Was ist SFTP? Das SSH File Transfer Protocol erklärt

SFTP steht für SSH File Transfer Protocol und wird häufig auch als Secure File Transfer Protocol ausgeschrieben. Es überträgt Dateien zwischen einem Client und einem Server über eine einzige verschlüsselte Secure-Shell-Verbindung (SSH), normalerweise auf TCP-Port 22. Die SSH-Schicht authentifiziert den Server, verschlüsselt Befehle, Zugangsdaten und Daten während der Übertragung und schützt die Verbindung vor Manipulation. SFTP ist ein eigenständiges Protokoll, das sich von FTP unterscheidet, und es ist nicht dasselbe wie FTPS, das FTP um TLS ergänzt.

SFTP schützt Daten bei der Übertragung, prüft Dateien aber nicht auf Schadsoftware, setzt keine Datenrichtlinien durch und liefert Compliance-Teams keine geregelte Aufzeichnung darüber, wer auf was zugegriffen hat. Regulierte Organisationen kombinieren SFTP daher mit Schlüsselverwaltung, Zugriffskontrollen und Audit-Protokollierung. Kiteworks bietet eine Kontrollebene für den sicheren Datenaustausch, die SFTP, Managed File Transfer, E-Mail und Dateifreigabe unter dieselbe Verschlüsselung, Zugriffskontrolle und Audit-Protokollierung stellt.

Wichtigste Erkenntnisse

1. SFTP ist nicht FTP mit nachgerüsteter Verschlüsselung

SFTP ist ein eigenständiges Protokoll, das innerhalb einer SSH-Sitzung läuft, und keine abgesicherte Version von FTP. Es verwendet weder FTP-Befehle noch die getrennten Steuer- und Datenverbindungen von FTP, weshalb es sich leichter durch Firewalls betreiben lässt als FTPS.

2. SFTP schützt Daten bei der Übertragung, nicht alles andere

Die Verschlüsselung bei der Übertragung deckt Vertraulichkeit und Integrität während des Transfers ab. Dateien im Ruhezustand, Schadsoftware in Dateien und die Steuerung, wer was senden darf, sind eigene Probleme, die eigene Kontrollen erfordern.

3. Schlüsselbasierte Authentifizierung schlägt Passwörter

Die Public-Key-Authentifizierung, idealerweise mit Multi-Faktor-Authentifizierung kombiniert, widersteht dem Erraten von Zugangsdaten, zu dem Passwörter einladen. Der Preis dafür ist die Schlüsselverwaltung: Nicht verwaltete Schlüssel sammeln sich an und werden zu einem stillen Risiko.

4. Port 22 ist eine Voreinstellung, kein Sicherheitsmerkmal

Die Portnummer ändert nichts an der Stärke der Verschlüsselung. Ein anderer Port für SFTP kann das Rauschen automatisierter Scans verringern, ersetzt aber weder starke Authentifizierung noch aktuelle Algorithmen und Überwachung.

5. Compliance hängt vom System rund um SFTP ab

SFTP kann Erwartungen an die Übertragungssicherheit erfüllen, doch Audit-Trails, Zugriffskontrolle und Schlüsselhoheit entscheiden darüber, ob ein Austausch belastbar ist. Prüfer suchen nach Nachweisen darüber, wer welche Daten wann und nach welcher Richtlinie übertragen hat.

Was bedeutet SFTP?

Das „S“ in SFTP bezieht sich auf Secure Shell, das Protokoll, das den sicheren Kanal bereitstellt. SSH wurde als Ersatz für unsichere Werkzeuge für den Fernzugriff entwickelt. SFTP wurde parallel dazu entworfen, um Dateivorgänge innerhalb dieses Kanals abzuwickeln, darunter Hochladen, Herunterladen, Auflisten von Verzeichnissen, Umbenennen und Löschen von Dateien.

Das Protokoll ist nicht in einem veröffentlichten Standard, sondern in einer Reihe von IETF-Entwürfen der SSH-Arbeitsgruppe definiert. Die Entwürfe sind abgelaufen, und Implementierungen wie OpenSSH folgen einer früheren Version des Protokolls (Version 3), die zum De-facto-Standard geworden ist. Der SSH-Transport, auf den sich SFTP stützt, ist in RFC 4251 bis RFC 4254 standardisiert.

