Moin,
Ich möchte das WCP nur 2FA-gesichert über das CCP aufrufen können. Nun bin ich mir zwar ziemlich sicher, keinen direkten Zugang in Plesk konfiguriert zu haben, würde das aber gerne kontrollieren bzw. deaktivieren.
Wo kann man erkennen, ob dem Systembenutzer direkter Zugriff auf das Webhosting Control Panel erteilt wurde (also ein Passwort gesetzt wurde) und wo kann man diesen wieder deaktivieren? Ich vermute irgendwie bei "WCP" - "Konto" - Mein Profil"?
Das von Deinem E-Mail-Account solltest Du sicherheitshalber auch ändern. Zusätzlich solltest Du sofort alle verwendeten Endgeräte (PC/Notebook/Tablet/Handy/…) auf Schadsoftware scannen. Denn wenn Du nicht gerade auf Phishing hereingefallen bist, muss das Passwort ja irgendwo entwendet worden sein.
Und ohne den Teufel an die Wand malen zu wollen: Sollte über die Plesk-Credentials auch Zugriff auf E-Mails bestanden haben, könnten - je nach Passwort-Hygiene - noch andere Accounts betroffen sein. Ich sage nur „stümperhafte Reset-Prozeduren“ … 
Also muss ich wohl alles von Hand neu machen und die Daten stück für Stück manuell übernehmen um sicher zu sein, dass nicht wieder irgendwas komisch rüber kommt.
Das sollte man im Falle einer Kompromittierung eigentlich immer machen…
Ich habe drei Varianten:
Cron <hostingXXXX@a2fb5> /usr/bin/php
Auch wenn es jetzt das Offensichtliche ist - Du hast es nicht explizit erwähnt: Hast Du denn neben den geleerten Domain-Verzeichnissen auch verifiziert, dass in Plesk keine Cron-Jobs mehr definiert sind? Oder tauchen dort ominös neue auf? Dann solltest Du Gedanken über Deine netcup-Credentials machen (mir wäre nicht bewusst, dass im Shared Webhosting ohne diese Cronjobs angelegt werden können).
Hast Du andere Cronjobs, die funktionieren? Falls nicht: Hast Du zufälligerweise die "Standard-Website" von Netcup deaktiviert? Sollte man nicht, da dann z. B. Cronjobs nicht funktionieren ... so war es bei mir (die Website ist nun aktiv mit einem deny für alle).
Schreib' Dir doch im Script selber den Timestamp (anhängend) in eine Datei. Ich kenne keine standardmäßige Log für Webhosting-Kunden und habe das vor einiger Zeit auch so gemacht, als ich mit Cronjobs testete...
P.S.: Okay, zu langsam 
All dies wäre bei einem SSL verschlüsselten Upload per Webseite auf einen dafür eingerichteten netcup Server nicht der Fall. Hier wären die Daten Ende-zu-Ende verschlüsselt und kein dritter könnte sie Einsehen.
Wenn schon klar stellen, dann bitte richtig 
Auch das von Dir genannte Verfahren ist keine Ende-zu-Ende-Verschlüsselung, sondern per SSL / TLS nur "Data in Transit Protection", also eine Transportverschlüsselung. Besser als eine Email mit potentiell speichernden Zwischenstellen, aber eben nicht mehr. Eine Ende-zu-Ende-Verschlüsselung würde entsprechende Krypto-Verfahren auf Client und Server (inkl. Datenhaltung) erfordern...
Aber prinzipiell hast Du natürlich recht!
Bzgl. Aliasse hast Du recht, die sind auf eine Domain beschränkt. Aber Du kannst eine Mail-Adresse ohne Postfach anlegen und diese beliebig weiterleiten...
Mit vernünftig meine ich, ich will da keine HD streams übertragen oder zocken, sondern einfach nur eine stabile Leitung zu meinem PC, haben, und diesen ohne Zeitlupenreaktion, besonders bei der Maus, bedienen zu können.
