# Sicherheitseinstellungen

Die Seite **Sicherheitseinstellungen** bündelt die Regeln, nach denen Moodle Zugriffe von außen behandelt: wer die Website ohne Anmeldung sieht, welche Kennwörter das System annimmt, wie lange Beiträge nach dem Absenden noch bearbeitet werden dürfen und wie groß hochgeladene Dateien sein können.

<p class="callout info">**Voraussetzung:** Administrator/innen-Rechte (`moodleadmin`). Trainer/innen sehen die Seite nicht, bekommen einige der Werte in ihren Kursen aber zu spüren: Die maximale Dateigröße und die Bearbeitungsdauer von Forumsbeiträgen stammen von hier.</p>

## Sicherheitseinstellungen öffnen

1. **Website-Administration** öffnen und den Reiter **Allgemein** wählen.
2. Zur Überschrift **Sicherheit** blättern.
3. Auf **Sicherheitseinstellungen** klicken.

![Zeile aus der Website-Administration: links die Überschrift „Sicherheit“, rechts untereinander die Einträge IP-Blocker, Sicherheitseinstellungen, HTTP-Sicherheit und Systemnachrichten.](https://hilfe.bildung-lsa.de/uploads/images/gallery/2026-08/sicherheit-bereich.png)

Unter **Sicherheit** stehen daneben die Einträge **IP-Blocker**, **HTTP-Sicherheit** und **Systemnachrichten**. Diese Seite beschreibt ausschließlich **Sicherheitseinstellungen**.

## Was ohne Anmeldung sichtbar ist

Ab Werk sind die Startseite und die Kursübersicht öffentlich, die Kurse selbst nicht. Vier Einstellungen verschieben diese Grenze:

<table id="bkmrk-einstellungwas-sie-b"><thead><tr><th>Einstellung</th><th>Was sie bewirkt</th></tr></thead><tbody><tr><td>**Anmeldung notwendig**</td><td>Ohne Anmeldung ist nichts zu sehen, auch die Startseite nicht. Ab Werk ausgeschaltet.</td></tr><tr><td>**Anmeldung notwendig, um Profile anzuzeigen**</td><td>Nutzerprofile bleiben Angemeldeten vorbehalten. Ab Werk eingeschaltet. Ausgeschaltet sind die Profile samt Beschreibungstext weltweit abrufbar, auch für Suchmaschinen.</td></tr><tr><td>**Anmeldung notwendig, um Profilbilder anzuzeigen**</td><td>Profilbilder bleiben Angemeldeten vorbehalten. In E-Mails erscheint dann für alle das Standardbild. In der Standardkonfiguration in Sachsen-Anhalt ist diese Option aktiviert.</td></tr><tr><td>**Offen für Suchmaschinen**</td><td>Suchmaschinen betreten die Website als Gast und erreichen damit alle Kurse, die einen Gastzugang ohne Kennwort erlauben. Wer über eine Suchmaschine kommt, wird automatisch als Gast angemeldet. Ab Werk ausgeschaltet.</td></tr></tbody></table>

![Die drei Einstellungen „Anmeldung notwendig“, „Anmeldung notwendig, um Profile anzuzeigen“ und „Anmeldung notwendig, um Profilbilder anzuzeigen“ mit ihren Kontrollkästchen, dem Vermerk Standard und dem Erklärungstext.](https://hilfe.bildung-lsa.de/uploads/images/gallery/2026-08/sicherheit-anmeldung.png)

Davon getrennt regelt *Indizierung durch Suchmaschinen erlauben*, ob Moodle die Aufnahme in den Suchindex überhaupt gestattet:

<table id="bkmrk-wertbedeutung-%C3%9Cberal"><thead><tr><th>Wert</th><th>Bedeutung</th></tr></thead><tbody><tr><td>**Überall außer Anmeldeseiten**</td><td>Die Anmeldeseiten bleiben außen vor, weil sie im Moment der Indizierung persönliche Angaben enthalten können.</td></tr><tr><td>**Überall**</td><td>Auch dann, wenn *Anmeldung notwendig* eingeschaltet ist.</td></tr><tr><td>**Nirgends**</td><td>Keine Seite wird aufgenommen. In Sachsen-Anhalt ist das die Voreinstellung.</td></tr></tbody></table>

