Ein Hosting-Paket hat selten «ein Passwort». Es hat mehrere Türen: Plesk, FTP oder SFTP, das CMS, die Datenbank, manchmal Webmail. Wer überall dasselbe Wort verwendet, spart sich merken, und schenkt jedem geleakten Plugin, jeder ehemaligen Agentur und jedem mitgelesenem Chat denselben Schlüsselbund.
Die Türen sind nicht dasselbe
- Plesk steuert das Konto: Domains, Postfächer, Datenbanken, PHP, SSL. Das ist der Hauptschlüssel. Den teilst du nicht leichtfertig.
- FTP/SFTP lädt Dateien. Eine Agentur, die nur das Theme anfasst, braucht das, nicht die Mailverwaltung.
- CMS (WordPress, Shop, Forum) ist die redaktionelle Tür. Ein Redakteur braucht kein Plesk.
- Datenbank gehört zur Anwendung. Der Datenbankbenutzer soll nur die eine Datenbank sehen, nicht alle im Konto.
In Plesk legst du FTP-Konten extra an und begrenzst sie auf ein Verzeichnis. Datenbankbenutzer extra, mit Rechten nur auf die nötige Datenbank. Das ist in Plesk im Alltag angerissen; hier ist der Grund, es wirklich zu tun.
Agentur, Freelancer, «der Neffe macht WordPress»
Projekte wechseln. Die Person, die letztes Jahr das Theme gebaut hat, braucht dieses Jahr oft keinen Zugang mehr. Solange Plesk, FTP und wp-admin dasselbe Passwort haben, bleibt der Zugang, bis jemand ihn bewusst entzieht, oder bis er irgendwo in einem alten Mailthread steht.
- Eigenes FTP-Konto für die Agentur, eigenes CMS-Konto mit der Rolle, die sie braucht.
- Kein Panel-Login «zum Einrichten, wir geben ihn nachher zurück».
- Wenn das Projekt endet: Konto löschen oder Passwort drehen, nicht «behalten, falls noch was kommt».
Dasselbe gilt intern: Buchhaltung braucht Rechnungen im Kundenbereich, nicht Plesk. Redaktion braucht das CMS, nicht die Datenbank.
Passwörter und Alltag
Lange, getrennte Passwörter, in einem Manager gespeichert, nicht in der Signatur und nicht in der WhatsApp-Gruppe. Nach einem Verdacht (Phishing, geleaktes Plugin, gekündigte Zusammenarbeit) nicht nur das CMS drehen, sondern prüfen, welche anderen Türen dasselbe Wort hatten.
Zwei-Faktor, wo die Anwendung ihn anbietet, zuerst am Panel und am CMS-Admin. FTP bleibt oft ohne; umso wichtiger, dass dieses Konto schmal ist und kein Admin-Passwort trägt.
Wenn etwas schiefgeht
Kompromittiertes WordPress mit demselben Passwort wie Plesk ist ein anderes Problem als ein kompromittiertes WordPress mit eigenem Admin. Im zweiten Fall drehst du das CMS, prüfst Dateien, spielst bei Bedarf ein Backup ein. Im ersten Fall steht das ganze Hosting offen, Postfächer inklusive.
Kurz: eine Tür, ein Zweck, ein Passwort. Wer nur Dateien braucht, bekommt FTP. Wer nur Texte braucht, bekommt das CMS. Plesk bleibt bei dir. Fragen zur Einrichtung beantworten wir über das Ticketsystem, nicht mit einem geteilten Masterpasswort.