Manchmal wird SFTP mit anderen Begriffen verwechselt:

• FTP (File Transfer Protocol) sendet Befehle, Zugangsdaten und Daten im Klartext. Lesen Sie dazu unseren Glossareintrag zu FTP.
• FTPS ist FTP, eingebettet in TLS. Es nutzt die Befehlsstruktur von FTP, weshalb es mehr als einen Port benötigt.
• SCP ist ein eigenständiges, auf SSH basierendes Kopierwerkzeug mit weniger Funktionen als SFTP.
• TFTP (Trivial File Transfer Protocol) nutzt UDP und kennt weder Authentifizierung noch Verschlüsselung. Es beschränkt sich auf einfache Aufgaben wie das Booten von Netzwerkgeräten.

Wie funktioniert SFTP?

Eine SFTP-Sitzung folgt einem vorhersehbaren Ablauf:

1. Verbindung. Der Client öffnet eine TCP-Verbindung zum Server, in der Regel auf Port 22, und beide Seiten einigen sich auf Protokollversionen und Algorithmen.
2. Schlüsselaustausch und Serverauthentifizierung. Client und Server erzeugen mit einem Schlüsselaustauschverfahren gemeinsame Sitzungsschlüssel, und der Server weist seine Identität mit seinem Host-Schlüssel nach. Der Client gleicht diesen Schlüssel mit einem bereits als vertrauenswürdig bekannten ab, was vor Man-in-the-Middle-Angriffen schützt.
3. Verschlüsselung und Integrität. Ab diesem Punkt wird der gesamte Datenverkehr mit einer symmetrischen Chiffre wie AES oder ChaCha20-Poly1305 verschlüsselt und mit einem Nachrichtenauthentifizierungscode oder einem authentifizierten Verschlüsselungsmodus geschützt.
4. Benutzerauthentifizierung. Der Benutzer weist sich mit einem Passwort, einem SSH-Schlüsselpaar, Keyboard-Interactive-Abfragen wie einem Einmalcode oder anderen unterstützten Verfahren aus.
5. Dateivorgänge. Der Client startet das SFTP-Subsystem und sendet über dieselbe Verbindung Anfragen zum Lesen, Schreiben, Auflisten und Verwalten von Dateien.

Da Befehle und Daten über eine einzige Verbindung laufen, braucht SFTP nur einen offenen Port. Diese Einfachheit ist ein Hauptgrund, warum Administratoren es FTPS vorziehen. Der Schlüsselaustausch in modernem SSH beruht üblicherweise auf Diffie-Hellman mit elliptischen Kurven, und Host- und Benutzerschlüssel sind meist Ed25519, ECDSA oder RSA. Hintergründe zur Funktionsweise dieser Schlüsseltypen finden Sie in unserem Leitfaden zur Verschlüsselung mit öffentlichem und privatem Schlüssel, und zur symmetrischen Chiffre, die für den Datenstrom am häufigsten eingesetzt wird, lesen Sie die AES-256-Verschlüsselung.

Wie sicher ist SFTP?

SFTP bietet bei guter Konfiguration einen starken Schutz für Daten bei der Übertragung. Zu den Schutzfunktionen gehören:

• Vertraulichkeit. Befehle, Zugangsdaten und Dateiinhalte sind zwischen Client und Server verschlüsselt.
• Integrität. Manipulationen bei der Übertragung werden durch Nachrichtenauthentifizierung erkannt.
• Serverauthentifizierung. Der Host-Schlüssel ermöglicht es Clients, einen untergeschobenen Server zu erkennen, sofern der Client den Schlüssel prüft.
• Flexible Benutzerauthentifizierung. Schlüsselbasierte Anmeldung und Multi-Faktor-Optionen verringern die Abhängigkeit von Passwörtern.

Die Grenzen sind ebenso wichtig. SFTP schützt keine Dateien im Ruhezustand auf dem Server, prüft Dateiinhalte nicht auf Schadsoftware oder sensible Daten und bietet von sich aus weder zentrale Protokolle noch Freigabe-Workflows. Es befasst sich auch nicht mit der Verfügbarkeit, sodass die Ausfallsicherheit davon abhängt, wie Server und Netzwerk aufgebaut sind. Die häufigsten Schwachstellen in der Praxis sind schwache Passwörter, nicht verwaltete Schlüssel, veraltete Algorithmen, gemeinsam genutzte Konten und fehlende Überwachung. Das sind Fragen der Konfiguration und der Governance, keine Fehler des Protokolls. Unsere Übersicht zur sicheren Dateiübertragung beschreibt, wie diese Kontrollen zusammenspielen.