Ich würde mich darauf einstellen, dass diese Art von Remote-Arbeit nicht wirklich funktioniert: Weniger wegen mangelnder Bandbreite - wobei 2 MBit/sec schon ziemlich dünn sind - sondern eher wegen zu langer Latenzen: Gerade die Benutzung einer grafischen Oberfläche dürfte dabei wenig Spass machen. Besteht nicht die Möglichkeit, die grafiklastigen Arbeiten lokal am Laptop zu machen und die Remote-Tätigkeiten auf Web-Frontends und (text-basierte) Konsolen zu beschränken? "Echtes" System-Management findet doch eh auf der Kommandozeile statt
ich möchte keine Grundsatzdiskussion über die Sinnhaftigkeit des Webmail von der Stange brechen und es geht hier auch nicht um meine Vorlieben, sondern um die Vorlieben derer, für die ich das in diesem Fall mache
Schade, dass eine - mit Ankündigung - ernst gemeinte Frage als Start einer Grundsatzdiskussion verstanden wird: Schliesslich wäre neben diversen technischen Lösungen vielleicht auch ein Hinterfragen von Anforderungen sinnvoll.
Aber ich will Dir - und anderen - hier keine Diskussion aufdrängen, einfach weitermachen…
dritte alternative: man verwendet einfach https://webmail01.netcup.net/, oder?
Ernst gemeinte Nachfrage:
Wozu benötigst Du (oder auch andere mit ähnlichen Fragestellungen) überhaupt Webmail? Ich habe bei mir festgestellt, dass ich das Feature vor x Jahren ganz toll fand („wenn ich mal im Urlaub in der Pampa an meine Mails muss“) - und quasi nie benutzt habe: Letztlich hatte ich immer ein Device mit Mail-Client und Internet-Verbindung dabei, und meine Nutzer (Verwandtschaft) auch … und das nun seit Jahren.
Netcup Webmail ist bei meinen Domains sogar deaktiviert und wurde nur explizit zum Einstellen von 1-2 Sieve-Filtern aktiviert. Was habe ich verpasst?
Kennt jemand von Euch eine Möglichkeit, diese (bekannten) Schwachstellen aus dem Reporting des WP-Toolkits auszuschliessen? Also im Sinne eines "acknowledged, ich kann ja momentan eh nix machen".
Hintergrund: Ich schaue regelmäßig im Webhosting nach Problemen / offenen Punkten. Dort lacht mich jetzt immer sehr prominent ein rotes Ausrufezeichen bzgl. WP-Schwachstellen an und ich muss erst in den Details nachschauen, dass es sich "nur" um die oben genannten handelt. Da sie z. Z. keine Aufmerksamkeit erfordern, würde ich sie gerne "quittieren"...
kann ich die Meldungen also getrost liegen lassen?
Jein: An den beiden ersten kannst Du nichts ändern, die dritte aber wenigstens durch das WP Toolkit "mitigieren" (also nicht korrigieren, aber im Risiko mindern). Und den WP-Core schön aktuell halten - für diese und zukünftige Schwachstellen...
Eine Verbindung über LAN-Kabel ist nicht möglich, da (wie immer) keine baulichen Maßnahmen geschehen sollen und natürlich auch keine LAN-Kabel oder Leerrohre vorhanden sind.
Vielleicht gibt es eine Option mit flachen Patch-Kabeln? Ich bekomme - trotz anderslautender Spezifikation - damit Gigabit und diese lassen sich gut in Fussleisten, unter Teppichen und auch in Fensterrahmen eingeklemmt verlegen. Vielleicht lässt sich so ja doch ein „Backbone“ schaffen, ich stimme frank_m da vollkommen zu…
Ich habe daheim seit Jahren drei Draytek Vigor AP 902 im Einsatz - zwei davon per PoE - und bin sehr zufrieden (aktuell ist wohl der sehr ähnliche Vigor AP 903). Ich hatte schon vor Urzeiten gute Erfahrung mit den ISDN-Routern von Draytek gemacht und daher diese Access-Points ausgesucht, um folgende Anforderungen zu erfüllen:
Die Konfigurationsmöglichkeiten sind umfangreich, inkl. Bandsteering, aber bei meinem Modell noch kein Mesh … was ich eher als Vorteil sehe: Die APs hängen in einer strukturierten Gebäude-Verkabelung per Ethernet am Eingangsswitch und bringen mit identischer SSID mein Heimnetz in drei Etagen. Mangels Controller habe ich kein TR-069 Management, sondern die Gerätekonfigurationen über eine angepasste Sicherungsdatei vereinheitlicht: Device-Management für Arme, aber besser als klicken
Sehr positiv sind die kontinuierliche und langfristige Versorgung mit FW-Updates und der Support - als ich einmal Probleme mit einem Update per TFTP hatte.
