1971. Das ist das Erscheinungsjahr von FTP. Genauer gesagt: Vom technischen Ursprungsentwurf "RFC 114". Geschrieben am MIT - ein Jahr bevor die ersten E-Mails verschickt wurden.
Wer FTP heute noch produktiv im Web-Stack einsetzt, betreibt ein Stück Software, das älter ist als die meisten Programmierer (... und älter als sämtliche aktuellen Programmiersprachen). Und dennoch: Anfang 2026 fand Censys fast sechs Millionen erreichbare FTP-Server – 2,45 Millionen davon komplett unverschlüsselt. Bequemlichkeit und falsche Risikoeinschätzung auf Admin-Seite ("never change a runnning system") sind sicherlich der tragende Faktor. Und ja, ein paar komplett verwaiste Instanz-Leichen werden auch dabei sein. Zur Wahrheit gehört aber auch, dass zahlreiche Hoster sich bis heute den normalen "S"icherheitsstandard per Aufpreis bezahlen lassen. Warum ist das erlaubt (und so vieles andere verboten)?

Es könnte alles so amüsant sein, wenn es nicht so hochproblematisch wäre. Denn neben der allgegenwärtigen Frontline "Passwörter im Klartext" gibt es zahlreiche weitere, gravierenden Konstruktionsfehler:

• FTP baut für jede Übertragung nicht eine, sondern gleich zwei Verbindungen auf: Port 21 für die Befehle, ein weiterer höherer Port (jedes Mal neu ausgehandelt) für die eigentlichen Daten. 1971 war das clever. Heute ist es der Grund, warum FTP z.B. mit Firewalls notorisch schlecht zusammenspielt: Weil nie im Voraus feststeht, über welchen Weg die Daten laufen, wird jede Sicherheitsregel zum Ratespiel.
• Nacktes FTP kennt keinerlei Server-Authentifizierung: keine Zertifikate, keine Host-Schlüssel, nichts. Es kann gar nicht verifiziert werden, ob am anderen Ende wirklich der gemeinte Server sitzt (und nicht ein Angreifer, der sich dazwischengeschaltet hat).
• Dazu kommt: FTP prüft nicht, ob eine Datei unterwegs verändert wurde. FTP hat keine kryptografische Integritätsprüfung. (Was es gibt, ist die TCP-Prüfsumme darunter – die fängt zufällige Übertragungsfehler meist ab. Gegen einen Angreifer ist sie aber wertlos, weil der die Prüfsumme einfach neu berechnet, wenn er die Datei manipuliert. Heißt: Gegen versehentliche Korruption ist ein Minimalschutz da, gegen gezielte Manipulation im Übertragungsweg gar keiner).

FTP stammt aus einer Zeit, in der es im Netz einfach noch kein Misstrauen gab :)

2025 hat die Industrie dann endlich ganz langsam angefangen, die Geduld zu verlieren. Mehrere Hoster – darunter mehrere große europäische Anbieter – verkündeten ganz stolz, klassisches FTP auf neu provisionierten Servern nicht mehr "als Standard" zu aktivieren (wow!). Strato, Hetzner und IONOS verweisen seit Monaten in ihren Setup-Dialogen aktiv auf SFTP. Immerhin: Aus einem optionalen Sicherheitstipp wurde Default. In kleinen Schritten vorwärts. 

Die naheliegende Alternative SFTP läuft komplett über den verschlüsselten SSH-Tunnel, nutzt *wirklich* nur einen einzigen Port (22) und ist firewall-freundlicher als sein Quasi-Verwandter FTPS, der nach wie vor mit dem berüchtigten Multi-Port-Drama hadert. Nutzen lässt sich das seit einem Jahrzehnt auf wirklich jedem namhaften Client. Der Wechsel zu modernen S-Protokollen ist 2026 keine Frage des Geschmacks mehr, sondern selbstverständliche Hygiene. Und doch zeigen aktuelle Zahlen, dass auch heute noch millionenfach veraltete Systeme im Einsatz sind.
Dabei dauert der Wechsel keine Minute.

FTP ist (wie Telnet) ein Stück Computergeschichte. Over and out.