Fehler 29 im Total Commander und FTP-Probleme: so beheben Sie sie

Im Folgenden geht es um die Entstehung von Fehler 29, die schnelle Lösung im Total Commander, die Firewall-Konfiguration und die Umstellung, an der kein Weg vorbeiführt: auf das sichere SFTP-Protokoll mit SSH-Schlüsseln.

#Warum Total Commander Fehler 29 meldet: aktiver (PORT) und passiver (PASV) Modus

Das klassische FTP-Protokoll (RFC 959) nutzt zwei getrennte Kommunikationskanäle:

1. Steuerkanal (Control Connection): meist auf Port 21 des Servers, für Befehle (USER, PASS, LIST, RETR, STOR) und Antwortcodes.
2. Datenkanal (Data Connection): eine eigene TCP-Verbindung, über die Verzeichnislisten und die Dateiinhalte selbst laufen.

Der Unterschied zwischen aktivem und passivem Modus bestimmt, welche Seite die Verbindung für den Datenkanal aufbaut:

AKTIVER MODUS (PORT) - Anfällig für Fehler 29:
Client:21   ---> Server:21      [Befehlskanal]
Client      <--- Server:20      [Datenkanal: Server verbindet sich mit Client-Port]
                                 ^ NAT-Router / Firewall blockiert eingehendes Paket!

PASSIVER MODUS (PASV) - Die richtige Lösung:
Client:21   ---> Server:21      [Befehlskanal]
Client      ---> Server:50234   [Datenkanal: Client verbindet sich mit Server-Port]
                                 ^ Ausgehender Verkehr durch NAT ist erlaubt!

#Wie Fehler 29 entsteht

Ist im Total Commander der Passivmodus ausgeschaltet, arbeitet das Programm im aktiven Modus. Nach der Anmeldung schickt der Client dem Server den Befehl PORT h1,h2,h3,h4,p1,p2 mit seiner lokalen IP-Adresse und einem zufälligen Port, auf dem er auf Daten vom Server wartet.

In heutigen Heim- und Büronetzen steht der Rechner hinter einem NAT-Router. Der Client nennt dem Server seine private IP-Adresse (z. B. 192.168.1.50), die ein Server im Internet nicht direkt erreichen kann. Selbst wenn der Router FTP ALG (Application Layer Gateway) unterstützt und die Adresse durch die öffentliche ersetzt, verwirft die lokale Windows-Firewall oder der zustandsbehaftete Filter des Routers die unaufgeforderte eingehende Verbindung von Port 20 des Servers. Nach Ablauf des Timeouts auf dem Datensocket meldet Total Commander Fehler 29.

#Wie Sie Fehler 29 im Total Commander Schritt für Schritt beheben

In den meisten Fällen besteht die Lösung darin, für das betreffende Verbindungsprofil den Passivmodus zu erzwingen.

#Schritt 1: Passivmodus (PASV) aktivieren

1. Starten Sie Total Commander und drücken Sie Strg+F (oder wählen Sie im Hauptmenü Netz > FTP-Verbindung).
2. Markieren Sie in der Liste der definierten Verbindungen den problematischen Server und klicken Sie auf Bearbeiten.
3. Suchen Sie im Konfigurationsfenster das Kontrollkästchen für den Passivmodus bei Übertragungen (englisch Use passive mode for transfers (like a WWW browser)).
4. Aktivieren Sie diese Option.
5. Klicken Sie auf OK und verbinden Sie sich erneut mit dem Server.

Im Passivmodus sendet der Client dem Server den Befehl PASV. Daraufhin öffnet der Server einen zufälligen Port aus seinem festgelegten Pool passiver Ports und meldet dessen Nummer zurück. Total Commander baut dann selbst eine ausgehende Verbindung zu diesem Port auf. Da Router und zustandsbehaftete Firewalls ausgehenden Verkehr standardmäßig durchlassen, kommt die Datenübertragung ohne Hindernisse zustande.

