Was tun bei einer Warnung vor verdächtigem Zugriff auf cPanel oder E-Mail

Eine Warnung vor verdächtigem Zugriff bedeutet, dass eine Sitzung in cPanel, Webmail, IMAP oder SMTP vom üblichen Gebrauch abweicht, etwa durch eine neue IP, ein neues Land, Netz oder Gerät. Das allein beweist nicht, dass das Konto kompromittiert wurde, sollte aber geprüft werden, bevor Sie die Warnung verwerfen.

Melden Sie sich nicht über Links in einer unerwarteten Nachricht an. Öffnen Sie direkt den Kundenbereich oder cPanel und prüfen Sie dort das betroffene Konto.

In diesen Warnungen steht SMTP für einen Zugriff zum Versenden von E-Mails; IMAP, POP und Webmail stehen für Zugriffe auf das Postfach. Das Protokoll hilft zu unterscheiden, ob eine Anwendung, ein E-Mail-Programm oder eine interaktive Sitzung beteiligt war.

Wenn Sie den Zugriff wiedererkennen

Der Standort einer IP ist ungefähr. Ein Zugriff kann aus einer anderen Stadt oder einem anderen Land erscheinen, wenn Sie Folgendes verwenden:

• Ein Mobilfunknetz, dessen Ausgang in einer anderen Region liegt.
• Ein VPN oder ein Firmennetz.
• Einen Internetanbieter, der Ihre öffentliche IP geändert hat.
• Ein E-Mail-Programm oder einen externen Dienst, der sich für Sie verbindet.
• Eine Reise oder ein neues Gerät.

Vergleichen Sie Datum, E-Mail-Adresse oder Benutzer und Art des Zugriffs. Stimmen sie mit einer Aktion überein, die Sie gerade ausgeführt haben, können Sie das Passwort behalten; es ist trotzdem empfehlenswert, die Zwei-Faktor-Authentifizierung im Kundenbereich zu aktivieren.

Wenn Sie den Zugriff nicht wiedererkennen

1. Ändern Sie sofort das konkret betroffene Passwort. Das Passwort eines Postfachs, von FTP oder WordPress ist unabhängig von dem für cPanel.
2. Bei cPanel ersetzt die Änderung auch die Hauptzugangsdaten für cPanel, FTP und SSH. Prüfen Sie zusätzliche FTP-Konten gesondert und ändern Sie nur die, die Sie nicht kennen oder die offengelegt sein könnten.
3. Aktivieren Sie die Zwei-Faktor-Authentifizierung im Kundenbereich.
4. Prüfen Sie die Computer, von denen aus Sie das Konto verwalten, mit Sicherheitssoftware. Wenn Sie das Passwort auf einem infizierten Gerät ändern, kann auch das neue offengelegt werden.
5. Prüfen Sie unter Zustellung verfolgen (Track Delivery), ob das Postfach Nachrichten versendet hat, die Sie nicht kennen, und suchen Sie nach unbekannten Regeln, Filtern und Weiterleitungen.
6. Prüfen Sie kürzliche Änderungen an Dateien, Benutzern, Cron-Jobs, DNS und Anwendungen.

Verwenden Sie neue, eindeutige Passwörter. Es genügt nicht, an das alte ein Zeichen anzuhängen oder ein Passwort eines anderen Dienstes wiederzuverwenden. Die Anleitung dazu, wie Passwörter kompromittiert werden, erklärt die häufigsten Ursachen.

Wenn sich das Postfach nicht mehr anmelden oder nicht mehr senden kann, gibt es möglicherweise eine vorbeugende Sperre. Anmeldung, Empfang und Versand sind getrennte Berechtigungen. Prüfen Sie Ursache und ausstehende Nachrichten, bevor Sie es wieder freischalten, und folgen Sie der Anleitung zum Entsperren eines Kontos nach kompromittierten Zugangsdaten.

Wann Sie eine Prüfung anfordern sollten

Wenden Sie sich an den Support, wenn Sie den Zugriff nicht wiedererkennen, ausgehende E-Mails oder nicht autorisierte Änderungen bemerken oder nicht feststellen können, welche Zugangsdaten verwendet wurden. Nennen Sie das betroffene Konto, das ungefähre Datum und die IP aus der Warnung; senden Sie niemals das Passwort.

Wir können den Zugriff mit den verfügbaren Protokollen abgleichen und prüfen, ob es damit zusammenhängende spätere Aktivität gibt. Ein unerwarteter Standort ohne auffällige Aktionen kann legitim sein; eine bekannte IP schließt kompromittierte Zugangsdaten nicht aus.

Den Kontext der Prüfung festhalten

Notieren Sie, welchen Zugriff Sie geprüft haben und zu welchem Gerät oder welcher Aufgabe er passt. Warnungen durch eine Anwendung, die sich im Hintergrund verbindet, können sich wiederholen, auch wenn Sie den Browser nicht geöffnet haben.

Wenn Sie Zugangsdaten ändern, aktualisieren Sie sie auf den geprüften Geräten und beobachten Sie, ob weiterhin fremde Verbindungen erscheinen. Eine spätere Prüfung hilft, Versuche einer Anwendung mit dem alten Passwort von neuer Aktivität zu unterscheiden, die weiterhin Aufmerksamkeit braucht.