den zugehörigen Dokumentenstamm.
Teste anschließend in einem privaten Browserfenster, damit eine bestehende Sitzung das Ergebnis nicht verfälscht.
Geschützte Datei ist trotzdem erreichbar #
Wenn eine bestimmte Datei trotz aktiviertem Schutz erreichbar ist, prüfe zunächst, ob sie tatsächlich innerhalb des geschützten Verzeichnisses liegt.
Eine Datei in:
public_html/downloads/datei.pdf
wird beispielsweise nicht dadurch geschützt, dass nur:
public_html/intern
mit einem Passwort versehen wurde.
Der tatsächliche Speicherort ist entscheidend.
Mehrere verschachtelte geschützte Bereiche #
Es ist möglich, dass sich geschützte Verzeichnisse innerhalb anderer geschützter Verzeichnisse befinden.
Dadurch kann die Zugriffskonfiguration komplexer werden.
Wenn kein konkreter Grund dafür besteht, solltest du unnötig komplizierte Verschachtelungen vermeiden.
Passwort nicht in URL oder Dateinamen speichern #
Speichere Zugangsdaten nicht in öffentlich sichtbaren Dateinamen oder URLs.
Ein Verzeichnis wie:
/intern-passwort-12345/
ist keine sinnvolle Sicherheitsmaßnahme.
Der Schutz soll durch die Authentifizierung erfolgen, nicht durch das Erraten eines vermeintlich unbekannten Verzeichnisnamens.
Zugangsdaten sicher weitergeben #
Wenn du einer anderen Person Zugang zu einem geschützten Bereich geben möchtest, solltest du Benutzername und Passwort über einen geeigneten sicheren Kommunikationsweg übermitteln.
Bei mehreren Personen sind getrennte Benutzerkonten sinnvoll.
Wenn eine Person keinen Zugriff mehr benötigt, kannst du deren Zugang anschließend gezielt entfernen.
Verzeichnisschutz vor Veröffentlichung entfernen #
Wenn du eine Entwicklungswebsite geschützt hast, solltest du vor der Veröffentlichung kontrollieren, ob der Schutz tatsächlich entfernt wurde.
Teste die Website anschließend ohne bestehende Browser-Anmeldung.
Ein privates Browserfenster eignet sich dafür besonders gut.
Praxis-Tipp: Prüfe eine neue Website vor dem Go-live aus Sicht eines normalen Besuchers: privates Browserfenster öffnen, Domain aufrufen und kontrollieren, ob keine unerwartete Passwortabfrage mehr erscheint.
Empfohlener Ablauf zum Einrichten des Passwortschutzes #
- Melde dich bei cPanel an.
- Öffne Dateien → Datenschutz für Ordner.
- Wähle das gewünschte Verzeichnis aus.
- Aktiviere den Passwortschutz.
- Vergib einen Namen für den geschützten Bereich.
- Speichere die Einstellung.
- Erstelle mindestens einen Benutzer.
- Vergib ein starkes, eigenes Passwort.
- Rufe den geschützten Bereich im Browser auf.
- Teste gültige und ungültige Zugangsdaten.
Empfohlener Ablauf zum Entfernen des Schutzes #
- Öffne Dateien → Datenschutz für Ordner.
- Wähle das geschützte Verzeichnis.
- Deaktiviere den Passwortschutz.
- Speichere die Änderung.
- Prüfe nicht mehr benötigte Benutzer.
- Teste den Bereich in einem privaten Browserfenster.
Grundregel: Schütze immer nur das Verzeichnis, das tatsächlich geschützt werden soll, und teste den Zugriff anschließend aus Sicht eines nicht angemeldeten Besuchers.
Wann solltest du den Support kontaktieren? #
Wenn der Verzeichnisschutz nicht wie erwartet funktioniert, solltest du zunächst prüfen, ob das richtige Verzeichnis ausgewählt wurde und mindestens ein gültiger Benutzer vorhanden ist.
Für eine weitere Analyse sind insbesondere folgende Angaben hilfreich:
- betroffene Domain
- geschütztes Verzeichnis
- URL des geschützten Bereichs
- ob eine Passwortabfrage erscheint
- ob gültige Zugangsdaten abgelehnt werden
- ob ein HTTP-Fehler wie 403 oder 500 angezeigt wird
- ob zuvor Änderungen an
.htaccessvorgenommen wurden
Übermittle dabei nicht das verwendete Passwort. Für die Fehleranalyse ist das Passwort selbst nicht erforderlich.
Zusammenfassung #
Mit Dateien → Datenschutz für Ordner kannst du im CURIAWEB-cPanel einzelne Verzeichnisse oder komplette Website-Bereiche mit einer zusätzlichen Authentifizierung schützen.
Wähle zuerst das richtige Verzeichnis aus und aktiviere dessen Passwortschutz. Anschließend erstellst du mindestens einen Benutzer mit einem sicheren Passwort.
Teste den geschützten Bereich danach in einem privaten Browserfenster. So kannst du kontrollieren, ob Besucher ohne gültige Zugangsdaten tatsächlich keinen Zugriff erhalten.
Wenn der Schutz nicht mehr benötigt wird, deaktiviere ihn wieder und entferne nicht mehr benötigte Benutzerkonten.
Beachte außerdem, dass der cPanel-Verzeichnisschutz eine serverseitige Zugriffskontrolle darstellt. Er ersetzt weder die Benutzerverwaltung einer Webanwendung noch eine Verschlüsselung der gespeicherten Dateien.