![Die Einstellung „Offen für Suchmaschinen“ mit leerem Kontrollkästchen und darunter „Indizierung durch Suchmaschinen erlauben“ mit dem Auswahlfeld Überall außer Anmeldeseiten.](https://hilfe.bildung-lsa.de/uploads/images/gallery/2026-08/sicherheit-suchmaschinen.png)

<p class="callout warning">**Achtung:** Die Einstellung schreibt lediglich eine Angabe in den Kopf jeder Seite, an die sich Suchmaschinen halten sollen. Ob sie es tun, entscheiden die Suchmaschinen. Inhalte, die niemand von außen sehen darf, schützt nur *Anmeldung notwendig*.</p>

## Kennwortregeln

Mit dem Haken bei *Kennwortregeln* prüft Moodle jedes neu vergebene Kennwort gegen die Werte, die darunter stehen. Ab Werk gelten:

<table id="bkmrk-feldvoreinstellung-k"><thead><tr><th>Feld</th><th>Voreinstellung</th></tr></thead><tbody><tr><td>**Kennwortlänge**</td><td>mindestens 6 Zeichen</td></tr><tr><td>**Ziffern**</td><td>mindestens 1</td></tr><tr><td>**Kleinbuchstaben**</td><td>mindestens 1</td></tr><tr><td>**Großbuchstaben**</td><td>mindestens 0</td></tr><tr><td>**Sonderzeichen**</td><td>mindestens 0</td></tr><tr><td>**Aufeinander folgende identische Zeichen**</td><td>0, also keine Prüfung</td></tr></tbody></table>

![Die sieben Zeilen der Kennwortregeln: der Haken „Kennwortregeln“ und darunter die Zahlenfelder Kennwortlänge, Ziffern, Kleinbuchstaben, Großbuchstaben, Sonderzeichen und Aufeinander folgende identische Zeichen.](https://hilfe.bildung-lsa.de/uploads/images/gallery/2026-08/sicherheit-kennwortregeln.png)

Eine geänderte Regel erreicht zunächst nur, wer sein Kennwort neu setzt. Vorhandene Kennwörter bleiben gültig, solange niemand sie anfasst. Wer die Regel auch für bestehende Konten durchsetzen will, schaltet *Kennwort beim Anmelden überprüfen* ein: Moodle prüft dann bei jeder Anmeldung und verlangt bei einem Verstoß erst eine Änderung, bevor es weitergeht.

## Kontosperrung nach Fehlversuchen

Ab Werk sperrt Moodle kein Konto, gleichgültig wie oft ein falsches Kennwort eingegeben wird. Drei Einstellungen ändern das:

<table id="bkmrk-einstellungbedeutung"><thead><tr><th>Einstellung</th><th>Bedeutung</th></tr></thead><tbody><tr><td>**Schwelle zur Kontosperrung**</td><td>Zahl der Fehlversuche, nach der gesperrt wird. Ab Werk *Nein*, also keine Sperrung. Zur Wahl stehen 3, 5, 7, 10, 20, 30, 50 und 100.</td></tr><tr><td>**Beobachtungszeit zur Kontosperrung**</td><td>Zeitfenster, in dem die Fehlversuche zusammenzählen. Bleibt es ohne weiteren Fehlversuch, beginnt die Zählung von vorn. Ab Werk 30 Minuten.</td></tr><tr><td>**Kontosperrdauer**</td><td>Wie lange die Sperre gilt. Danach hebt Moodle sie selbst auf. Ab Werk 30 Minuten.</td></tr></tbody></table>

![Die drei Einstellungen zur Kontosperrung: „Schwelle zur Kontosperrung“ mit dem Wert Nein, „Beobachtungszeit zur Kontosperrung“ und „Kontosperrdauer“ mit je 30 Minuten.](https://hilfe.bildung-lsa.de/uploads/images/gallery/2026-08/sicherheit-kontosperrung.png)

Eine Sperre lässt sich auf vier Wegen wieder lösen: durch Abwarten der Kontosperrdauer, über den Link **Nutzerkonto freischalten** in der E-Mail, die Moodle bei der Sperrung verschickt, durch Setzen eines neuen Kennworts über **Kennwort vergessen** und durch die Administration in der Nutzerliste über die Aktion **Konto freigeben**.

