Was ist SFTP?

SFTP wird auch als „Secure File Transfer Protocol“ bezeichnet. Diese Bezeichnung kann irreführend sein, weil sie eine verschlüsselte Variante von FTP vermuten lässt. Dafür gibt es FTPS, das FTP um TLS-Verschlüsselung erweitert. SFTP ist dagegen ein eigenständiges Protokoll auf Basis von SSH. Bei korrekter Einrichtung bietet SFTP eine sichere Dateiübertragung und schützt Zugangsdaten sowie Dateiinhalte vor Mitlesen und Manipulation. ^[2]

Wofür wird SFTP verwendet?

SFTP eignet sich für den Austausch von Dateien zwischen Menschen, Anwendungen und Geräten. Der Zugriff kann über ein Programm mit grafischer Oberfläche, über die Kommandozeile im Terminal oder automatisch aus einem Skript erfolgen. WinSCP ist beispielsweise ein grafischer SFTP-Client für Windows. Damit lassen sich Ordner auf dem Server öffnen, Dateien hoch- und herunterladen sowie umbenennen oder löschen.

Ein mögliches Einsatzgebiet ist der Datenaustausch zwischen einem Lieferanten und einem Händler: Der Lieferant stellt jede Nacht eine CSV-Datei mit seinen Lagerbeständen bereit. Der Händler lädt sie herunter und übernimmt die Mengen in seine Warenwirtschaft. Dafür vereinbaren beide Seiten ein Dateiformat, einen Ablageort und einen Zeitpunkt, zu dem die Daten bereitstehen sollen.

Ähnlich lassen sich Bestellungen, Rechnungsdateien oder Versandinformationen austauschen. In einer Produktionsumgebung könnte ein Gateway abgeschlossene Schichtberichte und Diagnoseprotokolle hochladen. Eine Anwendung könnte ihren Kunden getrennte Zugänge geben, damit jeder seine eigenen Importdateien ablegt.

Wichtig zu wissen: SFTP ist dabei nur das Transportprotokoll und enthält keine Geschäftslogik. Die Prüfung und Verarbeitung der Daten muss die empfangende Anwendung übernehmen. ^[3]

Auch Backup-Programme können SFTP nutzen, um Sicherungen auf einem entfernten Server abzulegen. Eine Option dafür ist restic.

Wie funktioniert SFTP?

Ein SFTP-Client lädt Dateien manuell oder automatisch hoch und herunter. Der Server stellt Dateien und Ordner bereit und prüft die Zugriffsrechte des Benutzers. ^[3]

Eine Verbindung wird in mehreren Schritten aufgebaut

1. Zunächst verbindet sich der Client mit der Serveradresse und dem angegebenen Port.

2. Client und Server stellen eine verschlüsselte SSH-Verbindung her. Der Client muss den Host-Key des Servers prüfen, um sicherzustellen, dass er sich mit dem richtigen Server verbindet.

3. Danach wird der Benutzer angemeldet. Der Server prüft die Identität des Benutzers mit einem Passwort, einem SSH-Schlüssel, beidem oder einem anderen konfigurierten SSH-Verfahren.

4. Erst nach erfolgreicher Anmeldung beginnt die SFTP-Sitzung. Der Client kann nun Dateien übertragen und Ordner anzeigen. Der Server prüft für jede Aktion die Zugriffsrechte.

OpenSSH kann einen Benutzer auf SFTP ohne Shell-Zugriff beschränken. SSH-Weiterleitungen müssen separat eingeschränkt werden. ^[4]

Welchen Port verwendet SFTP?

SFTP verwendet normalerweise den TCP-Port 22. Nutzt der Server einen anderen Port, muss dieser auch im Client eingestellt sein. ^[1] Die Wahl von Port 22 macht einen reinen FTP-Client nicht SFTP-fähig. ^[2]

Dateioperationen und Daten laufen über eine SSH-Verbindung; zusätzliche Datenports sind nicht nötig. Firewall-Regeln sollten nur die benötigten Verbindungen vom Client zum Server und deren Antworten erlauben. Der Client muss keine eingehenden SFTP-Verbindungen annehmen.

