Security Notifications für Emby

Security Notifications informiert den Administrator deines Emby-Servers, sobald etwas Abnormales oder Sicherheitsrelevantes passiert: wer es war, von wo, warum es verdächtig aussieht und was zu tun ist.

Was es überwacht

20 Regeln, jede mit eigenem Schalter, Schwellenwert und Schwere:

• Angriffe auf Konten: Stöße falscher Passwörter von einer Adresse, viele Konten von derselben Adresse ausprobiert (Password Spraying), eine erfolgreiche Anmeldung nach vielen Fehlversuchen, ein gesperrtes Konto.
• Ungewöhnliche Anmeldungen: ein neues Land für das Konto oder „unmögliche Reisen“ (zwei Orte, zu weit voneinander entfernt, in zu wenig Zeit); ein Administrator, der sich von einem neuen Gerät, einem neuen Netzwerk, außerhalb des lokalen Netzwerks oder zu einer ungewöhnlichen Uhrzeit anmeldet; Anmeldungen über einen Tor-Exit oder ein bekanntes bösartiges Netzwerk (Spamhaus DROP).
• Heikle Änderungen: ein neuer Administrator oder vergebene sensible Rechte, ein geändertes Passwort, ein gelöschtes Konto, ein erstellter oder gelöschter API-Schlüssel, ein installiertes, aktualisiertes oder entferntes Plugin, geänderte kritische Einstellungen (Remote-Zugriff, HTTPS, vertrauenswürdige Proxys, Ports, UPnP).
• Schäden und Missbrauch: Massenlöschung aus einer Bibliothek, ein Konto, das gleichzeitig von zu vielen Orten aus genutzt wird, eine aktive Sitzung eines deaktivierten Kontos.
• Kompromittierungsanzeichen: Scans und Sondierungen (/.env, wp-login, Path-Traversal), gefälschte Proxy-Header, genutzte Funktion „Passwort vergessen“, die bekannten Dateien des Mai-2023-Angriffs auf Emby-Server oder DLLs, die ohne Katalog-Installation im Plugin-Ordner auftauchen, eine Serverversion mit veröffentlichten Schwachstellen.

Benachrichtigungen

• Kanäle: Telegram, E-Mail (SMTP), Webhook (Discord, Slack, ntfy, Gotify oder einfaches JSON) und das Emby-Aktivitätsprotokoll. Jeder Kanal hat seine eigene minimale Schwere und eine Test-Schaltfläche.
• Kein Spam: dieselbe Warnung höchstens einmal pro Intervall, Stöße zu einer Nachricht gruppiert, Ruhezeiten (nur kritische Warnungen gehen sofort raus, der Rest kommt am Ende als Zusammenfassung), optionaler täglicher Digest.
• Inhalt: was passiert ist, welches Konto, von wo (Adresse, Land, Stadt, Netzwerk, Gerät), warum es verdächtig ist und was du prüfen solltest. Vom Angreifer übermittelte Namen (Gerät, App, Konto) werden als Klartext weitergegeben.
• History aller Warnungen auf der Plugin-Seite, mit Filtern und CSV-Export.

Voraussetzungen

• Emby Server 4.10.1 oder neuer (Linux, Windows oder Docker).
• Für Warnungen per Telegram, E-Mail oder Webhook: ein Telegram-Bot, ein SMTP-Server oder eine Webhook-Adresse. Das Emby-Aktivitätsprotokoll funktioniert ohne all das.

Häufige Fragen

Kann Emby mich warnen, wenn jemand versucht, in meinen Server einzudringen? Ja, mit Security Notifications: wiederholte falsche Passwörter, Password Spraying, eine Anmeldung nach vielen Fehlversuchen, ein neues Land oder ein Admin, der sich von einem neuen Gerät anmeldet, senden dir eine Warnung über die gewählten Kanäle. Siehe die Anleitung.

Ist das dasselbe wie Access Log? Nein. Access Log behält die vollständige Anmeldehistorie für dich zum Durchsuchen; Security Notifications beobachtet verdächtige Ereignisse und Änderungen und warnt dich sofort. Beide arbeiten gut zusammen.

Was es wohin sendet

Alle Hintergrundaufgaben laufen nur mit gültiger Lizenz und aktiviertem Plugin.

