filezilla.de Autorisierte deutsche Partnerseite des FileZilla-Projekts

FileZilla: „534 Policy requires SSL“ – Server verlangt Verschlüsselung

So sieht die Meldung in FileZilla aus
Antwort: 534 Policy requires SSL.

Der FTP-Server akzeptiert keine unverschlüsselten Logins mehr. Eine Einstellung im Servermanager löst es: FTP über explizites TLS. Hier steht, wie, und was bei Zertifikatsfehlern danach zu tun ist.

Von ManiacAktualisiert Geprüft mit FileZilla 3.71.1
Kurzfassung

Code 534 heißt: Der Server lässt keine Klartextverbindung zu. Stelle im Servermanager die Verschlüsselung auf Explizites FTP über TLS erfordern. Beim nächsten Verbinden zeigt FileZilla das Serverzertifikat; prüfen, bestätigen, fertig. Noch besser: auf SFTP wechseln, wenn der Hoster es anbietet.

So sieht die Meldung aus

Status:   Verbindung hergestellt, warte auf Willkommensnachricht...
Antwort:  220 ProFTPD Server ready.
Befehl:   USER web1
Antwort:  534 Policy requires SSL.
Fehler:   Kritischer Fehler: Herstellen der Verbindung zum Server fehlgeschlagen

Varianten: 534 Local policy on server does not allow TLS secure connections (umgekehrter Fall, siehe unten), 530 Non-anonymous sessions must use encryption (vsftpd) oder 421 Sorry, cleartext sessions are not accepted (Pure-FTPd). Alle bedeuten: Verschlüsselung einschalten.

Lösung Schritt für Schritt

  1. Datei → Servermanager, den Server auswählen.
  2. Protokoll bleibt FTP – File Transfer Protocol.
  3. Verschlüsselung auf Explizites FTP über TLS erfordern stellen. Port bleibt 21.
  4. OK, verbinden. FileZilla zeigt das Zertifikat des Servers: Aussteller, Gültigkeit, Servername. Passt es zur Domain oder zum Hoster, Haken bei Diesem Zertifikat zukünftig immer vertrauen und OK.
  5. Scheitert danach das Verzeichnislisting, liegt es an Firewall oder passivem Modus: Verzeichnisinhalt konnte nicht empfangen werden.

Ausführliche Erklärung mit Zertifikatsprüfung: FTP über explizites TLS in FileZilla einrichten.

Warum Hoster das erzwingen

Unverschlüsseltes FTP sendet Benutzername und Passwort im Klartext; in offenen WLANs lassen sie sich mitlesen. Immer mehr Hoster (Strato, IONOS, All-Inkl, Hetzner, netcup) schalten Klartext-Logins deshalb ab. Für dich ändert sich nach der Umstellung nichts außer der einmaligen Zertifikatsabfrage. Wo welcher Hoster steht, zeigt der Webhoster-Vergleich.

Umgekehrter Fall: Server erlaubt kein TLS

Meldet der Server 534 Local policy does not allow TLS oder 500 AUTH not understood, unterstützt er keine Verschlüsselung. Dann im Servermanager Nur unverschlüsseltes FTP verwenden (unsicher) wählen, aber nur, wenn es keine Alternative gibt (Gameserver, alte NAS). Der Verbindungstest zeigt vorab, ob ein Server AUTH TLS akzeptiert.

Häufige Fragen

Frage antippen, um die Antwort zu öffnen.

Explizit oder implizit?

Explizit (FTPES, Port 21) ist der Standard und was Hoster meinen, wenn sie „FTPS“ oder „FTP mit TLS“ sagen. Implizit (Port 990) ist veraltet und nur bei wenigen Servern nötig.

Das Zertifikat ist abgelaufen oder passt nicht zur Domain?

Bei Shared Hosting ist das Zertifikat oft auf den Servernamen des Hosters ausgestellt, nicht auf deine Domain. Dann den Servernamen aus dem Kundenbereich als Server eintragen. Abgelaufene Zertifikate dem Hoster melden; einmalig vertrauen ist für den Moment vertretbar.

Kann ich das in der Schnellverbindungsleiste einstellen?

Ja: ftpes://ftp.beispiel.de als Server erzwingt explizites TLS. Dauerhaft ist der Servermanager praktischer.