FTP, FTPS und SFTP: Wo liegt der Unterschied?

FTP, FTPS und SFTP übertragen Dateien, funktionieren aber unterschiedlich. FTP sendet Daten unverschlüsselt, während FTPS das FTP-Protokoll um TLS-Verschlüsselung erweitert. SFTP ist ein eigenständiges Protokoll, das Dateien über eine verschlüsselte SSH-Verbindung überträgt.

FTPS muss sowohl Steuer- als auch Datenverbindungen verschlüsseln. Der Modus des Clients – explizit oder implizit – muss zum Server passen. ^[2]

SFTP und FTPS sind nicht kompatibel. ^[2] Ein Dienst wie die Sync FTP/FTPS to SFTP Bridge verbindet lokale FTP/FTPS-Systeme über SFTP mit dem Speicher bei Sync Motion.

SFTP und FTPS ermöglichen bei korrekter Einrichtung sichere Übertragungen. Die Wahl hängt davon ab, welche Protokolle die beteiligten Systeme unterstützen.

Wie unterscheiden sich SFTP und SSH?

SSH ermöglicht sichere Verbindungen für Befehle auf entfernten Servern und andere Dienste. SFTP nutzt SSH für Dateizugriff und Übertragung. Ein SSH-Zugang umfasst nicht automatisch SFTP. ^[4]

Wie unterscheiden sich SFTP und SCP?

Seit Version 9.0 verwendet der OpenSSH-Befehl scp standardmäßig SFTP. Die Option -O wählt das ältere SCP-Protokoll; andere Implementierungen und ältere Versionen können davon abweichen. ^[5]

Welche Programme unterstützen SFTP?

OpenSSH bietet den Befehl sftp für das Terminal. FileZilla Client und Cyberduck haben grafische Oberflächen. Prüfe, ob die gewählte Anwendung und Edition SFTP unterstützt.

Anmeldung mit Passwort oder SSH-Schlüssel

Der Client prüft den Server; der Server prüft den Benutzer.

Den Host-Key des Servers prüfen

Vergleiche den Fingerabdruck mit einer vertrauenswürdigen Quelle, etwa dem angemeldeten Kundenbereich des Anbieters oder einem verifizierten Administrator. Bestätige spätere Schlüsseländerungen unabhängig, bevor du sie akzeptierst.

Den Benutzer anmelden

SSH verschlüsselt Passwörter bei der Übertragung. Gestohlene oder mehrfach verwendete Passwörter bleiben ein Risiko.

Bei der Anmeldung mit SSH-Schlüssel liegt der öffentliche Schlüssel auf dem Server. Der Client weist nach, dass er den privaten Schlüssel besitzt, ohne ihn zu übertragen. Diese Schlüssel sind vom Host-Key des Servers und den Verschlüsselungsschlüsseln der Verbindung getrennt. Der Server kann SSH-Schlüssel und Passwort gemeinsam verlangen. ^[4]

Schütze private Schlüssel mit eingeschränkten Dateirechten und gegebenenfalls einer Passphrase. Nutze für automatische Abläufe einen verwalteten SSH-Agenten oder eine sichere Zugangsdatenverwaltung. Zugangsdaten gehören nicht in den Quellcode. Verwende für jede Integration einen eigenen Benutzer, damit sich Zugriffe einzeln sperren lassen.

Eine SFTP-Verbindung einrichten

Hole Serveradresse, Port, Benutzername, Anmeldedaten, freigegebenes Verzeichnis und Host-Key-Fingerabdruck beim Anbieter ein. Prüfe, ob dein Client die erforderliche Anmeldung unterstützt. Ersetze die Beispielwerte durch deine eigenen Angaben.