• Geolocation-Datenbank (nur Download, es wird nichts gesendet): standardmäßig DB-IP Lite (download.db-ip.com, kein Konto, CC BY 4.0 — „IP Geolocation by DB-IP“, etwa alle 35 Tage aktualisiert); alternativ MaxMind GeoLite2 (download.maxmind.com, mit deinem Konto, alle 7 Tage) oder „deaktiviert“. Die IP-Geolokalisierung läuft lokal; IP-Adressen werden nie irgendwohin gesendet.
• Bedrohungslisten (standardmäßig aktiv, nur Download): Tor-Exit-Knoten (check.torproject.org, stündlich) und Spamhaus DROP (www.spamhaus.org, täglich). Können deaktiviert werden.
• Benachrichtigungskanäle — alle standardmäßig deaktiviert, vom Admin gewählt:
  • Telegram (api.telegram.org): der Warnungstext an deinen Chat, mit deinem Bot-Token; die Schaltfläche „detect chats“ liest die letzten Updates des Bots.
  • Webhook (deine URL: Discord, Slack, ntfy, Gotify oder generisches JSON): Warnungstext, Servername, Schwere, Zeit.
  • E-Mail: über den SMTP von Registration (falls installiert) oder deinen eigenen SMTP-Server (standardmäßig STARTTLS), an die konfigurierten Empfänger.
  • Das Aktivitätsprotokoll des Servers (lokal, standardmäßig aktiv).
• Warnungsinhalt: Titel und Detail, das betroffene Konto, die IP-Adresse mit Stadt/Land/ISP (ASN), Gerät und App, Schwere, Regel, Servername, Zeit. Vom Angreifer eingegebene Namen werden als Klartext gesendet (Discord-Erwähnungen sind deaktiviert).
• Seiten laden keine externen Ressourcen.
• Dazu der Lizenz-Client, in jedem Plugin gleich: siehe Lizenzierung und Datenschutz in unseren Plugins.

Lokal gespeichert (Plugin-Datenordner):

• state/alerts.json: Verlauf der Warnungen (max. 5000, konfigurierbar).
• accounts.json: pro Konto — Länder, Netzwerke (ASN), gesehene Geräte (nach 365 Tagen entfernt), letzte IP/Land/Koordinaten; aktuelle IPs werden nach 24 h entfernt.
• secrets.json (Modus 600, außerhalb der Serverkonfiguration): Telegram-Token, SMTP-Passwort, Webhook-URL, MaxMind-Schlüssel.
• Tor-/Spamhaus-Listen, geoip/*.mmdb-Datenbanken.
• Das Plugin prüft, ob die Passwort-Reset-Datei des Servers existiert, ohne sie zu lesen; es vergleicht die Serverversion mit einer mitgelieferten Schwachstellen-Tabelle (offline).

Niemals gesendet: Passwörter, Session-Tokens, Medieninhalte. Nichts geht an einen Kanal, den du nicht aktiviert hast.

Kompatibilität mit Clients

Vollständig serverseitig: Warnungen kommen aus den Ereignissen und Protokollen des Servers, egal, welche App der Benutzer oder Angreifer nutzt.

• Emby Web: ✅ Admin-Seite (Desktop + 390-px-Telefon); End-to-End 39/39 mit echten Emby-Ereignissen.
• Zustellung verifiziert: JSON-Webhook, E-Mail (lokaler SMTP), Aktivitätsprotokoll ✅; echte Telegram-, Discord-, Slack-, ntfy- und Gotify-Zustellung: ❔ nicht getestet (das Discord-Format per Unit-Test geprüft).
• Native Emby-Apps, Kodi, Infuse usw.: 🟢 clientunabhängig; ❔ nicht einzeln getestet.
• Einschränkungen: Emby protokolliert nur manche Anfragen, daher sieht die Scan-Erkennung 404s und POSTs, nicht jedes GET. SMTP auf Port 465 (implizites TLS) funktioniert möglicherweise nicht — nutze 587/STARTTLS (nicht verifiziert).

Legende: ✅ verifiziert (End-to-End- oder Test auf dem Gerät) · 🟢 serverseitig, funktioniert mit jedem Client (konstruktionsbedingt, kein clientspezifischer Test) · ➖ nicht zutreffend · ❔ nicht getestet.

Lizenzierung

Eine Lizenz pro Emby-Server. Monatlich, jährlich oder als Lifetime-Lizenz, oder im Emby-Paket enthalten. 30 Tage kostenlos testen.