Prüfpunkt software.fehlerseite.stacktraceOffene Türen und Abwehr
Was darf eine Fehlerseite Ihren Besuchern zeigen?
Ruft jemand eine Adresse auf, die es nicht gibt, oder geht auf dem Server etwas schief, antwortet die Website mit einer Fehlerseite. Im Betrieb sollte sie dem Besucher sagen, was er tun kann, und sonst nichts. Ist dagegen die Fehleranzeige der Entwicklung eingeschaltet, stehen dort Dateipfade, Programmzeilen und Versionen. Die Prüfung ruft einmal je Lauf eine Adresse ab, die es nicht gibt, und meldet, wenn die Antwort solche Programminterna zeigt, mit dem gefundenen Ausschnitt als Beleg.
Die Fehlermeldung trifft Kunden oft mitten in der Bestellung
Ein Programmfehler zeigt sich oft mitten in einem Vorgang, etwa beim Absenden des Warenkorbs. Der Kunde sieht Programmzeilen und weiß nicht, ob die Bestellung angekommen ist. Er bestellt ein zweites Mal, ruft an oder kauft woanders. Der Gestaltungsstandard der britischen Regierung verlangt für solche Seiten deshalb einen Satz dazu, was mit den eingegebenen Angaben geschehen ist, und einen Kontakt, wenn er weiterhilft.
Ausführliche Fehlermeldungen stehen auf der Risikoliste von OWASP
Die Sicherheitsgemeinschaft OWASP führt in ihrer Liste der größten Risiken für Webanwendungen von 2025 die Fehlkonfiguration auf Platz 2, und ausführliche Fehlermeldungen gehören dazu. Ihr Beispiel: Der Server zeigt Besuchern eine Aufrufkette, also die Programmstellen, durch die der Fehler lief. Daraus gehen die Versionen der eingesetzten Bausteine hervor, und zu diesen Versionen sind Lücken bekannt. Das BSI rät Website-Betreibern ebenso, detaillierte Fehlermeldungen abzuschalten, um keine Informationen preiszugeben.
Die Fehleranzeige ist ein Werkzeug der Entwicklung
Während eine Website gebaut wird, helfen ausführliche Fehlermeldungen: sie nennen die Datei, die Zeile und den Weg durch das Programm, auf dem der Fehler entstand. Im Betrieb liest dieselbe Meldung jeder, der die Seite aufruft. Sie verrät, wo die Website auf dem Server liegt, welche Programmiersprache und welche Version läuft und wie die Dateien heißen. Wer die Website angreifen will, bekommt so eine Karte des Systems, ohne selbst zu suchen. Manche Meldungen zeigen zusätzlich Abfragen an die Datenbank oder Teile der Konfiguration.
Gemessen wird die Antwort auf eine Adresse, die es nicht gibt
Die Prüfung ruft einmal je Lauf eine zufällige Adresse Ihrer Website auf, die es sicher nicht gibt. In der Antwort sucht sie nach den Mustern der üblichen Fehlermeldungen: PHP-Meldungen wie Fatal error, Warning, Notice oder Deprecated mit Dateipfad und Zeilennummer, ein Traceback von Python, Aufrufketten von JavaScript, Java oder C# mit Datei und Zeile sowie Exception in thread und Stack trace. Findet sie eines davon, zeigt der Bericht den Ausschnitt, in dem es steht. Diese Abfrage sieht für eine Firewall wie ein gewöhnlicher Tippfehler aus und gehört deshalb nicht zur Tiefenprüfung.
Fehler protokollieren, nicht anzeigen
Im Betrieb schreibt der Server Fehler in ein Protokoll, das nur Ihre Agentur liest, und zeigt dem Besucher eine eigene Fehlerseite: was passiert ist, in einem Satz, und wie es weitergeht, etwa mit einem Link zur Startseite oder zur Suche. Bei PHP heißt das display_errors aus und log_errors an; Frameworks und Content-Management-Systeme haben dafür einen Betriebs- oder Produktionsmodus, in dem der Debug-Modus aus ist. Die eigene Fehlerseite antwortet weiter mit dem passenden Status, also 404 für eine fehlende Seite.
Beispiele
PHP im Betrieb
display_errors = On
log_errors = Offdisplay_errors = Off
log_errors = On
error_log = /var/log/php/fehler.logDie Einstellungen stehen in der php.ini oder in den PHP-Einstellungen des Hosters. Der Pfad des Protokolls liegt außerhalb des Webverzeichnisses.
So gehen Sie es an
- Lassen Sie Ihre Agentur den Ausschnitt aus dem Bericht ansehen: welches Programm erzeugt die Meldung?
- Sie schaltet die Fehleranzeige im Betrieb ab und das Protokoll an, bei PHP mit display_errors und log_errors, bei Frameworks über den Produktionsmodus.
- Sie richtet eine eigene Fehlerseite ein, die in einem Satz sagt, was passiert ist, und auf Startseite oder Suche führt.
- Danach ruft sie selbst eine Adresse auf, die es nicht gibt, und prüft, ob die Antwort Status 404 nennt und keine Pfade zeigt.
- Lassen Sie die Website neu messen. Der Bericht zeigt, ob die Fehlerseite noch Programminterna enthält.
Tipps aus der Praxis
- Ohne eigene Angabe ist display_errors bei PHP eingeschaltet. Erst die Vorlage php.ini-production schaltet die Anzeige ab; lassen Sie nachsehen, welche Einstellung auf Ihrem Server wirklich gilt.
- Lassen Sie auf einer Testumgebung auch einen echten Programmfehler auslösen. Eine Adresse, die es nicht gibt, zeigt die 404-Seite; bei einem Programmfehler antwortet oft eine andere Seite.
- Legen Sie fest, wer das Fehlerprotokoll wann liest. Der britische Standard verlangt, alle Fehler zu protokollieren und schnell zu beheben, und dafür muss jemand hineinsehen.
Mehr zu diesem Thema
Weiter in der Cybersicherheit
- Verändert KI die Angriffe auf meine Website?Was Behörden und Lageberichte 2025 und 2026 über KI bei Angriffen messen, was Umfragen nur vermuten, und was sich an der Abwehr einer kleinen Website ändert.
- Was kostet ein Cyberangriff mein Unternehmen?Stillstand, verlorene Kunden, Benachrichtigungen, Sichtbarkeit in der Suche: was ein Angriff ein kleines Unternehmen in Österreich und Deutschland kostet.
- Was bedeutet es, wenn Ihr Server die Sitzung bei jedem Abruf neu vergibt?Zeigt ein Besucher seine Sitzung vor und bekommt trotzdem eine neue Kennung, gehen Anmeldung und Warenkorb leicht verloren. Die Prüfung testet das.
- Welche HTTP-Methoden braucht Ihre Website?Eine Website kommt meist mit GET, HEAD, POST und OPTIONS aus. Die Prüfung fragt den Server, welche Methoden er annimmt, und nennt TRACE, PUT oder DELETE.
Dieser Prüfpunkt gehört zur Cybersicherheit, Unterthema Offene Türen und Abwehr. Gemessen wird er im Prüfbereich Aktualität. Was die Prüfung insgesamt leistet, zeigt die Leistungsseite; wie ein Ergebnis zustande kommt, erklärt das Prüfverfahren.
