Unter Windows mit einem SFTP-Server verbinden (Passwort oder Schlüsseldatei)

Jemand hat Ihnen einen SFTP-Zugang geschickt. Ein Dienstleister möchte Ihre Dateien auf seinem Server, eine Bank braucht einen täglichen Upload, oder ein Webhoster gibt Ihnen Zugriff auf Ihre Website. Die Nachricht enthält einen Hostnamen, einen Benutzernamen und entweder ein Passwort oder eine angehängte Schlüsseldatei - und kein Wort dazu, was Sie unter Windows damit anfangen.

Dieser Leitfaden erklärt, was jede Angabe bedeutet, zeigt zwei Wege zur Verbindung - eine App oder den sftp-Befehl, den Windows schon mitbringt - und was die üblichen Fehlermeldungen Ihnen sagen wollen.

Was die Angaben bedeuten

Was in der E-Mail oft fehlt: Viele Dienstleister lassen Verbindungen nur von Adressen zu, die sie kennen. Hat man Sie nach Ihrer IP-Adresse gefragt, schicken Sie die öffentliche IP Ihres Büros, bevor Sie es versuchen.

Mit einer App verbinden

Ein grafischer Client ist der schnellste Weg, den Server zu sehen und Dateien hinein- und herauszuziehen. In FTPie:

1. Wählen Sie Speicher hinzufügen und dann SFTP.
2. Geben Sie Host, Port und Benutzername ein. Wenn Sie einen sftp://-Link bekommen haben, fügen Sie den ganzen Link in das Feld Host ein; FTPie übernimmt daraus Port, Benutzername, Passwort und Ordner. Ist Einstellungen > Windows-Integration > ftp://- und sftp://-Links in FTPie öffnen eingeschaltet, öffnet ein Klick auf den Link dieses Formular bereits ausgefüllt, mit getesteter Verbindung.
3. Wählen Sie unter Authentifizierungsmethode die Passwort-Authentifizierung, die Schlüssel-Authentifizierung oder die Duale Authentifizierung, wenn der Server Schlüssel und Passwort verlangt.
4. Für einen Schlüssel klicken Sie neben Privater Schlüssel auf Datei auswählen und wählen Ihre Schlüsseldatei. Geben Sie ihre Passphrase ein, falls sie eine hat.
5. Legen Sie bei Bedarf ein Startverzeichnis wie /incoming fest und klicken Sie dann auf Verbindung testen.
6. Bei der ersten Verbindung zeigt FTPie die Host-Schlüssel Informationen des Servers. Vergleichen Sie den Fingerprint mit dem, den man Ihnen geschickt hat, und klicken Sie dann auf Akzeptieren.

SFTP gehört zum kostenlosen Tarif von FTPie für die private Nutzung, für bis zu drei FTP-, FTPS- oder SFTP-Server. Für die Arbeit gibt es FTPie Pro mit einer kostenlosen Testphase.

Schlüsseldateien: .ppk, .pem oder OpenSSH?

• .ppk ist das Format von PuTTY, erzeugt mit PuTTYgen. Es gibt zwei Versionen, 2 und 3.
• .pem ist ein PEM-Schlüssel - zum Beispiel das, was AWS Ihnen für einen EC2-Server gibt.
• id_rsa oder id_ed25519 ohne Dateiendung ist ein OpenSSH-Schlüssel, erzeugt mit ssh-keygen.
• Alles, was auf .pub endet, ist die öffentliche Hälfte. Sie gehört auf den Server; in einen Client laden Sie sie nie.

Die meisten Anleitungen beginnen damit, ein Format mit PuTTYgen in ein anderes umzuwandeln. FTPie liest alle drei so, wie sie sind, mit oder ohne Passphrase, sodass Sie diesen Schritt überspringen können. Kann es eine Datei nicht lesen, sagt es, warum: Die Passphrase fehlt oder ist falsch, die Datei ist kein privater Schlüssel, oder Sie haben die .pub-Datei gewählt.