Verbindung über die Kommandozeile

Mit installiertem OpenSSH kannst du die folgenden Befehle verwenden. -P legt den Port fest; -i wählt den privaten Schlüssel. Prüfe den Host-Key, bevor du die Verbindung akzeptierst. ^[6]

sftp datenaustausch@sftp.example.com

Für einen anderen Port und privaten Schlüssel:

sftp -P 2222 -i ~/.ssh/sftp_partner datenaustausch@sftp.example.com

Nach der Anmeldung:

Verbindung mit einem grafischen Client

Wähle SFTP und trage Serveradresse, Port, Benutzername sowie das benötigte Passwort, den SSH-Schlüssel oder beides ein. Prüfe den Host-Key-Fingerabdruck, bevor du dem Server vertraust.

Verwende bei beiden Methoden vorhandene Verzeichnisse mit den nötigen Zugriffsrechten. Prüfe das Hoch- und Herunterladen zunächst mit einer Testdatei ohne sensible Daten. ^[6]

Dateien automatisch per SFTP übertragen

Eine automatische Übertragung kann abbrechen, bevor die Datei vollständig ist. Auch ein erfolgreicher Upload bedeutet noch nicht, dass die empfangende Anwendung die Datei verarbeitet hat. Der Ablauf muss deshalb unvollständige Importe verhindern, fehlgeschlagene Übertragungen behandeln und die Verarbeitung gesondert prüfen.

Im folgenden Beispiel werden Dateien unter einem vorläufigen Namen hochgeladen und anschließend umbenannt. Der Server muss dieses Umbenennen unterstützen, und die empfangende Anwendung muss vorläufige Dateien ignorieren.

Unvollständige Dateien nicht importieren

/eingang muss existieren und beschreibbar sein. Die Exportdatei muss fertig sein und während des Uploads unverändert bleiben. Die empfangende Anwendung muss .part-Dateien ignorieren. Speichere die Übertragungsbefehle als upload.sftp.

put /srv/export/bestellungen-20260912-001.csv /eingang/bestellungen-20260912-001.csv.part
rename /eingang/bestellungen-20260912-001.csv.part /eingang/bestellungen-20260912-001.csv
bye

Ausgeführt wird sie mit:

sftp -b upload.sftp \
  -oBatchMode=yes \
  -oStrictHostKeyChecking=yes \
  -i ~/.ssh/sftp_partner \
  datenaustausch@sftp.example.com

-b liest die Befehlsdatei und bricht den Ablauf ab, wenn put oder rename fehlschlägt. BatchMode=yes verhindert Anmeldeabfragen; StrictHostKeyChecking=yes lehnt unbekannte oder geänderte Host-Keys ab. ^[6]

Hinterlege vor dem Start den geprüften Host-Key in known_hosts und stelle den privaten Schlüssel ohne interaktive Abfrage bereit, etwa über einen SSH-Agenten.

Das Verhalten des Speichers berücksichtigen

Das Umbenennen kann anzeigen, dass ein Upload abgeschlossen ist. Dafür muss die Datei in einem Schritt unter ihrem endgültigen Namen erscheinen. Prüfe, ob Server und Speicher das unterstützen, besonders bei Objektspeichern. ^[7]

Nutze andernfalls eine vom Anbieter unterstützte Methode, um abgeschlossene Übertragungen zu kennzeichnen, etwa eine separate .ready-Datei. Erstelle sie erst nach erfolgreichem Upload. Die empfangende Anwendung muss darauf warten, bevor sie die Daten verarbeitet.

Wiederholungen und doppelte Importe einplanen

Für den Bestellexport sollte jede Datei eine eindeutige Kennung erhalten. Der Name im Beispiel steht für einen bestimmten Export und wird nicht bei jedem Durchlauf wiederverwendet. Die empfangende Anwendung speichert, welche Kennungen sie bereits verarbeitet hat. So lässt sich verhindern, dass ein wiederholter Upload dieselben Bestellungen noch einmal anlegt.

Der Übertragungsprozess sollte protokollieren, welche Datei er wann übertragen hat und ob dabei ein Fehler auftrat. Wiederholungen brauchen ein Limit und einen Abstand zwischen den Versuchen. Bleibt der Export aus oder scheitern alle Versuche, muss jemand davon erfahren. Das sind Anforderungen an den vorgesehenen Ablauf, keine eingebauten SFTP-Funktionen.

