Auf meiner Suche nach gespeicherten Passwörtern fand ich Schockierendes in FileZilla. Hier werden sämtliche Passwörter der gespeicherten Sessions im Klartext in der Datei %APPDATA%\FileZilla\sitemanager.xml gespeichert.
Man kann das Programm immerhin im sicheren Modus betreiben. Das wird aber offenbar eher als Problem gesehen. Unter Tipps und Tricks steht bspw. unter "Tipp 3":
Problem: In der "Seitenverwaltung" bietet FileZilla auf Ihrem PC unter Umständen nur ein ausgegrautes Passwort-Eingabefeld an, Sie können keine Passwörter speichern und müssen das Passwort bei der Herstellung jeder FTP-Verbindung erneut eingeben.
Ursache: Offensichtlich haben Sie das Programm im "Security Mode" (sicheren Modus verwenden) installiert. Dann sind die Passwörter für den Benutzer nicht auf dem PC abspeicherbar.
So geht es nicht: Registry-Hack oder Installationsoptionen
Leider half die dort beschriebene Methode nicht im umgekehrten Fall: Ich will den sicheren Modus verwenden, damit keine Passwörter mehr gespeichert werden. Das Setzen der genannten Registry-Keys brachte keinen Erfolg.
Auch die Deinstallation mit anschließender Neuinstallation brachte nichts (außer zwei erzwungenen Reboots): Die Passwörter wurden weiterhin gespeichert. Ich wurde bei einer Neuinstallation nicht nach dem "Secure mode" gefragt.
So aber: Config-Datei
Wenn man hingegen im Programmverzeichnis (z.B. "C:\Program Files (x86)\FileZilla FTP Client") aus dem Unterverzeichnis "Docs" die Datei "fzdefaults.xml.example" eine Verzeichnisebene höher kopiert und in "fzdefaults.xml" umbenennt, dann kann man die Datei editieren, dass sie so aussieht:
<FileZilla3>
<Settings>
<Setting name="Config Location">%APPDATA%/filezilla/</Setting>
<Setting name="Kiosk mode">1</Setting>
<Setting name="Disable update check">0</Setting>
</Settings>
</FileZilla3>
Danach muss man noch die Sessions-Datei verändern (%APPDATA%\FileZilla\sitemanager.xml):
- Zuerst muss man alle dort gespeicherten Passwort-Einträge löschen (<pass>…</pass>),
- danach muss man den Passwort-Modus auf "nach Passwort fragen" ändern: "<Logontype>2</Logontype>"
Unter "Bearbeiten –> persönliche Daten löschen" kann man statt dessen auch alle gespeicherten Sessions löschen und die Daten dann neu eingeben (ohne Passwort).
Alles Vertrauenssache
Wenn man sich das nächste Mal verbindet, muss man das Passwort eingeben und wird gefragt, ob man es speichern möchte (der Haken ist leider zuerst gesetzt und muss entfernt werden). Wenn man dann "Passwort speichern" sagt, dann kommt keine Fehlermeldung. Man muss also davon ausgehen das Speichern habe geklappt. Tatsächlich wurde es bei mir aber nicht gespeichert. Das verunsicherte mich schon. Ich würde mir wünschen, dass die Auswahl im Kiosk-Mode gar nicht erst angeboten wird. Leider sieht man nirgends, ob die Software im Kiosk-Mode gestartet wurde und dementsprechend Passwörter gespeichert werden oder nicht. Offenbar wurde die Sicherheit nicht wirklich verinnerlicht.
Wenn man darauf vertraut, dass der Kiosk-Mode in den zukünftigen Versionen noch genauso funktioniert, dann kann man sich schon etwas sicherer fühlen. Leider sind so weiterhin die Server- und Benutzernamen im Klartext lesbar, aber immerhin nicht mehr die Passwörter. Schade, dass kein Master-Passwort zur Verschlüsselung der Daten angeboten wird.
Ein Entwickler meinte in einem Forum das sei Aufgabe des Betriebssystems und man solle die Dateiverschlüsselung von Windows Professional verwenden. Offenbar geht er davon aus man wolle sich davor schützen, dass andere Benutzer des gleichen Computers die Daten lesen. Da denen die Rechte auf mein Benutzerverzeichnis fehlen, geht das ohnehin nicht. Leider übersieht er, dass alle Prozesse, die in meinem Benutzerkontext laufen, die Dateien dann trotzdem lesen können, Z.B. gekidnappte Anwendungen/Browser/ActiveX-Controls oder echte Schadsoftware (Trojaner etc.). Das nutzt also nichts und wird unter Windows Home/Starter etc. ohnehin nicht angeboten.