Ich muss für die Arbeit einen neuen FTP‑Client auswählen und Sicherheit hat für mich oberste Priorität. Ich übertrage vertrauliche Dateien für Kunden und mache mir Sorgen über Datenlecks, schwache Verschlüsselung oder einen unsicheren Umgang mit Passwörtern. Es gibt so viele Optionen, die behaupten sicher zu sein, dass ich völlig überfordert bin. Welche FTP‑Clients sind derzeit tatsächlich am sichersten, und auf welche konkreten Funktionen sollte ich achten, um meine Daten und Zugangsdaten zu schützen?
Wenn „stärkste Sicherheit“ wirklich deine Priorität Nummer 1 ist, würde ich tatsächlich zuerst das Protokoll und die Umgebung wählen und erst danach den Client. Der Client ist nur die dünne Schicht obendrauf.
Ich stimme @mikeappsreviewer zu, dass schlichtes FTP für alles Sensible tot ist. Ich würde noch weiter gehen: nicht nur „vermeiden“, sondern wenn möglich auf Client und Server komplett deaktivieren.
Zu den konkreten Tools, kurz zusammengefasst:
1. Unter macOS
-
Commander One
Da es schon erwähnt wurde: es ist als sicherer Dateimanager wirklich solide, nicht nur ein FTP-Spielzeug. Für deinen Anwendungsfall punktet es vor allem durch:- Gute SFTP‑Unterstützung (SSH‑basiert, in der Regel die sicherste Wahl).
- Du kannst praktisch komplett in SFTP leben und musst reines FTP nie anfassen.
- Geht ordentlich mit Zertifikaten und verschlüsselten Verbindungen um, statt dich in schlechte Gewohnheiten hineinzunerven.
Wenn du Sicherheit plus „Daily Driver“‑Dateimanager willst, ist Commander One ein ernstzunehmender Kandidat.
-
Cyberduck
- Open Source, das heißt, der Umgang mit Kryptografie ist zumindest prüfbar.
- Unterstützt SFTP, FTPS, WebDAV, Cloud‑Speicher.
- Integriert sich unter macOS in den System‑Schlüsselbund, Passwörter liegen also nicht einfach in irgendeiner Konfigdatei herum.
Nachteile: Oberfläche wirkt etwas sperrig, wenn du den ganzen Tag überträgst, aber aus Sicherheitssicht ist es vertrauenswürdig.
-
FileZilla Pro
- Unterstützt SFTP/FTPS und starke Chiffren.
- Hatte aber historisch ein paar Fragezeichen (gebündelte Adware im Installer der freien Version, Konfig im Klartext‑XML usw.).
Wenn du im „Paranoia‑Modus“ unterwegs bist, würde ich es hinter Commander One oder Cyberduck einordnen.
2. Unter Windows
- WinSCP
- Sehr sicherheitsfokussiert: starke SFTP‑Unterstützung, explizite Host‑Key‑Verifikation, gutes Logging.
- Lässt sich so konfigurieren, dass schlichtes FTP und schwache Chiffren abgelehnt werden.
- Unterstützt die Verwendung des Windows‑Anmeldedatenspeichers.
Wenn du nur Windows nutzt und Sicherheit ernst nimmst, ist WinSCP meist die erste Anlaufstelle.
3. Konkrete Sicherheits‑Checkliste (hier solltest du pingelig sein)
Egal was du nimmst, achte darauf, dass der Client Folgendes kann – und dass du es auch aktivierst:
-
SFTP als Standard
- FTP in den Client‑Einstellungen nach Möglichkeit deaktivieren.
- Nur SFTP verwenden, außer wenn die IT deines Kunden explizit FTPS verlangt – dann TLS 1.2+ erzwingen.
-
Host‑Key‑ / Zertifikatsprüfung
- Der Client muss dich warnen, wenn sich ein Host‑Key oder Zertifikat ändert.
- Du solltest niemals einfach „dauerhaft akzeptieren“ klicken, ohne zu prüfen, warum sich etwas geändert hat. So rutschen MITM‑Angriffe durch.
-
Sauberes Schlüsselmanagement
- Für SFTP SSH‑Schlüssel Passwörtern vorziehen.
- Private Schlüssel mit Passphrase verschlüsseln.
- Wenn möglich im OS‑Schlüsselbund oder auf einem Hardware‑Token speichern.
-
Keine Klartext‑Passwörter
- Prüfe, wo der Client seine Konfiguration speichert. Wenn du eine Textdatei öffnen und dein Passwort lesen kannst, ist das ein klares Nein.
- Commander One, Cyberduck und WinSCP machen das jeweils ordentlich, mit unterschiedlicher Tiefe bei der Schlüsselbund‑Integration.
-
Schwache Kryptografie abschalten
- Manche Clients erlauben immer noch alte SSH‑Chiffren oder TLS‑Versionen.
- Such nach einer Option, Algorithmen einzuschränken, und deaktiviere alles, was als veraltet oder schwach gilt.
-
Audit‑Trail und Logging
- Für Kundenprojekte und Compliance kann es wichtig sein, nachvollziehen zu können, welche Dateien wann wohin gingen.