#Schritt 2: Windows Defender Firewall prüfen

Tritt der Fehler trotz Passivmodus weiter auf, blockiert möglicherweise die Systemfirewall den Total-Commander-Prozess selbst:

1. Öffnen Sie Systemsteuerung > System und Sicherheit > Windows Defender Firewall.
2. Wählen Sie Eine App oder ein Feature durch die Windows Defender Firewall zulassen.
3. Prüfen Sie, ob TOTALCMD.EXE (oder TOTALCMD64.EXE) in der Liste steht.
4. Stellen Sie sicher, dass die Häkchen für Private und Öffentliche Netzwerke gesetzt sind.
5. Fehlt das Programm in der Liste, klicken Sie auf Andere App zulassen und geben Sie den Installationspfad von Total Commander an (standardmäßig C:\totalcmd\totalcmd64.exe).

#Schritt 3: Serverkonfiguration (für Administratoren von VPS und dedizierten Servern)

Betreiben Sie einen eigenen FTP-Server (z. B. vsftpd oder ProFTPD unter Linux) und kann sich kein Client im PASV-Modus verbinden, liegt das Problem in der Konfiguration des passiven Portpools auf dem Server.

Prüfen Sie in /etc/vsftpd.conf, ob Portbereich und externe IP-Adresse festgelegt sind:

pasv_enable=YES
pasv_min_port=50000
pasv_max_port=50100
pasv_address=IHRE_OEFFENTLICHE_SERVER_IP

Öffnen Sie anschließend diesen Bereich in der Server-Firewall (z. B. UFW):

sudo ufw allow 21/tcp
sudo ufw allow 50000:50100/tcp
sudo systemctl restart vsftpd

#Wie Sie im FTP-Protokoll von Total Commander die Ursache von Fehler 29 finden

Bevor Sie Firewall-Regeln ändern, prüfen Sie im Protokoll, bei welchem Befehl die Sitzung stehen bleibt. Total Commander zeigt die Sitzung in einem Protokollfenster in der FTP-Leiste, und der Schlüssel LogFile im Abschnitt [General] der Datei wcx_ftp.ini schreibt sie in eine Datei, zum Beispiel LogFile=c:\Path\Log.txt (TotalcmdWiki, wcx_ftp.ini). Das Protokoll in eine Datei gibt es seit Version 3.51 aus dem Jahr 1998 (Versionshistorie von Total Commander).

Suchen Sie nach zwei Mustern, die RFC 959 festlegt:

• Nach dem Befehl PORT antwortet der Server mit 200, aber LIST oder RETR liefern 425 Can't open data connection oder laufen in einen Timeout. Das ist der aktive Modus, blockiert durch NAT oder eine Firewall.
• Nach dem Befehl PASV antwortet der Server mit 227 Entering Passive Mode (h1,h2,h3,h4,p1,p2). Die ersten vier Zahlen sind die Adresse, mit der sich der Client verbinden soll. Steht dort eine private Adresse, 127.0.0.1 oder 0.0.0.0, liegt der Fehler beim Server: Ihm fehlt eine Einstellung wie pasv_address aus Schritt 3.

Neuere Versionen von Total Commander umgehen einige dieser Fehler selbst. Laut Versionshistorie verbindet sich das Programm seit Juli 2020 mit Servern, die auf PASV die Adresse 0.0.0.0 melden, und seit März 2025 kommt es mit Servern zurecht, die 127.0.0.1 statt ihrer echten Adresse nennen. Im September 2016 wurden außerdem die endlosen Wiederholungsversuche entfernt, wenn beide Modi, PASV und PORT, wegen einer Fehlkonfiguration des Servers scheitern. Zeigt das Protokoll eine seltsame Adresse in der Antwort 227 und ist die installierte Version alt, ist ein Update des Programms oft schneller als das Warten auf den Serveradministrator.

Damit jede neue Verbindung von Anfang an den Passivmodus nutzt, setzen Sie im Abschnitt [default] den Schlüssel pasvmode=1. Für Verbindungen, die ein Router häufig trennt, dokumentiert das Wiki TcpKeepAlive=1 im Abschnitt [General], das TCP-Keep-Alive für alle Verbindungen einschaltet.

#Warum klassisches FTP ein kritisches Sicherheitsrisiko ist

Mit der Behebung von Fehler 29 haben Sie wieder eine Verbindung, doch wer bei FTP bleibt, gefährdet die Integrität seiner Websites ernsthaft.

