Emby absichern: Telegram-Alarm bei Brute-Force, ungewöhnlichen Logins und Admin-Änderungen

Warum ein öffentlich erreichbarer Emby-Server Ohren braucht

Wenn dein Emby-Server unter einer öffentlichen Adresse antwortet, wird er genau jetzt gescannt. Bots laufen gängige Pfade ab, probieren ein paar Passwörter und ziehen weiter. Das meiste davon ist harmlos, aber dazwischen stecken die wenigen Ereignisse, auf die es ankommt: jemand probiert Passwörter über deine Konten durch, eine Anmeldung aus einem Land, in dem du noch nie warst, ein neuer Administrator, den du nicht angelegt hast, oder eine Anfrage auf /.env.

Das Problem ist nicht die Erkennung – Emby protokolliert ohnehin eine Menge –, sondern die Aufmerksamkeit. Du willst nicht jeden Morgen eine Logdatei lesen. Du willst eine kurze Nachricht aufs Handy, wenn etwas einen Blick wert ist.

Genau das macht Security Notifications: Das Plugin beobachtet deinen Emby-Server auf ungewöhnliche und sicherheitsrelevante Ereignisse und schickt Warnungen per Telegram, E-Mail, Webhook oder ins Emby-Aktivitätsprotokoll. Dieses Tutorial zeigt, wie du es installierst, einen Kanal einrichtest und die Regeln so justierst, dass die Warnungen nützlich bleiben. Die vollständige Referenz findest du im Benutzerhandbuch.

Voraussetzungen

• Emby Server 4.10.1 oder neuer, unter Linux, Windows oder Docker.
• Ein MediaLab-Works-Konto mit aktiver Lizenz, eine Lifetime-Lizenz innerhalb ihres Update-Zeitraums oder die kostenlose 30-Tage-Testversion.
• Ein Zustellkanal: ein Telegram-Bot, ein SMTP-Server oder eine Webhook-Adresse (Discord, Slack, ntfy, Gotify oder reines JSON). Das Emby-Aktivitätsprotokoll funktioniert auch ohne einen davon.
• Optional, aber empfohlen: ein Reverse Proxy, der die echte Besucheradresse weiterreicht, damit Warnungen die IP des Angreifers zeigen und nicht die deines Proxys.

Schritt 1 — Plugin installieren

1. Melde dich in deinem MediaLab-Works-Konto an, öffne Lizenzen und lade die Plugin-DLL herunter.
2. Kopiere sie in den Emby-Plugin-Ordner und starte Emby Server neu:
   • Linux (Paket): /var/lib/emby/plugins/
   • Docker: der Ordner plugins im Emby-Konfigurationsvolume
   • Windows: %AppData%\Emby-Server\programdata\plugins\
3. Öffne Security Notifications im Emby-Dashboard-Menü, klicke auf Lizenzseite öffnen, füge deinen Lizenzschlüssel ein und aktiviere ihn – oder gib deine E-Mail-Adresse ein, um die Testversion zu starten. Die Lizenz wird einmal täglich und bei jedem Emby-Start geprüft; ohne Internet läuft das Plugin nach der letzten erfolgreichen Prüfung noch 7 Tage weiter.

Ohne gültige Lizenz wird das Plugin gestoppt: Es läuft keine Regel und es wird keine Warnung gesendet, deine Einstellungen und der Verlauf bleiben aber erhalten.

Schritt 2 — Kanal verbinden und Test senden

Öffne das Plugin und gehe zum Tab Kanäle. Jeder Kanal ist standardmäßig aus, und jeder hat seinen eigenen Mindestschweregrad.

Telegram. Lege einen Bot an, füge seinen Token ein, sende /start an den Bot (oder füge ihn einer Gruppe hinzu) und klicke dann auf Suchen, um den Chat einzutragen. Mit Test senden prüfst du, ob die Nachricht ankommt.

E-Mail. Trage Empfänger und deinen SMTP-Server ein. Empfohlen ist Port 587 mit STARTTLS; Port 465 mit implizitem TLS wird nicht unterstützt. Wenn das Registration-Plugin installiert ist, kannst du dessen SMTP-Server wiederverwenden.