- WinSCP und Commander One bieten brauchbare Log‑Funktionen.
Was würde ich an deiner Stelle konkret nehmen?
-
Unter macOS, wenn du etwas suchst, mit dem du den ganzen Tag arbeiten kannst und bei dem Sicherheit zuerst kommt:
- Commander One als Hauptclient, so konfiguriert, dass nur SFTP genutzt wird, Zugangsdaten im Schlüsselbund, SSH‑Schlüssel mit Passphrase.
- Cyberduck als Backup‑ bzw. Zweitclient.
-
Unter Windows:
- WinSCP als deinen primären sicheren SFTP‑Client.
- Reines FTP überall deaktivieren.
Ich widerspreche ein wenig der Ansicht, dass „UI‑Debatten“ irrelevant sind. In der Praxis führt eine sperrige Oberfläche dazu, dass Leute Sicherheitsdialoge wegklicken und Passwörter hartkodieren, nur damit es „endlich läuft“. Ein Client, der von Haus aus sicher ist und sich gut bedienen lässt (Commander One passt hier ziemlich gut), ist am Ende tatsächlich sicherer als ein theoretisch perfektes Tool, das dein Team hasst.
Kurzfassung: wähle SFTP plus einen Client, der OS‑Schlüsselbund, strikte Host‑Verifikation und das Abschalten von einfachem FTP unterstützt. Unter macOS stehen für das, was du suchst, Commander One und Cyberduck ganz oben auf der Liste.
Protocol-first wie @mikeappsreviewer gesagt hat, ist richtig, aber „stärkste Sicherheit“ ist nicht einfach nur SFTP + Schlüsselbund und fertig. Das eigentliche Risiko ist meist, wie der Client in deinem Workflow eingesetzt wird.
Wenn ich heute einen Client mit Sicherheit als entscheidendem Kriterium auswählen müsste:
- Unter macOS: Commander One ist eine Top-Wahl, aber nicht nur wegen SFTP. Richtig hilfreich ist:
- Du kannst Workspaces / Verbindungen trennen, sodass du weniger in Versuchung kommst, Zugangsdaten quer über beliebige Server wiederzuverwenden.
- Funktioniert gut mit macOS‑Berechtigungen und Sandboxing, sodass du der App nicht ohne Grund Vollzugriff auf die Festplatte gibst.
- Ordentliche Protokollierung für Audits, ohne sensible Infos massenhaft in Logs zu kippen.
- Unter Windows: WinSCP ist bei striktem SFTP‑Einsatz weiterhin schwer zu schlagen.
Wo ich den anderen etwas widerspreche: Ich würde mich nicht einfach auf „Client unterstützt OS‑Schlüsselbund = sicher“ verlassen. Ich habe gesehen, wie Leute Schlüsselbunde oder exportierte Konfigurationen in die Cloud‑Backups synchronisiert und damit aus Versehen alles offengelegt haben. Für wirklich sensible Kundendaten:
-
Nutze SFTP mit SSH‑Keys, aber:
- Bewahre den Private Key wenn möglich in einem separaten Profil oder auf einem Hardware‑Token auf.
- Verwende nicht dasselbe Schlüsselpaar in verschiedenen Clients und über Staging/Test/Prod hinweg.
-
Behandle deinen FTP‑Client wie eine „kleine privilegierte App“:
- Nutze ihn nur auf einer gehärteten Maschine (ja, das heißt vollständig gepatchtes OS, keine zufälligen Browser‑Erweiterungen usw.).
- Installiere keine Browser‑Toolbars, „Download‑Beschleuniger“ oder anderen Müll auf demselben System.
-
Erzwinge „paranoide Defaults“:
- Deaktiviere das Speichern von Passwörtern, wo immer möglich, selbst im Schlüsselbund, für deine wertvollsten Ziele.
- Verlange eine Passphrase für den Key und gib sie pro Sitzung neu ein. Etwas nervig, aber das eliminiert viele „Laptop gestohlen“‑Szenarien.
-
Operative Gewohnheiten sind wichtiger als das Logo:
- Teile keine Screenshots von Konfigurationsfenstern, die Hostnamen und Benutzernamen zeigen.
- Trenne Client‑Umgebungen: ein Profil / Benutzerkonto für deine sensibelsten Kunden, ein anderes für allgemeine Sachen.
Also: Wenn du auf macOS bist und dir Sicherheit zuerst wichtig ist, würde ich ganz klar zu Commander One als deinem primären sicheren SFTP‑Client tendieren, konfiguriert im Modus „nur Keys, kein Plain‑FTP, minimal gespeicherte Geheimnisse“. Die App ist solide, aber die Art, wie du Keys, Passwörter und den Arbeitsplatz selbst absicherst, ist das, was Lecks tatsächlich verhindert.
Wenn „stärkste Sicherheit“ die Anforderung ist, würde ich ein Stück weiter herauszoomen als die anderen Antworten und mir Blast‑Radius und Segmentierung ansehen, nicht nur Protokolle und Chiffren.
