❓ Sicherheitsbenachrichtigungen: Was bedeutet "@non_existing_user" in der Meldung?

Dieser Artikel erklärt, was die automatische Sicherheitsbenachrichtigung bei einer Brute-Force-Attacke bedeutet, wie Sie den Zusatz „@non_existing_user" und die angezeigte IP-Adresse einordnen, und was zu tun ist, wenn tatsächlich ein bestehendes Benutzerkonto betroffen ist.

Was bedeutet "@non_existing_user"?

Der Zusatz @non_existing_user im Kontonamen einer Sicherheitsbenachrichtigung bedeutet, dass das angegebene Konto auf Ihrem FTAPI-Server nicht existiert. Es wurde also versucht, sich mit einem Benutzernamen anzumelden, der am System nicht vorhanden ist.

Solche Versuche werden in der Regel von automatisierten Bots durchgeführt, die gängige Standardnamen durchprobieren, ohne dass die Angreifer Ihre tatsächlichen Benutzerkonten kennen. Da der Server öffentlich im Internet erreichbar ist, kann das grundsätzlich jederzeit vorkommen und lässt sich nicht vollständig unterbinden.

Es besteht kein Handlungsbedarf. Das Konto existiert nicht, ein erfolgreicher Angriff ist daher ausgeschlossen.

Warum steht in der Meldung "Das Konto wurde noch nicht deaktiviert"?

Dieser Satz ist in Kombination mit @non_existing_user irreführend. Da das Konto nicht existiert, kann es weder deaktiviert noch gesperrt werden. Die Formulierung ist Teil der allgemeinen Benachrichtigungsvorlage und bezieht sich auf Fälle, in denen ein echtes Konto betroffen ist. Bei @non_existing_user ist sie inhaltlich nicht zutreffend.

Was hat es mit der IP-Adresse in der Meldung auf sich?

Die Benachrichtigung zeigt die IP-Adresse, von der die Anmeldeversuche stammen. In manchen Fällen erscheint dabei eine private IP-Adresse, zum Beispiel im Bereich 10.x.x.x oder 192.168.x.x. Das tritt auf, wenn der Datenverkehr über einen Reverse Proxy oder ein NAT-Gateway geführt wird und die ursprüngliche externe Adresse dabei nicht weitergegeben wird.

Eine Sperrung der angezeigten IP-Adresse oder ein pauschales Geoblocking, also die Sperrung ganzer Länder oder Regionen, ist in der Regel nicht sinnvoll. Automatisierte Angriffe werden häufig mit wechselnden Adressen aus Botnetzen durchgeführt. Eine feste IP-Sperrung müsste bei jedem Adresswechsel neu eingerichtet werden, ohne den eigentlichen Angriff zu stoppen.

Kann ich diese Benachrichtigungen abschalten oder anpassen?

Ja. In der Administration lässt sich die Option Benachrichtigungsmails für Brute-Force-Attacken an nicht existierende Benutzer deaktivieren. Damit erhalten Sie keine Meldungen mehr für Konten mit dem Zusatz @non_existing_user. Benachrichtigungen für tatsächlich existierende Benutzerkonten werden weiterhin versendet.

Zusätzlich können Sie in der Administration den Schwellenwert konfigurieren, ab dem eine Benachrichtigung ausgelöst wird. Die Meldung erscheint, sobald die festgelegte Anzahl erfolgloser Anmeldeversuche erreicht ist. Eine vollständige Übersicht aller Einstellungen zum Brute-Force-Schutz finden Sie im Artikel System: Brute-Force-Protection konfigurieren.

Wann ist eine Meldung wirklich verdächtig?

Eine Meldung ist dann ernst zu nehmen, wenn der Kontoname keinen Zusatz @non_existing_user enthält und Sie das genannte Konto in Ihrer Benutzerverwaltung wiederfinden. In diesem Fall hat jemand versucht, sich mit einem real existierenden Konto anzumelden.

Hinweis: Wenn Ihre Instanz SSO (Single Sign-On) verwendet, wird die Authentifizierung über Ihren Identity Provider gesteuert. Anmeldeversuche über den direkten FTAPI-Login können dabei dennoch auftreten und Benachrichtigungen auslösen.

Was tun, wenn mein Benutzerkonto tatsächlich betroffen ist?

Prüfen Sie, ob das Konto durch den Brute-Force-Schutz automatisch gesperrt wurde. Ist die Option Betroffenes Konto sperren aktiviert, sperrt die Plattform das Konto automatisch, sobald die festgelegte Anzahl an Fehlversuchen erreicht ist.
Setzen Sie das Passwort des betroffenen Kontos zurück.
Aktivieren Sie die Zwei-Faktor-Authentifizierung für diesen Benutzer oder die zugehörige Gruppe.
Prüfen Sie vor der Annahme eines Angriffs auch einfache Ursachen, zum Beispiel ein veraltetes, im Browser gespeichertes Passwort, das bei jeder Anmeldung automatisch fehlschlägt.
Wenden Sie sich bei Unsicherheit an den FTAPI Support.

Wie Sie ein durch den Brute-Force-Schutz gesperrtes Konto wieder entsperren, beschreibt der Artikel Benutzer entsperren in der FTAPI Plattform, Fall B.

Hinweis: Mehrere Meldungen an einem Tag zum selben Konto bedeuten nicht zwangsläufig mehrere unterschiedliche Angreifer. Jeder einzelne fehlgeschlagene Anmeldeversuch wird separat protokolliert und kann eine eigene Benachrichtigung auslösen.