Auch nach einem erfolgreichen Upload sollte die Quelldatei nicht sofort als einzige Kopie gelöscht werden. Für dieses Beispiel wäre eine Bestätigung der empfangenden Anwendung sinnvoll: Datei angenommen, Inhalt geprüft, Bestellungen importiert. Fehlerhafte Dateien können mit einer nachvollziehbaren Meldung zur Korrektur zurückgestellt werden.

Abgebrochene Übertragungen fortsetzen

Manche Clients können einen unterbrochenen Upload fortsetzen. Das ist nur dann sinnvoll, wenn der vorhandene Dateiteil und die Quelle noch zur selben Dateiversion gehören. Wurde der Export inzwischen neu erzeugt, können beim Fortsetzen alte und neue Inhalte vermischt werden. Eine bereits begonnene Übertragung sollte deshalb nur mit unveränderter Quelle fortgesetzt werden.

Wie sicher ist SFTP?

SFTP schützt die Übertragung durch SSH-Verschlüsselung, Integritätsschutz und die Prüfung der beteiligten Identitäten. Das hilft gegen Mitlesen und Manipulation auf dem Netzwerkweg. Es schützt jedoch nicht vor einem kompromittierten Rechner, auf dem die Datei vor oder nach der Übertragung offen zugänglich ist.

Verschlüsselte Übertragung ist keine verschlüsselte Ablage

SFTP sagt zunächst nichts darüber aus, wie der Server die empfangenen Dateien speichert. Festplattenverschlüsselung, verschlüsselte Backups und die Rechte des Serverbetreibers müssen getrennt betrachtet werden.

Soll auch der Betreiber des Übertragungsservers den Inhalt nicht lesen können, braucht es eine zusätzliche Verschlüsselung der Datei vor dem Upload. Mit einem Verfahren wie OpenPGP lässt sich der Inhalt für den vorgesehenen Empfänger verschlüsseln. Die Schlüsselverwaltung dafür ist unabhängig von der SSH-Anmeldung.

Zugänge und Rechte begrenzen

Für unterschiedliche Partner und Anwendungen sind getrennte Zugänge sinnvoll. Dann lässt sich ein einzelner Zugang sperren, ohne alle anderen Übertragungen umzustellen. Jedes Konto sollte nur auf die benötigten Daten zugreifen können. Ein Lieferant, der Bestände hochlädt, braucht beispielsweise keinen Lesezugriff auf die Bestelldateien anderer Lieferanten. Zugangsdaten müssen widerrufen werden, sobald sie nicht mehr gebraucht werden oder ein Verdacht auf Missbrauch besteht.

Wer OpenSSH selbst betreibt, muss Datei-, Verzeichnis- und Kontorechte entsprechend einrichten. Eine Beschränkung auf internal-sftp ersetzt nicht die gesonderte Sperre unnötiger Weiterleitungen. Auch bei einer Verzeichnisisolation per chroot müssen Eigentümer und Schreibrechte zur Konfiguration passen. ^[4]

Zur Absicherung gehören außerdem Updates und die Prüfung relevanter Sicherheitshinweise. Auch SSH-Software kann Schwachstellen enthalten. Die Sicherheitshinweise des OpenSSH-Projekts dokumentieren entsprechende Fälle und behobene Versionen.

Ist SFTP DSGVO-konform?

Ein Protokoll allein macht einen Datenverarbeitungsprozess nicht DSGVO-konform. Artikel 32 der DSGVO verlangt risikogerechte technische und organisatorische Maßnahmen. Dazu gehören neben dem Schutz vertraulicher Daten auch Verfügbarkeit, Wiederherstellbarkeit und die regelmäßige Bewertung der Maßnahmen. ^[8]

SFTP kann einen Teil dieser Anforderungen an den Übertragungsweg abdecken. Zusätzlich müssen unter anderem Zugriffsrechte, Löschfristen und Verantwortlichkeiten geklärt sein. Bei einer Auftragsverarbeitung sind die Anforderungen aus Artikel 28 zu berücksichtigen; bei Übermittlungen in Drittländer die dafür geltenden Regeln. Ein Serverstandort in der EU allein beantwortet diese Fragen nicht. ^[8]

Welche Grenzen hat SFTP?