Webhook. Wähle Discord, Slack, ntfy, Gotify oder JSON und füge die Adresse ein. Bei Gotify hänge ?token=… an die Adresse /message an. Die Adresse enthält den Token und wird getrennt von den Einstellungen gespeichert.

Emby-Aktivitätsprotokoll. Warnungen erscheinen auch in der Aktivitätsliste des Dashboards – eine gute Basis, während du noch justierst.

Starte mit Telegram oder E-Mail bei einem hohen Mindestschweregrad und lass das Aktivitätsprotokoll eingeschaltet.

Schritt 3 — Standort und Netzwerk-Grundlagen einrichten

Unter Einstellungen:

• Standort: Wähle DB-IP Lite (kostenlos, kein Konto), MaxMind GeoLite2 (deine Account-ID und dein Lizenzschlüssel) oder aus. Die Geolokalisierung läuft lokal; IP-Adressen werden nirgendwohin gesendet. Ohne Standortquelle können die Regeln für neues Land, ungewöhnliche Anmeldungen und neues Netzwerk nicht arbeiten.
• Netzwerk: Trage vertrauenswürdige Netze als CIDR ein – zum Beispiel dein eigenes VPN. Private Netze sind automatisch enthalten. Aktiviere Der Server steht hinter seinem eigenen Proxy, wenn Emby hinter nginx, Caddy, Traefik oder ähnlichem läuft, damit weitergeleitete Header erwartet werden. Cloudflare wird von selbst erkannt.
• Schlechte IP-Listen: Tor-Exits (stündlich aktualisiert) und Spamhaus DROP (täglich) sind standardmäßig an und lassen sich abschalten.

Wenn später jede Warnung dieselbe Adresse zeigt, ist das die Einstellung, die du nochmal ansehen solltest – siehe Abschnitt zur Fehlersuche.

Schritt 4 — Entscheiden, welche Regeln eine Warnung wert sind

Der Tab Regeln enthält 20 Regeln, jede mit eigenem Schalter, Schweregrad und, wo es zutrifft, Schwellenwerten. Denk sie in vier Gruppen.

Angriffe auf Konten. Eine Häufung falscher Passwörter von einer Adresse, viele Konten, die von derselben Adresse aus probiert werden (Passwort-Spraying), eine erfolgreiche Anmeldung nach vielen Fehlversuchen, ein gesperrtes Konto. Das sind die klassischen Anzeichen dafür, dass jemand rät. Den Schwellenwert setzt du selbst: wie viele falsche Passwörter in wie vielen Minuten.

Ungewöhnliche Anmeldungen. Ein neues Land für das Konto oder ungewöhnliche Anmeldungen – zwei Orte, die in zu kurzer Zeit zu weit auseinanderliegen. Für Administratoren: eine Anmeldung von einem neuen Gerät, aus einem neuen Netzwerk, von außerhalb des lokalen Netzwerks oder zu einer ungewöhnlichen Stunde. Außerdem Anmeldungen von einem Tor-Exit oder aus einem bekannten schlechten Netz.

Sensible Änderungen. Ein neuer Administrator oder vergebene sensible Rechte, ein geändertes Passwort, ein gelöschtes Konto, ein angelegter oder gelöschter API-Schlüssel, ein installiertes, aktualisiertes oder entferntes Plugin und geänderte kritische Einstellungen (Fernzugriff, HTTPS, vertrauenswürdige Proxys, Ports, UPnP). Das sind leise Ereignisse – und genau die, von denen du hören willst.

Schäden und Anzeichen einer Kompromittierung. Massenlöschung aus einer Bibliothek, ein Konto, das gleichzeitig von zu vielen Orten genutzt wird, eine aktive Sitzung eines deaktivierten Kontos. Scans und Sondierungen wie /.env, wp-login oder Path Traversal, gefälschte Proxy-Header, genutztes „Passwort vergessen“, die bekannten Dateien des Angriffs vom Mai 2023 auf Emby-Server, DLLs, die ohne Katalog-Installation im Plugin-Ordner auftauchen, und eine Serverversion mit veröffentlichten Schwachstellen.