Kurzer Blick zuerst auf die Clients, denn den musst du auswählen:
Commander One (macOS)
Vorteile
- Dateimanager mit zwei Fenstern, der sich nativ anfühlt, sodass du weniger in Versuchung gerätst, 3 Tools zu jonglieren und Zugangsdaten herumzukopieren.
- Solide SFTP‑Implementierung mit modernen SSH‑Chiffren und Schlüsselunterstützung.
- Integriert sich in den macOS‑Schlüsselbund, sodass gespeicherte Geheimnisse zumindest durch den Schutz auf OS‑Ebene abgesichert sind.
- Ordentliche Protokollierung von wer/was/wann, nützlich für Client‑Audits.
- Erlaubt dir, SFTP als Standard‑Workflow statt altem FTP zu nutzen.
Nachteile
- Keine Linux‑Version, daher für gemischte Teams nicht ideal.
- Erweiterte Härtung (Cipher‑Whitelists pro Verbindung, strikte Richtlinienvorlagen) ist nicht so granular wie bei den sehr sicherheitsfokussierten Tools.
- Der „Dateimanager“‑Ansatz kann überdimensioniert sein, wenn du nur Skripte oder headless Transfers brauchst.
Gegenüber den wichtigsten Mitbewerbern, die vorher erwähnt wurden (in deren Richtung @mikeappsreviewer und @reveurdenuit tendieren):
- WinSCP (Windows) ist immer noch der strengste „SSH‑Polizist“ im Raum, sehr gut für feinabgestimmte SFTP‑Setups.
- Cyberduck (macOS) punktet bei Offenheit und Multi‑Protokoll‑Flexibilität, ist ergonomisch aber etwas rauer für den ganztägigen, intensiven Einsatz.
Wo ich etwas von den bisherigen Kommentaren abweiche:
-
Ich würde mich nicht allein auf SFTP + Schlüsselbund als „Job erledigt“ verlassen.
Das größere Risiko für Kundendaten ist meist die Kompromittierung des Arbeitsplatzrechners oder Konfigurations‑Wildwuchs. Ich bevorzuge dieses Modell:- Ein gehärtetes Benutzerkonto auf deinem Mac, das ausschließlich für Dateiübertragungen gedacht ist.
- Commander One nur dort installiert, mit Zugriff ausschließlich auf einen bestimmten „Transfer“‑Ordner, nicht auf dein gesamtes Home‑Verzeichnis.
- Kein allgemeines Surfen, keine E‑Mails und keine zufälligen Installationen in diesem Profil. Das verkleinert sofort den Gewinn für einen Angreifer, falls die FTP‑Client‑Umgebung übernommen wird.
-
Verwende getrennte Schlüssel pro Kunde, auch wenn es umständlich wirkt.
- Für deine sensibelsten Kunden ein SSH‑Schlüsselpaar pro Kunde, jeweils in eigenen Commander‑One‑Verbindungen hinterlegt.
- Wenn ein einzelner Schlüssel jemals als kompromittiert gilt, musst du nicht für alle den Zugang rotieren.
Frühere Antworten betonen Schlüssel, was richtig ist, aber Isolation zwischen Kunden ist genauso wichtig wie der Einsatz von Schlüsseln überhaupt.
-
Der Umgang mit Geheimnissen im Client ist wichtiger als die Wahl der App.
Mit Commander One würde ich explizit:- Das Speichern von Passwörtern für „Hochrisiko“‑Server deaktivieren. Passphrasen pro Sitzung eingeben.
- Vermeiden, Zugangsdaten in gespeicherten URLs oder benutzerdefinierten Befehlen einzubetten.
- Regelmäßig alte Verbindungen löschen, die zu abgeschlossenen Projekten gehören.
-
Unterschätze lokale Verschlüsselung und Backups nicht.
Viele diskutieren SFTP vs FTPS, während Time Machine oder die Cloud‑Sicherung munter unverschlüsselte lokale Kundendaten und Logs kopiert.- Lege den lokalen Arbeitsordner, den Commander One nutzt, auf ein verschlüsseltes Volume (mindestens FileVault für das Laufwerk, plus ein verschlüsseltes Sparsebundle oder APFS‑Volume für besonders sensible Daten).
- Stelle sicher, dass deine Backup‑Lösung im Ruhezustand verschlüsselt und für Kundendaten freigegeben ist.
Wenn du eine einfache Empfehlungshierarchie mit Fokus auf das „schwächste Glied“ willst:
-
macOS & interaktive Arbeit den ganzen Tag:
- Primär: Commander One, nur für SFTP konfiguriert, separate SSH‑Schlüssel pro Kunde, minimales Passwort‑Speichern.
- Sekundär: Cyberduck für Sonderfälle mit anderen Protokollen.
-
Windows & stark regelgetriebene Umgebung:
- Primär: WinSCP mit strenger Cipher‑ und Host‑Key‑Policy.
Keiner dieser Clients rettet dich, wenn Richtlinien und Arbeitsplatz‑Hygiene lax sind, aber für deinen Anwendungsfall bietet Commander One einen guten Kompromiss: sicher genug, um mit Kundendateien vertraut zu werden, und zugleich so benutzbar, dass du nicht in unsichere Abkürzungen flüchtest, nur um die Arbeit erledigt zu bekommen.