RISIKEN DES UNVERSCHLÜSSELTEN FTP-PROTOKOLLS:
+-------------------------------------------------------------------+
| 1. Zugangsdaten im Klartext (Port 21)                            |
|    - Login und Passwort für jeden Zwischenknoten sichtbar         |
+-------------------------------------------------------------------+
| 2. Datei wcx_ftp.ini anfällig für Infostealer                    |
|    - Schwache lokale Verschlüsselung im Total Commander          |
+-------------------------------------------------------------------+
| 3. Keine atomaren Dateiübertragungen                             |
|    - Abgebrochene Sitzung zerstört PHP-Dateien, White Screen      |
+-------------------------------------------------------------------+
| 4. Keine Prüfsummen und keine Integritätsprüfung                  |
|    - Risiko stiller Beschädigung von Binärdateien                |
+-------------------------------------------------------------------+

#1. Passwörter im Klartext

FTP verschlüsselt weder den Steuer- noch den Datenkanal. Jedes Paket, das durch das lokale Netz, über den Internetanbieter oder über Transitknoten läuft, lässt sich mit einem einfachen Netzwerk-Sniffer (z. B. Wireshark) mitschneiden. Ihr Zugangspasswort zum Produktivserver wird als offener Text übertragen.

#2. Diebstahl von Zugangsdaten aus wcx_ftp.ini

Total Commander speichert die Konfiguration der FTP-Sitzungen in der Datei wcx_ftp.ini. Ohne Master-Passwort sind die dort abgelegten Passwörter nur verschleiert, nicht verschlüsselt. Die Schwachstelle ist als CVE-2005-4066 dokumentiert, und das Auslesen ist automatisiert: Das Framework Metasploit enthält das Modul Windows Gather Total Commander Saved Password Extraction, das gespeicherte Verbindungen in wcx_ftp.ini findet und ihre Passwörter extrahiert (Rapid7).

#3. Ausfallrisiko und Fehler 500 (White Screen of Death)

Laden Sie eine aktualisierte Theme- oder Plugin-Datei hoch (functions.php, class-core.php), überschreibt die FTP-Übertragung die Datei Block für Block. Bricht die Verbindung mittendrin ab, bleibt auf dem Server unvollständiger, defekter PHP-Code zurück, und die ganze Website steht sofort mit einem schwerwiegenden Fehler 500 still.

#Wie Sie FTP-Passwörter in Total Commander mit einem Master-Passwort schützen

TotalcmdWiki beschreibt das Feld password in den Verbindungsabschnitten von wcx_ftp.ini als verschleiert, nicht verschlüsselt (TotalcmdWiki). Die NVD führt dasselbe Problem als CVE-2005-4066: Total Commander 6.53 speicherte FTP-Benutzernamen und Passwörter mit einer schwachen Verschlüsselung, die ein lokaler Benutzer umkehren kann.

Die Antwort des Herstellers ist das Master-Passwort. Die Versionshistorie verzeichnet die Arbeit daran im Februar 2008, und die Funktion kam mit Version 7.50, erschienen im September 2009. Die Historie bezeichnet den Mechanismus als AES-Verschlüsselung mit Master-Passwort (Versionshistorie).

Das Einschalten dauert eine Minute:

1. Drücken Sie Strg+F, wählen Sie die Verbindung und klicken Sie auf Bearbeiten.
2. Aktivieren Sie das Kontrollkästchen für die Verschlüsselung mit Master-Passwort (englisch Encrypt with master password).
3. Legen Sie das Master-Passwort fest. Das Programm fragt es einmal pro Sitzung ab, bei der ersten Verbindung zu einem Server, dessen Passwort es schützt.

Einige Verhaltensweisen sollten Sie kennen, bevor Sie das im Team einführen. Seit Juni 2022 löscht Total Commander die Passwörter aktiver FTP-Verbindungen, wenn das Fenster minimiert wird oder der Bildschirmschoner startet, genauso wie das Master-Passwort. Der Schlüssel KeepMasterPassword im Abschnitt [General] behält das Master-Passwort beim Minimieren (1), beim Start des Bildschirmschoners (2) oder in beiden Fällen (3). Seit Juni 2020 kann das Programm das Master-Passwort über Windows Hello bis zum Schließen von Total Commander vorhalten, sodass eine erneute Verbindung Fingerabdruck, Gesicht oder PIN erfordert.