Nicht jeder Server verhält sich wie eine lokale Festplatte

Server können auch Objektspeicher verwenden. Das kann sich auf Berechtigungen, Zeitstempel, das Umbenennen und das Fortsetzen unterbrochener Übertragungen auswirken. ^[7]

Ein Client kann eine Datei erfolgreich hochladen und anschließend beim Setzen ihres Zeitstempels eine Fehlermeldung erhalten. AWS beschreibt dieses Verhalten für SETSTAT bei S3-basierten Zugängen. Bei der Fehlersuche muss deshalb unterschieden werden, ob die Übertragung selbst fehlgeschlagen ist oder erst eine nachfolgende Änderung der Dateieigenschaften. ^[7]

Die Geschwindigkeit hängt vom tatsächlichen Einsatz ab

Bandbreite, Netzwerklatenz, Rechenleistung, Speicher und Client-Einstellungen beeinflussen die Übertragungsrate. Viele kleine Dateien verursachen andere Abläufe als ein einzelnes großes Archiv. Eine pauschale Aussage wie „SFTP ist immer langsamer als FTPS“ hilft daher bei der Planung wenig.

Für einen brauchbaren Test sollten die später verwendeten Dateigrößen und die tatsächliche Netzwerkstrecke herangezogen werden. Sicherheitsprüfungen abzuschalten, um einen besseren Messwert zu erhalten, wäre dafür keine geeignete Lösung.

SFTP-Version und SSH-Version sind nicht dasselbe

Die Angabe „SFTP Version 3“ sagt nichts darüber aus, ob eine Verbindung veraltete Verschlüsselung verwendet. OpenSSH dokumentiert für SFTP die Protokollversion 3 mit zusätzlichen Erweiterungen. Die Verschlüsselungsverfahren werden dagegen auf SSH-Ebene ausgehandelt.

Die SFTP-Spezifikation wurde in Internet-Drafts beschrieben. Diese Entwürfe sind nicht mit einem verabschiedeten IETF-Standard gleichzusetzen. Für die praktische Kompatibilität zählen die tatsächlich unterstützten Funktionen und Erweiterungen von Client und Server.

Wann ist SFTP sinnvoll, wann eine API?

Wenn zwei Anwendungen ohnehin vollständige Dateien erzeugen und einlesen, lässt sich SFTP als Übergabeverfahren prüfen. Für das Beispiel mit dem nächtlichen Lagerbestand könnte das genügen: Ein System legt eine Datei ab, das andere holt sie ab und verarbeitet sie.

Soll dagegen eine einzelne Bestellung sofort angelegt, geprüft und mit einer Bestellnummer bestätigt werden, wäre für diesen Ablauf eine HTTPS-API naheliegend. Sie kann fachliche Operationen und passende Antworten bereitstellen. Auch APIs können Dateien übertragen; der Unterschied liegt nicht allein in der Art der Daten, sondern in der vereinbarten Schnittstelle. HTTP liefert dafür ein Anfrage-Antwort-Modell.

Für laufende Messwerte und Zustandsmeldungen kann MQTT passender sein. Es verteilt Nachrichten nach dem Publish/Subscribe-Prinzip. In einer Anlage könnten daher MQTT-Nachrichten den aktuellen Maschinenzustand melden, während SFTP abgeschlossene Produktionsberichte überträgt. Die Grundlagen dazu erklärt der Artikel Was ist MQTT?.

Eine Managed-File-Transfer-Plattform kann zusätzlich verschiedene Übertragungsverfahren, Protokollierung und automatisierte Verarbeitung zusammenführen. „Managed File Transfer“ ist aber kein anderer Name für SFTP. Eine solche Plattform kann SFTP als eines ihrer Protokolle verwenden.