Welchen Port nutzt SFTP?

SFTP nutzt standardmäßig TCP-Port 22, denselben Port wie SSH, und braucht keinen separaten Datenport. Administratoren können es auf einem anderen Port betreiben. Das kann die Zahl automatisierter Anmeldeversuche auf Port 22 verringern, macht die Verschlüsselung aber nicht stärker und sollte daher die schlüsselbasierte Authentifizierung, IP-Beschränkungen und Überwachung ergänzen, nicht ersetzen.

Zum Vergleich: FTP nutzt Port 21 für Befehle und eine separate Datenverbindung. FTPS nutzt im expliziten Modus Port 21 oder im impliziten Modus Port 990, zusätzlich einen Portbereich für Datenverbindungen, was die Firewall-Regeln verkompliziert. TFTP nutzt UDP-Port 69.

Was ist der Unterschied zwischen FTP, SFTP, FTPS und TFTP?

Protokoll	Basis	Verschlüsselung	Typische Ports	Auswirkung auf die Firewall
FTP	TCP	Keine; Zugangsdaten und Daten im Klartext	21 plus Datenverbindungen	Mehrere Ports, passiver Modus erforderlich
FTPS	FTP mit TLS	TLS	21 oder 990 plus Portbereich für Daten	Mehrere Ports zu öffnen und zu verfolgen
SFTP	SSH	Transportverschlüsselung durch SSH	22	Ein einziger Port
TFTP	UDP	Keine	69	Auf vertrauenswürdige lokale Netzwerke beschränkt

FTPS ist eine vernünftige Wahl, wenn Partner bereits TLS-basierte Systeme und Zertifikate betreiben, während SFTP sich in der Regel einfacher über Firewalls hinweg einführen lässt und zu SSH-zentrierten Abläufen passt. Einen ausführlicheren Vergleich finden Sie in unserem Leitfaden zu SFTP vs. FTP. SFTP unterscheidet sich auch von einem VPN. Ein VPN schützt einen Netzwerkpfad und kann beliebigen Datenverkehr transportieren, während SFTP einen einzelnen Dienst für Dateiübertragung absichert, weshalb Organisationen beides oft gemeinsam einsetzen, statt sich für eines zu entscheiden.

Welche Vor- und Nachteile hat SFTP?

Vorteile

• Starke Verschlüsselung und Serverauthentifizierung in einem ausgereiften, breit unterstützten Protokoll.
• Ein Port und eine Verbindung, was Firewall- und Netzwerkdesign vereinfacht.
• Unterstützung der schlüsselbasierten Authentifizierung, die sich für Automatisierung eignet und das Passwortrisiko senkt.
• Breite Unterstützung von Clients und Servern über Betriebssysteme und Skriptwerkzeuge hinweg.
• Viele Clients können unterbrochene Übertragungen fortsetzen, was bei großen Dateien hilft.

Nachteile

• Schlüsselwildwuchs. Schlüssel, die nicht inventarisiert oder rotiert werden, schaffen verdeckte Zugänge.
• Keine integrierte Inhaltsprüfung, sodass Schadsoftware und sensible Daten ohne weitere Kontrollen durchgehen.
• Begrenzte native Governance. Protokollierung, Berichte, Freigaben und Aufbewahrung hängen von der Serverplattform ab.
• Die Leistung auf Verbindungen mit hoher Latenz kann nachlassen, und das Verhalten unterscheidet sich zwischen Implementierungen.
• Manuelle Einrichtungen lassen sich nur schwer auf viele Partner, Konten und Skripte skalieren.

Welche Best Practices gelten für den sicheren Einsatz von SFTP?