Das Master-Passwort schützt die Datei auf der Festplatte, ändert aber nicht das Protokoll. Benutzername und Passwort laufen weiterhin im Klartext über Port 21, wenn die Verbindung einfaches FTP nutzt.

#Wie Sie sich in Total Commander per FTPS verbinden

Der eingebaute FTP-Client von Total Commander unterstützt FTPS, also FTP über SSL/TLS. Das ist der Zwischenschritt für Server, die keinen SSH-Zugang, aber verschlüsseltes FTP anbieten.

Seit September 2016 baut das Programm FTPS-Verbindungen ohne die OpenSSL-Bibliotheken auf, über die sChannel-Funktionen von Windows in Secur32.dll. Dieselbe Änderung brachte TLS 1.1 und TLS 1.2 und schreibt die ausgehandelte Protokollversion ins Verbindungsprotokoll. Wenn Sie im Verbindungsdialog die Option SSL/TLS aktivieren, setzt das Programm auch den Passivmodus, weil FTPS im aktiven Modus nicht funktioniert (Versionshistorie). Auf der Client-Seite verschwindet Fehler 29 also mit dem Wechsel zu FTPS. Auf der Server-Seite muss der passive Portbereich weiterhin in der Firewall offen sein, wie in Schritt 3.

Zwei Optionen für strengere Umgebungen:

• Client-Zertifikat: Seit April 2018 kann Total Commander für FTPS Client-Zertifikate aus dem Windows-Zertifikatspeicher nutzen. Das funktioniert nur über sChannel, nicht über OpenSSL.
• OpenSSL 3: Seit März 2022 akzeptiert das Programm die OpenSSL-3.0-Bibliotheken von curl.se. Die Dateien libssl-3.dll und libcrypto-3.dll (für 64 Bit libssl-3-x64.dll und libcrypto-3-x64.dll) gehören in das Programmverzeichnis, nicht in das Unterverzeichnis 64. Sind beide Methoden verfügbar, wählt der Schlüssel PreferOpenSSL in wcx_ftp.ini zwischen sChannel und OpenSSL.

FTPS behält zwei Kanäle und den passiven Portbereich in der Firewall. SFTP aus dem nächsten Abschnitt nutzt eine einzige Verbindung über Port 22 und ist auf Servern mit SSH-Zugang deshalb einfacher zu betreiben.

#Wie Sie das SFTP-Plugin im Total Commander nutzen

Ist die Zwei-Fenster-Oberfläche von Total Commander Ihr wichtigstes Arbeitswerkzeug, müssen Sie nicht darauf verzichten. Es genügt, das unsichere FTP durch das vollständig verschlüsselte SFTP (SSH File Transfer Protocol) zu ersetzen.

#Wie Sie das SFTP-Plugin installieren und einrichten

1. Laden Sie das offizielle SFTP plugin for Total Commander von ghisler.com herunter (Autor: Christian Ghisler).
2. Öffnen Sie das heruntergeladene .zip-Archiv direkt im Total Commander. Das Programm erkennt das Plugin und fragt, ob Sie es installieren möchten. Wählen Sie Ja.
3. Öffnen Sie die Netzwerkumgebung (Laufwerksauswahl: \).
4. Öffnen Sie den Ordner Secure FTP.
5. Drücken Sie F7, um eine neue Verbindung anzulegen.
6. Geben Sie den Verbindungsnamen, den Hostnamen (IP-Adresse oder Domain), den Port (standardmäßig 22) und den Benutzernamen ein.