Ein praktischer Startpunkt: Halte die Regeln für Kontoangriffe und sensible Änderungen auf hohem Schweregrad, lass neues Land und ungewöhnliche Anmeldungen an, sobald der Standort funktioniert, und behandle Scan-Regeln als informativ, bis du weißt, wie dein eigener Traffic aussieht.

Schritt 5 — Spam herausfiltern

Ebenfalls im Tab Kanäle halten die Anti-Spam-Steuerungen dein Handy ruhig:

• Wiederholungsintervall — dieselbe Warnung wird höchstens einmal pro Intervall gesendet.
• Gruppierung — eine Häufung ähnlicher Ereignisse kommt als eine Nachricht an.
• Ruhezeiten — nur kritische Warnungen gehen sofort raus; der Rest kommt in einer Zusammenfassung, wenn die Ruhezeiten enden.
• Tägliche Zusammenfassung — optional, für Warnungen mit mittlerem und informativem Schweregrad.

Jede Warnung sagt dir, was passiert ist, welches Konto betroffen war, von wo (Adresse, Land, Stadt, Netzwerk, Gerät), warum es verdächtig aussieht und was du prüfen solltest. Namen, die ein Angreifer eingetippt hat – Gerät, App, Konto –, werden als reiner Text weitergegeben; behandle sie als nicht vertrauenswürdigen Text.

Schritt 6 — Verlauf lesen, anpassen, wiederholen

Der Tab Übersicht zeigt die letzten Warnungen und den Plugin-Status. Verlauf listet jede Warnung mit Konto, Adresse, Standort, Gerät und den Kanälen, an die sie gesendet wurde; filtere nach Schweregrad, Regel und Zeitraum oder exportiere als CSV. Schau nach einer Woche, was ausgelöst hat: Hebe die Schweregrade bei Regeln an, die für dein Setup reines Rauschen sind, und senke sie bei allem, was du lieber früher gewusst hättest.

Tipps und Fehlersuche

• Jede Warnung zeigt dieselbe Adresse. Das ist dein Proxy oder Cloudflare. Konfiguriere deinen Reverse Proxy so, dass Emby die echte Besucheradresse erhält, und aktiviere Der Server steht hinter seinem eigenen Proxy in den Einstellungen.
• Keine Telegram-Nachrichten. Sende dem Bot erneut /start und klicke auf Suchen; prüfe den Mindestschweregrad des Kanals.
• Kein Standort. Prüfe die Standortquelle in den Einstellungen; bei MaxMind prüfe Account-ID und Schlüssel.
• Die Scan-Erkennung hat Grenzen. Emby protokolliert nur einige Anfragen, daher sehen die Scan-Regeln 404er und POSTs, nicht jedes GET. Behandle sie als ein Signal unter mehreren.
• fail2ban ergänzt, ersetzt nicht. Security Notifications sagt dir, was passiert; fail2ban kann bei wiederholten Fehlversuchen auf Netzwerk- oder Proxy-Ebene eingreifen. Betreibe beides: Die Warnung sagt dir, dass es passiert, die Sperre reduziert das Rauschen.
• Lass den Kanal fürs Aktivitätsprotokoll an, als lokalen Rückfall, besonders solange du noch an den Schweregraden justierst.
• Updates. Die Lizenzseite kann ein Update installieren oder auf die vorherige Version zurückrollen; starte Emby danach jeweils neu. Was sich geändert hat, steht im Changelog.

Fazit

Emby ins Internet zu stellen, ist eine Entscheidung, die viele von uns treffen; blind zu fliegen ist keine. Mit Security Notifications bekommst du eine kurze, lesbare Nachricht, wenn jemand ein Konto angreift, sich von irgendwo Unerwartetem anmeldet, etwas Sensibles ändert oder deinen Server sondiert – und Stille, wenn nichts los ist. Installiere es, verbinde einen Kanal, starte mit den Regeln hohen Schweregrads und justiere anhand des Verlaufs. Wenn du nicht weiterkommst, sind die Wissensdatenbank und die FAQ der nächste gute Schritt, oder kontaktiere uns.