Häufige Fragen

PHP-Webshells und Lader, bekannte Schadsoftware nach Signatur und nach Hash, und die Konfigurationstricks, mit denen ein Angreifer auf einem Host bleibt: umgebogene Handler in .htaccess, aus einer Site heraus gesetztes auto_prepend_file, PHP in Upload-Verzeichnissen, Bild-Header-Polyglotte, Symlinks aus dem Home-Verzeichnis hinaus sowie world-writable und setuid-Dateien. Die Erkennung nutzt ClamAV, YARA 4.5, Hash-Sets mit Known-Good-Allowlist und eine Heuristik, die mehrere unabhängige Signale verlangt.

Auf dem Web-Upload-Weg verhindert er: Der PHP-Adapter läuft vor Ihrer Anwendung, und ein malicious-Verdikt liefert HTTP 403 und löscht die Temp-Datei. Überall sonst — SFTP, Panel-Dateimanager, WebDAV, Shell — ist die Erkennung asynchron und schnell statt präventiv. Ein Datei-Open auf Kernel-Ebene zu blockieren ist für ein späteres 1.x-Release prototypisiert und wird heute bewusst nicht zugesagt.

Der Scan läuft in einem Worker mit cgroup-Grenzen für CPU, Speicher und I/O, und der Scheduler fährt Vollscans gegen ein I/O-Budget mit konfigurierbaren Backup-Fenstern. Das Upload-Gate fügt einem Upload-Request höchstens upload.timeout_ms hinzu, standardmäßig 2000 ms. Auf unserem eigenen Referenzhost mit 328 Accounts und 1,1 TB lief ein Rekonsiliations-Crawl mit rund 114 Scans pro Minute bei zwei Workern und rund 270 bei vier.

Er sagt es. Ein toter Worker, eine fehlende Regelmenge, ein nicht erreichbarer clamd oder ein Namespace-Fallback setzen Health auf degraded mit benannter Ursache, und betroffene Dateien tragen das Verdikt degraded. Ein kaputter Scanner meldet nie clean, und das Upload-Gate folgt der on_error-Policy, die Sie konfiguriert haben — standardmäßig fail-open, fail-closed, wenn Sie das für die Domain gewählt haben.

Keine Datei, kein Sample, keine Telemetrie. Es gibt zwei Verbindungen nach außen: die Lizenzprüfung, die das Schlüsselpräfix, einen Hash aus /etc/machine-id, den Hostnamen, die Version und das Betriebssystem sendet; und den Download signierter Signaturgenerationen. Beide enden auf Panomity-Infrastruktur in Deutschland. Telemetriecode wird ohne ausdrückliches Opt-in gar nicht erst geladen.

CyberPanel auf Ubuntu 20.04, 22.04 und 24.04; AlmaLinux, RockyLinux und RHEL 8, 9 und 10; CloudLinux 8; und CentOS 9, mit OpenLiteSpeed oder LiteSpeed Enterprise. Debian hat bei CyberPanel selbst nur Third-Party-Support, deshalb sagen wir es nicht zu. Der Installer probiert die tatsächlichen Fähigkeiten des Hosts, statt einer Kernelversion zu glauben.

Wie viel Echtzeitabdeckung der Host tatsächlich geben kann. Stufe A ist fanotify mit Filehandles und voller Abdeckung. Stufe B ist fanotify ohne Filehandles, Umbenennungen kommen also verzögert. Stufe C hat kein CAP_SYS_ADMIN und weicht auf budgetiertes inotify plus einen checkpointbaren Crawler aus, mit verzögerter und ausgewiesener Erkennung. Stufe D bedeutet kein verwendbares Backend und keine Installation.

Nein. Shelltrap läuft auf der Distribution, die Sie schon haben. Dass keine Betriebssystemumstellung nötig ist, ist einer der Gründe, warum es ihn gibt.

Eine 14-tägige Testphase ist geplant, aber noch nicht buchbar. Fragen Sie uns, dann sagen wir Ihnen, wann sie öffnet, oder zeigen Ihnen eine laufende Installation. Was Sie heute tun können: nach der Bestellung im Report-only-Modus starten — er protokolliert alles und bewegt nichts, bis Sie es anders sagen.

Eine Lizenz je Server, 14,90 EUR im Monat oder 149,00 EUR im Jahr inklusive deutscher Umsatzsteuer, mit jeder Domain und jedem Account auf dieser Maschine. Die Aktivierung bindet die Lizenz an einen Fingerabdruck aus /etc/machine-id; deactivate gibt den Platz frei, damit Sie sie umziehen können. Der Daemon prüft einen Ed25519-signierten Token offline, der Lizenzdienst muss also nicht erreichbar sein, damit der Scanner arbeitet.

Nichts stürzt ab, und nichts läuft in eine Schleife. Der Watcher zählt weiter Ereignisse, der Scheduler plant nichts, das Upload-Gate antwortet allow mit dem Grund unlicensed, Health meldet unlicensed mit präziser Ursache, und der Feed-Dienst antwortet 401. Es scheitert sichtbar statt gefährlich.

Es gibt keine, absichtlich. Pakete liefert der Lizenzdienst gegen einen gültigen Schlüssel aus, und die Download-Seite hat genau dafür ein Formular. Der Schlüssel geht direkt an den Lizenzdienst; diese Website sieht und speichert ihn nie, und der Dienst protokolliert nur das Präfix.

Er kann, deshalb sind die Standardwerte vorsichtig: Nur Signatur- und Hashtreffer führen standardmäßig zur Quarantäne, die Heuristik meldet nur, und PUA-Signaturen sind aus. Eine Known-Good-Allowlist aus veröffentlichten Distributionsprüfsummen beantwortet die häufigsten Fehlalarme, und jeder Fund zeigt die Signale, die ihn erzeugt haben, damit Sie widersprechen können. Löst eine Regelgeneration einen Quarantäne-Sturm über mehrere Accounts aus, wird sie automatisch zurückgerollt.

Ja, und das Restore ist vollständig: Eigentümer, Modus, Zeiten, ACLs, erweiterte Attribute und der SELinux-Kontext kommen zurück. Restore überschreibt nie eine vorhandene Datei am Zielpfad. Reseller und Kunden können im Panel innerhalb ihres eigenen Bereichs ein Restore anfordern.

Nein. Eine normale Entfernung behält Konfiguration, Zustand, Logs und Quarantäne. Selbst ein Purge entfernt Quarantäneinhalte nur hinter einer ausdrücklichen Umgebungsvariable, die ein Mensch tippen muss. Quarantäne ist Beweismaterial.

Eine lokale: HTTP/1.1 über einen Unix-Socket unter /run/shelltrap/api.sock, mit Peer-Credential-Prüfung, Rollen, opaken Objekt-IDs, Paging, Ratenbegrenzung und Replay-Schutz. Sie ist nicht über TCP erreichbar und keine öffentliche Cloud-API. CLI und CyberPanel-Plugin sprechen beide mit ihr.

Er ist keine WAF, keine Firewall und kein Virenscanner für Arbeitsplatzrechner. Er behauptet nicht, alles zu finden — kein Scanner tut das. Und gegen einen Angreifer, der schon root auf der Maschine hat, hilft er nicht, weil nichts, was auf dieser Maschine läuft, das kann.