1. Bevorzugen Sie die schlüsselbasierte Authentifizierung und ergänzen Sie Multi-Faktor-Authentifizierung, wo sich Benutzer interaktiv anmelden. Deaktivieren Sie Passwort-Anmeldungen für automatisierte Konten. Lesen Sie dazu unseren Leitfaden zur Multi-Faktor-Authentifizierung.
2. Verwalten Sie Schlüssel wie Vermögenswerte. Führen Sie ein Inventar, weisen Sie Verantwortliche zu, rotieren Sie Schlüssel nach einem Zeitplan und entfernen Sie Schlüssel, wenn Personen oder Integrationen ausscheiden.
3. Prüfen Sie Host-Schlüssel. Hinterlegen oder verteilen Sie vertrauenswürdige Host-Schlüssel, damit Clients einen geänderten oder gefälschten Server erkennen können.
4. Lassen Sie nur moderne Algorithmen zu. Deaktivieren Sie veraltete Chiffren, Schlüsselaustauschverfahren und Signaturalgorithmen, die nicht mehr als sicher gelten.
5. Wenden Sie das Prinzip der minimalen Rechte an. Geben Sie jedem Konto nur die Ordner und Vorgänge, die es braucht, und vermeiden Sie gemeinsam genutzte Konten. Lesen Sie dazu die rollenbasierte Zugriffskontrolle.
6. Beschränken Sie, woher Verbindungen kommen dürfen. Nutzen Sie IP-Zulassungslisten, Geofencing und Ratenbegrenzung gegen Brute-Force-Angriffe.
7. Scannen und prüfen Sie Dateien. Ergänzen Sie Virenscans und Prüfungen zur Verhinderung von Datenverlust, denn SFTP selbst leistet das nicht. Lesen Sie dazu unsere Leitfäden zu Antivirus und Data Loss Prevention.
8. Protokollieren Sie alles und leiten Sie es an Ihr SIEM weiter. Erfassen Sie Anmeldungen, Fehlversuche und Dateivorgänge und werten Sie sie aus. Lesen Sie dazu unseren Leitfaden zu Audit-Protokollen.
9. Spielen Sie Patches für die Serversoftware zügig ein. SSH-Implementierungen erhalten regelmäßig Sicherheitskorrekturen.

Wann sollten Sie SFTP einsetzen?

SFTP eignet sich für planmäßige und automatisierte Übertragungen zwischen bekannten Parteien. Typische Beispiele sind Gesundheitsorganisationen, die Abrechnungs- und Patientenaktendateien mit Partnern austauschen, Finanzinstitute, die Stapelberichte liefern, Hersteller, die Bestell- und EDI-Dateien mit Lieferanten austauschen, Behörden, die Einreichungen entgegennehmen, Medienteams, die große Dateien übergeben, und Entwicklungsteams, die Build-Artefakte verteilen. Für den Ad-hoc-Austausch mit Personen, die eine interaktive Oberfläche brauchen, passen sichere Dateifreigabe oder E-Mail-Schutz oft besser, als Empfänger zur Nutzung eines SFTP-Clients aufzufordern. Lesen Sie, wie Managed File Transfer SFTP für wiederkehrende Abläufe erweitert.

Welche Rolle spielt SFTP für die Compliance?

SFTP unterstützt Organisationen dabei, Pflichten zum Schutz von Daten bei der Übertragung zu erfüllen, doch kein Protokoll macht eine Organisation für sich allein compliant. Beispiele für Anforderungen, die es unterstützen kann, sind der Standard zur Übertragungssicherheit in der HIPAA Security Rule (HIPAA), die Anforderungen des PCI DSS an starke Kryptografie, wenn Karteninhaberdaten offene Netze durchqueren (PCI DSS), die Pflicht zur Sicherheit der Verarbeitung in der DSGVO sowie die Kontrollen nach NIST SP 800-171 zum Schutz von Controlled Unclassified Information bei der Übertragung (NIST 800-171). Prüfer verlangen in der Regel mehr als Nachweise zur Verschlüsselung. Sie wollen sehen, wer welche Daten ausgetauscht hat, wer den Zugriff genehmigt hat, wie Schlüssel kontrolliert werden und ob die Kryptografie validiert ist. Organisationen, die validierte Kryptografie benötigen, sollten auf FIPS-validierte Module achten.

Worauf sollten Sie bei einer SFTP-Lösung achten?

• Authentifizierungsoptionen: schlüsselbasierte Anmeldung, Multi-Faktor-Authentifizierung und Integration mit Ihrem Identitätsanbieter.
• Schlüsselverwaltung: Selbstregistrierung von Schlüsseln, Richtlinienkontrollen und klare Verantwortlichkeit.
• Fein abgestufte Berechtigungen: rollenbasierter Ordnerzugriff und die Möglichkeit, schreibgeschützt zu arbeiten.
• Sitzungskontrollen: Begrenzung gleichzeitiger Sitzungen und Zeitlimits bei Inaktivität.
• Audit-Protokollierung: vollständige Aufzeichnungen von Anmeldungen, Fehlversuchen und Dateivorgängen, mit Anbindung an Ihr SIEM.
• Inhaltskontrollen: Integration von Virenscan und DLP.
• Kryptografie: moderne Algorithmen und FIPS-validierte Module für regulierte Umgebungen.
• Flexible Bereitstellung: Optionen, die zu Ihren Anforderungen an Datenresidenz und Isolation passen. Lesen Sie dazu unsere Übersicht zu sicheren Bereitstellungsoptionen.
• Automatisierung und Skalierung: Zeitplanung, Workflows und fortsetzbare Übertragung großer Dateien.