<p class="callout info">**Hinweis:** Eine Sperre ist etwas anderes als ein gesperrtes Konto im Sinne von *Konto deaktivieren*. Sie entsteht durch Fehlversuche, gilt befristet und lässt die Kontodaten unberührt.</p>

## Wichtige Einstellungen

- **Dateigrößen:** *Maximale Dateigröße* ist die Obergrenze für die gesamte Website. Sie begrenzt ihrerseits, was auf Kurs- und Aktivitätsebene überhaupt einstellbar ist, und ist selbst durch die PHP-Werte `post_max_size` und `upload_max_filesize` begrenzt. *Speicherplatz für meine Dateien* begrenzt die persönliche Dateiablage, ab Werk auf 100 MB.
- **Bearbeitungsdauer:** *Maximale Bearbeitungsdauer* legt fest, wie lange ein abgeschickter Beitrag in [Foren](https://hilfe.bildung-lsa.de/books/aktivitaten-materialien/page/forum), Glossaren und ähnlichen Aktivitäten noch geändert werden darf. Voreinstellung 30 Minuten, zur Wahl stehen 1 bis 60 Minuten.
- **Anmeldenamen:** *Anmeldenamen schützen* sorgt dafür, dass Moodle bei vergessenem Kennwort keine Rückschlüsse auf vorhandene Konten preisgibt. *Sonderzeichen in Anmeldenamen* erlaubt beliebige Kleinbuchstaben und Zeichen. Ausgeschaltet sind nur Ziffern, Buchstaben sowie `_`, `-`, `.` und `@` zulässig. *Anmeldenamen merken* legt den Anmeldenamen für 60 Tage in einem Cookie ab. Ab Werk steht es auf *optional*. Im Browser verhält sich *optional* wie *Ja*, den Unterschied wertet nur die Moodle-App aus, die die Entscheidung dort erfragt.
- **Profile:** *Rollen im Profil anzeigen* bestimmt, welche Rollen in Profilen und Teilnehmerlisten genannt werden. Ab Werk *Moderator/in,* *Trainer/in* und *Teilnehmer/in*. *Profilzugriff nur für eingetragene Nutzer/innen* verhindert, dass frisch angelegte Konten ohne Kurseinschreibung eine Profilbeschreibung hinterlegen. *Nutzerbilder deaktivieren* nimmt allen die Möglichkeit, ein Profilbild zu ändern.
- **E-Mail-Adresse:** *Bestätigung der E-Mail-Änderung* verlangt nach einer Adressänderung im Profil eine Bestätigung über die neue Adresse. Ab Werk eingeschaltet.
- **Eingebettete Inhalte:** *object/embed erlauben* gibt die HTML-Elemente `<object>` und `<embed>` für alle frei. *Trusted-Content-System aktivieren* nimmt Texte bestimmter Rollen von der Bereinigung aus. Dafür muss zusätzlich einer Rolle das Recht `moodle/site:trustcontent` erlaubt werden. Beide sind ab Werk ausgeschaltet.
- **Cron:** *Cron nur über die Befehlszeile ausführen* verhindert den Aufruf von `cron.php` im Browser. Bleibt der Browseraufruf nötig, schützt ihn *Kennwort für cron*: Der Wert wird als `?password=…` an die Adresse gehängt.
- **Kennwörter in Vorlagen:** *Einstellungen mit Kennwörtern* listet im Format `EINSTELLUNG@@PLUGIN` auf, was beim Erstellen einer Admin-Vorlage nicht mit exportiert wird. Eigene Zeilen kommen durch Kommas getrennt hinzu.

## Tipps

- Ändern Sie die Kennwortregeln nicht ohne *Kennwort beim Anmelden überprüfen*, wenn die Verschärfung einen Anlass hatte. Ohne diese Option bleiben genau die alten Kennwörter im Umlauf, wegen derer Sie die Regel angezogen haben.
- Eine Schwelle zur Kontosperrung von 3 trifft in der Praxis vor allem Personen, die sich vertippen. Mit 10 Versuchen in 30 Minuten bleibt der Schutz gegen das automatische Durchprobieren erhalten, und die Nachfragen im Sekretariat bleiben aus.
- Prüfen Sie nach einer Änderung an *Maximale Dateigröße*, was in den Kursen ankommt. Ein hoher Wert an dieser Stelle bedeutet nicht, dass überall große Dateien erlaubt sind. Maßgeblich bleibt der Wert im Kurs und in der jeweiligen Aktivität.