SFTP selbst betreiben oder einen Server mieten?

Ein eigener SFTP-Server lässt sich beispielsweise mit OpenSSH betreiben. Ein Managed-Angebot übernimmt dagegen vereinbarte Teile des Betriebs. Welche Aufgaben beim Anbieter liegen und welche beim Kunden bleiben, hängt vom jeweiligen Dienst ab. Speicher und Benutzerverwaltung können etwa weiterhin vom Kunden bereitgestellt werden. ^[4]

Für die Auswahl sollte geklärt werden, wer Updates einspielt, Schlüssel sperrt, Fehler bemerkt und bei einem Ausfall reagiert. Ebenso gehören Speichergrenzen, Protokollierung, Backups und Wiederherstellung in die Prüfung. Das Wort „managed“ allein beschreibt den Leistungsumfang nicht ausreichend.

Vor dem produktiven Einsatz sollte nicht nur ein kleiner Test-Upload funktionieren. Sinnvoll sind auch Tests mit den späteren Dateigrößen, einem absichtlich unterbrochenen Upload und einem bereits vorhandenen Dateinamen. Bei getrennten Kundenzugängen gehört außerdem die Prüfung dazu, dass kein Konto auf fremde Verzeichnisse zugreifen kann.

Wer bereits passende Infrastruktur und Betriebsabläufe hat, kann den eigenen Server in diese einordnen. Wer lediglich Dateien mit einem Partner austauschen muss, sollte den zusätzlichen Betriebsaufwand gegen ein Hosting-Angebot abwägen.

Häufige SFTP-Fehler und ihre Ursachen

Eine fehlgeschlagene Verbindung ist etwas anderes als eine fehlgeschlagene Anmeldung oder ein verweigerter Schreibzugriff. Die genaue Fehlermeldung hilft, die Suche einzugrenzen. Die folgenden Punkte sind erste Prüfschritte, keine eindeutige Diagnose.

Client- und Serverprotokolle sollten möglichst gemeinsam geprüft werden. Änderungen an der Host-Key-Prüfung sind kein Ersatz für die Fehlersuche. ^[4]

Ein SFTP-Zugang ohne eigenen Server

Sync Motion bietet Managed SFTP mit Serverstandort Deutschland. Der Zugang lässt sich mit vorhandenen SFTP-Clients und Anwendungen nutzen. Speicher, zusätzliche Zugänge und weitere Funktionen richten sich nach dem gewählten Tarif.

Quellen

Recherchestand: 12. September 2026. Die Beispiele sind dokumentationsbasiert und wurden für diesen Artikel nicht gegen einen produktiven Sync-Motion-Zugang getestet.

Fußnoten

1. OpenSSH/OpenBSD: ssh(1), insbesondere Port, Serveridentität und Verbindungsaufbau. https://man.openbsd.org/ssh.1 ↩ ↩² ↩³

2. RFC 4217: Securing FTP with TLS. https://www.rfc-editor.org/rfc/rfc4217.html ↩ ↩² ↩³ ↩⁴

3. WinSCP: SFTP (SSH File Transfer Protocol). https://winscp.net/eng/docs/sftp ↩ ↩²

4. OpenSSH/OpenBSD: sshd_config(5). https://man.openbsd.org/sshd_config.5 ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶

5. OpenSSH: Release 9.0, 8. April 2022. https://www.openssh.org/txt/release-9.0 ↩

6. OpenSSH/OpenBSD: sftp(1), Optionen, interaktive Befehle und Stapelverarbeitung. https://man.openbsd.org/sftp.1 ↩ ↩² ↩³

7. AWS Transfer Family: Übertragung von Dateien über einen Serverendpunkt mit einem Client. https://docs.aws.amazon.com/de_de/transfer/latest/userguide/transfer-file.html ↩ ↩² ↩³

8. Verordnung (EU) 2016/679, insbesondere Artikel 28, 32 und Kapitel V. Amtliche deutsche Fassung. https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679 ↩ ↩²