Aktueller Stand: Post-Quanten-Schlüsselaustausch und veraltete Algorithmen

Dieser Abschnitt wird getrennt vom Rest der Seite geprüft und aktualisiert. Zuletzt geprüft: Oktober 2026.

OpenSSH 10.0, im April 2025 veröffentlicht, machte das hybride Post-Quanten-Schlüsselaustauschverfahren mlkem768x25519-sha256 zur Voreinstellung des Clients. Es kombiniert den vom NIST standardisierten Algorithmus ML-KEM-768 mit dem Verfahren auf Basis der elliptischen Kurve X25519. Dieselbe Version entfernte die Unterstützung für den schwachen Signaturalgorithmus DSA. Der hybride Schlüsselaustausch soll heute aufgezeichnete SFTP-Sitzungen davor schützen, später von einem künftigen Quantencomputer entschlüsselt zu werden, und bewahrt zugleich den Schutz der heutigen Algorithmen.

Ob eine SFTP-Verbindung einen Post-Quanten-Schlüsselaustausch nutzt, hängt von beiden Seiten ab. Die Software von Client und Server muss ihn unterstützen, und der Server muss ihn in seiner Konfiguration zulassen. Wenn Sie einen SFTP-Server oder -Dienst bewerten, fragen Sie, welche Schlüsselaustauschverfahren er unterstützt und ob sich veraltete Algorithmen deaktivieren lassen.

Dateien sicher und compliant übertragen mit Kiteworks SFTP

Kiteworks bietet eine Kontrollebene für den sicheren Datenaustausch, die für SFTP dieselbe Governance anwendet wie für E-Mail, Dateifreigabe und Managed File Transfer. Der Kiteworks SFTP Server gibt externen Parteien SFTP-Zugriff auf freigegebene Ordner, während Mitarbeitende über die Web- und Mobiloberflächen unter denselben Zugriffskontrollen auf dieselben Ordner zugreifen. Die Plattform unterstützt Organisationen auf folgende Weise:

• Schlüsselbasierte, richtliniengesteuerte Authentifizierung. Administratoren können die schlüsselbasierte Authentifizierung vorschreiben, und Benutzer und Administratoren können öffentliche SSH-Schlüssel für automatisierte und manuelle Übertragungen registrieren und verwalten.
• Konfigurierbare Ports. SSH und SFTP können auf anderen Ports als 22 laufen.
• Rollenbasierte Ordnerberechtigungen. Berechtigungen gelten für jeden Lese-, Schreib-, Umbenennungs- und Löschvorgang, sodass SFTP-Benutzer nur tun können, was ihre Rolle erlaubt, und ein SFTP-Server im schreibgeschützten Modus laufen kann.
• Sitzungskontrollen. Administratoren können gleichzeitige Sitzungen pro Benutzer begrenzen und inaktive Sitzungen automatisch beenden.
• Audit-Protokollierung. SFTP-Anmeldungen, fehlgeschlagene Versuche, verweigerte Zugriffe und Dateivorgänge werden im einheitlichen Audit-Protokoll der Plattform erfasst, das an Ihr SIEM weitergeleitet werden kann.
• Übertragung großer Dateien mit Wiederaufnahme. Große Uploads und Downloads werden in Blöcken übertragen, und Uploads lassen sich nach einer Unterbrechung fortsetzen.
• Validierte Kryptografie und kundeneigene Schlüssel. Der SFTP-Dienst nutzt FIPS-140-validierte Kryptografie für Umgebungen, die sie verlangen, und Kunden besitzen ihre Verschlüsselungsschlüssel. Lesen Sie dazu die nach FIPS 140-3 Level 1 validierte Verschlüsselung der Plattform.

Für wiederkehrende und automatisierte Abläufe ergänzen Sie sicheres MFT auf derselben Plattform. Entdecken Sie die Kiteworks Data Control Plane, um zu sehen, wie SFTP in einen gesteuerten Datenaustausch passt.