In einem Fall müssen Sie trotzdem umwandeln: Der Windows-eigene sftp-Befehl kann keine .ppk-Dateien lesen. Öffnen Sie den Schlüssel in PuTTYgen und wählen Sie Conversions > Export OpenSSH key. In die andere Richtung macht PuTTYgen mit Load und anschließend Save private key aus einer .pem eine .ppk für Tools, die eine solche erwarten.

Mit dem in Windows eingebauten sftp-Befehl verbinden

Windows 10 und 11 enthalten den OpenSSH-Client. In PowerShell oder der Eingabeaufforderung:

sftp -P 22 exports@sftp.example.com

Der Port wird mit großem -P angegeben; ein kleines -p bedeutet in sftp etwas anderes. Beim ersten Mal zeigt sftp den Fingerprint des Servers und fragt Are you sure you want to continue connecting (yes/no/[fingerprint])? Vergleichen Sie ihn mit dem, den man Ihnen geschickt hat, tippen Sie yes und geben Sie dann Ihr Passwort ein. Stattdessen mit einer Schlüsseldatei:

sftp -i C:\Users\you\.ssh\id_ed25519 exports@sftp.example.com

Sobald Sie verbunden sind, listet ls Dateien auf, cd wechselt den Ordner, put lädt hoch, get lädt herunter und bye beendet die Sitzung. Den Rest finden Sie in der SFTP-Befehlsreferenz, und FTP- und SFTP-Übertragungen automatisieren zeigt, wie aus einem täglichen Upload ein geplanter Auftrag wird.

Wenn keine Verbindung zustande kommt

• "Permission denied (publickey)" - der Server akzeptiert nur Schlüssel, und der angebotene ist dort nicht hinterlegt. Prüfen Sie, ob Sie den privaten Schlüssel geladen haben und nicht die .pub, und ob der Betreiber des Servers Ihren öffentlichen Schlüssel eingetragen hat.
• "Permission denied (password)" oder ein Authentifizierungsfehler in einer App - Benutzername oder Passwort sind falsch. Auf den meisten Servern wird bei Benutzernamen zwischen Groß- und Kleinschreibung unterschieden.
• "Connection timed out" - nichts hat geantwortet. Meist eine Firewall, ein falscher Port oder ein Server, der nur freigegebene IP-Adressen hereinlässt.
• "Connection refused" - der Rechner hat geantwortet, aber auf diesem Port lauscht nichts. Prüfen Sie die Portnummer.
• "Host key verification failed" oder eine Warnung, dass sich der Host-Key geändert hat - der Schlüssel des Servers stimmt nicht mehr mit dem auf Ihrem PC gespeicherten überein. Das kann ein neu aufgesetzter Server sein oder etwas Schlimmeres; klären Sie es also mit dem Betreiber, bevor Sie den neuen Schlüssel akzeptieren. Beim Windows-eigenen sftp entfernt ssh-keygen -R sftp.example.com den alten Eintrag.
• "Permission denied" beim Hochladen - Sie sind verbunden, dürfen dort aber nicht schreiben. Server von Dienstleistern erlauben Uploads oft nur in einen einzigen Ordner, etwa /incoming.
• "Could not connect to server" in FileZilla deckt das meiste davon ab; das Nachrichtenprotokoll verrät, was davon zutrifft.

Bevor Sie dem Dienstleister schreiben, grenzen drei kostenlose Prüfungen das Problem ein: der SFTP-Verbindungstester (antwortet der Server überhaupt aus dem Internet?), der SFTP-Auth-Verfahren-Prüfer (will er ein Passwort, einen Schlüssel oder beides?) und der SFTP-Host-Key-Fingerprint-Viewer (welche Schlüssel präsentiert er?). Ein Server, der nur freigegebene Adressen akzeptiert, weist auch diese Prüfungen ab.