#Wie Sie die Authentifizierung per SSH-Schlüssel einrichten

Statt ein Passwort einzugeben, richten Sie die Authentifizierung mit einem kryptografischen Schlüssel ein:

1. Geben Sie in den Verbindungseinstellungen die private Schlüsseldatei im OpenSSH-Format an. Laut Readme des Plugins müssen direkt angegebene Schlüssel dieses Format haben (Readme des SFTP-Plugins).
2. Einen Schlüssel im PuTTY-Format (.ppk) nimmt das Plugin über Pageant an. Pageant startet automatisch, wenn Sie im Plugin-Verzeichnis eine Verknüpfung namens pageant.lnk ablegen, die auf pageant.exe mit dem Namen der Schlüsseldatei als Parameter zeigt.
3. Alternativ wandeln Sie einen .ppk-Schlüssel in puttygen um: Schlüssel laden, dann Conversions > Export OpenSSH key wählen. Das Readme warnt vor der Schaltfläche Save public key, weil sie einen öffentlichen Schlüssel in einem Format erzeugt, das OpenSSH nicht akzeptiert. Kopieren Sie den öffentlichen Schlüssel stattdessen aus dem Feld Public key for pasting into OpenSSH authorized_keys file.
4. Eine SFTP-Verbindung verschlüsselt sowohl die Anmeldung als auch die übertragenen Dateien, das Passwort läuft also nie im Klartext durchs Netz.

Plugin-Version 3.10 vom Juli 2026 läuft unter Windows Vista bis 11 mit der Systembibliothek sChannel und braucht keine zusätzlichen DLLs. Sie unterstützt außerdem reine SCP-Server, Verbindungen über einen HTTP-Proxy mit dem Befehl CONNECT sowie Keep-Alive. Bevorzugte Algorithmen (Schlüsselaustausch, Host-Schlüssel, Verschlüsselung, MAC, Kompression) legen Sie pro Verbindung in sftpplug.ini mit den Schlüsseln prefmethod0 bis prefmethod7 fest, zum Beispiel prefmethod0=curve25519-sha256.

#Wie sich die Übertragungsprotokolle FTP und SFTP unterscheiden

Die folgende Tabelle stellt die technischen Parameter und das Sicherheitsniveau der einzelnen Methoden zur Dateiübertragung auf den Server gegenüber:

#Wie Sie von FTP auf CI/CD-Deployments umsteigen

In modernen Produktivumgebungen weicht das manuelle Hochladen über einen Dateimanager einem automatisierten Deployment-Prozess.

#Wie atomare Deployments ohne Ausfallzeit funktionieren

Statt Dateien direkt im Verzeichnis public_html zu ändern, bereitet ein atomares Deployment die neue Version in einem eigenen Release-Verzeichnis vor und schaltet dann den symbolischen Link in einem Augenblick um:

/var/www/meineseite/
|-- current -> /var/www/meineseite/releases/2026-09-21-1200/   [Symbolischer Link]
|-- releases/
|   |-- 2026-09-20-0930/  [Vorheriges Release]
|   `-- 2026-09-21-1200/  [Neues, vollständig gebautes Release]
`-- shared/
    |-- wp-config.php     [Gemeinsame Konfiguration]
    `-- wp-content/uploads/ [Gemeinsame Medien]

Vorteile dieses Ansatzes:

• Keine Ausfallzeit: Das Umschalten des symbolischen Links mit ln -nfs dauert wenige Millisekunden.
• Sicherheit: Schlägt die Installation der Composer-Abhängigkeiten oder der Build der Assets fehl, wird der Symlink nicht umgeschaltet, und die Website läuft auf dem vorherigen Release normal weiter.
• Sofortiger Rollback: Für die Rückkehr zur vorherigen Version nach einem entdeckten Fehler genügt ein einziger Befehl, der den Symlink zurücksetzt.

Automatisierte Deployments mit Git machen offene FTP-Ports überflüssig, schützen den Quellcode vor versehentlichem Überschreiben und liefern eine vollständige Historie jeder Änderung.

#Welche Fragen zu FTP-Fehler 29 am häufigsten gestellt werden

Probleme bei der Dateiübertragung zu lösen und das veraltete FTP zugunsten sicherer Deployment-Abläufe aufzugeben, gehört zu den Grundaufgaben beim Betrieb einer stabilen Infrastruktur. Wenn Sie Ihre Serverumgebung aufräumen oder eine sichere CI/CD-Pipeline einführen möchten, sehen Sie sich unser Angebot als WordPress-Entwickler an.