Habe kein SSH.
Sicher? Solltest Du ein Webhosting-Produkt haben, kannst Du Dich sehr wohl per SSH auf eine chroot-Umgebung anwählen. Die Anmeldedaten findest Du im "Web"-Plesk - wie auch die Option, diesen Zugang zu deaktivieren.
Edit: Konkret unter "Hosting und DNS" - "Hosting" einer beliebigen Website Deines Produktes mit dem Sytembenutzer / -passwort ... das konnte ich gestern nicht mehr nachschauen.
Im privaten Umfeld kommt dies aber kaum zum Einsatz.
Nach Versuchen mit PGP und X.509 mangels Akzeptanz im privaten Umfeld wieder ad acta gelegt ("was ist denn das für ein Anhang?"). Zugegebenermaßen deutlich mehr als 10 Jahre her und zumindest die X.509-Unterstützung in den Clients hat Fortschritte gemacht. Dennoch sehe ich Emails noch als Postkarte an - meistens.
Und man kann es auf so einfache Weise so viel besser machen, ganz ohne Zwischenparteien, warum das Schöngerede hier?
Weil das hier ein Web-Forum ist… 
Nein, ernsthaft: Ich wundere mich schon sehr über solche Diskussionen, die wohl eher dem Selbstzweck dienen. Warum sonst sollte man mit Halbwissen über rechtliche Vorgaben und Einschränkungen technische Implementierungen diskutieren, für die man nicht zuständig ist? Vielleicht, um sich zu profilieren, frei nach dem Motto „ich weiss es aber besser…“?
Es mag an meiner heutigen Tagesform liegen, aber für mich gibt es zwei Alternativen: Einfach nur Bock am Diskutieren - dann gerne weiter so, oder Interesse an einer Besserung. Bei letzterem halte ich einen direkten Kontakt vom Betroffenen mit netcups‘s Datenschutzbeauftragten immer noch für den sinnvollsten Schritt.
Edit: Für Fakten-Interessierte hier eine interessante Info-Seite des Landesbeauftragten für Datenschutz in Schleswig-Holstein (D).
Anrufen alleine wird ja nicht ausreichen, die Anforderung war ja sehr eindeutig. Feedback gibt es hier zum Mitlesen und per Support-Ticket - bisher unbeantwortet.
Je nachdem, wieviel Aufwand Dir diese Angelegenheit wert ist, würde ich das Vorgehen durchaus unter https://www.netcup.de/kontakt/datenschutzerklaerung.php dem Datenschutzbeauftragten von netcup schildern ... sowie Deine Verwunderung bzw. den Unmut Deines Kunden: Ich kann beides sehr gut nachvollziehen und bin froh, im Oktober mit einem Rückruf (D) ausreichend verifiziert worden zu sein. Diese Umsicht fand ich durchaus positiv - bei der Ausweiskopie plus Foto mit Vertragsnummer wäre das nicht mehr so.
Hier ist meines Erachtens klar zwischen notwendiger Verifizierung und deren Abwicklung zu unterscheiden: Einem Hosting-Provider mute (und traue) ich zu, hierzu einen datensparsamen, DSGVO-konformen und hinreichend benutzerfreundlichen Prozess zu etablieren. E-Mail mit Ausweiskopie ohne Schwärzung geht gar nicht und das sollte der Datenschutzbeauftragte intern klären - ich könnte mir vorstellen, dass ein normales Supportticket dort nie ankommt.
