Ihr Hosting-Konto schützen: Passwörter, 2FA und Zugänge

Eine gehackte Website beginnt selten mit einem raffinierten Angriff, sondern meist mit einem erratenen oder anderswo geleakten Passwort. Beim Hosting gibt es mehrere getrennte Türen zu schützen, und jede braucht ihren eigenen Schlüssel.

Die Konten, die Sie schützen müssen

1. Kundenbereich: Rechnungen, Dienste und Support-Tickets. Wer Zugang hat, kann Ihren Dienst kündigen oder an die Domainverwaltung gelangen.
2. cPanel: Zugriff auf alle Dateien, Datenbanken und E-Mail-Konten.
3. E-Mail-Konten: Hier landen Links zum Zurücksetzen von Passwörtern; der Verlust eines Kontos kann weitere nach sich ziehen.
4. Website-Admin: das Administratorkonto von WordPress oder Ihrer Anwendung. Siehe WordPress-Admin absichern.

Was ein gutes Passwort ausmacht

• Einzigartig: nirgendwo sonst verwendet. Auf einer Website geleakte Passwörter werden automatisch auf anderen ausprobiert.
• Lang: Ein langes Passwort aus mehreren zufälligen Wörtern ist sicherer und leichter zu merken als ein kurzes, komplexes.
• In einem Passwortmanager gespeichert: der einzige praktische Weg, für jedes Konto ein eigenes Passwort zu führen.

Zwei-Faktor-Authentifizierung (2FA)

Mit 2FA kann sich jemand, der Ihr Passwort stiehlt, trotzdem nicht anmelden, weil er zusätzlich den Einmalcode der Authenticator-App auf Ihrem Smartphone braucht.

2FA in cPanel aktivieren

Klicken Sie unter Security › Two-Factor Authentication auf Set Up Two-Factor Authentication, scannen Sie den QR-Code mit einer Authenticator-App und geben Sie den angezeigten Code ein. Für den Fall, dass Sie Ihr Smartphone verlieren, nutzen Sie die Sicherungs- oder Übertragungsfunktion Ihrer App.

Passkeys

Manche Dienste bieten statt Passwörtern Passkeys an, die mit Fingerabdruck oder Gesichtserkennung Ihres Geräts funktionieren. Passkeys sind widerstandsfähiger gegen gefälschte Websites, weil sie nur auf der Adresse der echten Website funktionieren. Aktivieren Sie sie, wo Ihr Registrar, E-Mail-Anbieter oder Cloud-Dienst sie unterstützt.

Teammitgliedern Zugang geben

Statt einem Designer oder Entwickler Ihr eigenes cPanel-Passwort zu geben, gewähren Sie nur den nötigen Zugriff, etwa ein auf einen Ordner beschränktes FTP-Konto oder einen eigenen WordPress-Benutzer. Schließen Sie diese Zugänge, wenn die Arbeit erledigt ist.

Wenn etwas verdächtig wirkt

Sehen Sie eine unbekannte Anmeldung, geänderte Dateien oder nicht von Ihnen gesendete E-Mails, ändern Sie zuerst die Passwörter, folgen Sie dann unserer Anleitung bei verdächtigen Änderungen und eröffnen Sie ein Support-Ticket. Melden Sie sich nicht über Links in E-Mails an, die wie Sicherheitshinweise aussehen; tippen Sie die Adresse des Panels immer selbst ein.