Prüfpunkt software.exponiertOffene Türen und Abwehr
Welche Dateien dürfen auf dem Webserver nie abrufbar sein?
Beim Hochladen einer Website landen manchmal Dateien im Webverzeichnis, die nur für die Entwicklung gedacht sind: die Versionsverwaltung, eine Konfigurationsdatei mit Zugangsdaten oder eine Sicherungskopie. Liegen sie dort, kann jeder sie über ihre Adresse abrufen. Die Prüfung fragt am Ende des Laufs fünf solche Adressen ab und meldet jede, die mit dem erwarteten Inhalt antwortet. Als Beleg zeigt der Bericht Adresse, Status und das Zeichen, an dem die Datei erkannt wurde, nie ihren Inhalt.
Ein gestohlener Zugang kann Sie die Sichtbarkeit in der Suche kosten
Mit dem Zugang zur Website legt ein Fremder dort eigene Inhalte ab. Google kennzeichnet solche Seiten in den Suchergebnissen oder entfernt sie, und die Überprüfung nach der Bereinigung kann mehrere Wochen dauern. So lange finden neue Kunden Sie schlechter. Mit dem Zugang zum Mailserver verschickt er Betrugsmails unter Ihrer Adresse, und Ihre Kunden bekommen sie von Ihnen.
Jeder fünfte erkannte Einbruchsweg war eine Fehlkonfiguration
Die EU-Agentur ENISA wertete für 2025 unbefugte Zugriffe aus, bei denen sich der Weg hinein erkennen ließ. In 20,7 Prozent dieser Fälle waren es Fehlkonfiguration oder versehentliche Freigabe, das Muster einer offenen .env-Datei. Mit den Zugangsdaten daraus meldet sich ein Fremder an wie Ihre Agentur. Er braucht dafür keine Lücke, und ein Update ändert daran nichts. Die Zugangsdaten gelten, bis jemand sie wechselt.
In diesen Dateien stehen die Schlüssel zur Website
Eine Datei .env enthält oft das Passwort der Datenbank, Schlüssel für Zahlungsdienste oder den Zugang zum Mailserver. Über den Ordner .git lässt sich häufig der gesamte Quelltext der Website herunterladen, samt früherer Fassungen, in denen noch Passwörter standen. Eine Sicherungskopie wie wp-config.php.bak liefert der Server als Text aus, statt sie auszuführen, und zeigt damit die Zugangsdaten von WordPress. Programme, die das Netz absuchen, fragen genau diese Adressen bei jeder Website ab. Ein Fund hier ist deshalb dringend: wer die Datei vor Ihnen gefunden hat, kennt die Zugangsdaten bereits.
Gemessen werden fünf Adressen mit ihrem Inhalt
Die Abrufe gehören zur Tiefenprüfung: sie laufen als letzter Schritt eines Laufs, wenn Indexierung oder Aktualität beauftragt und die Tiefenprüfung für Ihre Website eingeschaltet ist. Abgefragt werden /.git/HEAD, /.env, /.DS_Store, /.svn/entries und /wp-config.php.bak. Eine Adresse zählt nur, wenn sie mit Status 200 antwortet und der Inhalt zur Datei passt, etwa eine Zeile ref: refs/ in .git/HEAD oder Einträge wie DB_HOST= in .env. Eine Fehlerseite mit Status 200 zählt also nicht. Der Bericht nennt je Fund die Adresse, den Status und nur den Treffer des Musters; Werte wie Passwörter übernimmt die Prüfung nie.
Sperren, Zugangsdaten wechseln, den Ablauf ändern
Zuerst sperrt Ihr Hoster die gefundenen Adressen am Webserver oder entfernt die Dateien aus dem Webverzeichnis. Weil niemand weiß, wer sie schon abgerufen hat, wechselt Ihre Agentur danach jedes Passwort und jeden Schlüssel, der darin stand: Datenbank, Mailserver, Zahlungsdienste, Schnittstellen. Zuletzt ändert sie den Weg, auf dem die Website auf den Server kommt, sodass .git, .env und Sicherungskopien gar nicht erst ins Webverzeichnis gelangen. Konfigurationsdateien mit Zugangsdaten liegen am besten außerhalb des Webverzeichnisses.
Beispiele
nginx: versteckte Dateien und Sicherungen sperren
location / {
try_files $uri $uri/ /index.php?$args;
}location ~ /\.(?!well-known/) { deny all; }
location ~* \.(bak|old|orig|swp)$ { deny all; }
location / {
try_files $uri $uri/ /index.php?$args;
}Die erste Zeile sperrt alles, was mit einem Punkt beginnt, außer /.well-known/, das etwa für Zertifikate gebraucht wird. Die Sperre ersetzt nicht den Wechsel der Zugangsdaten, wenn eine Datei schon offen lag.
So gehen Sie es an
- Lassen Sie die Adressen aus dem Bericht sofort sperren oder die Dateien aus dem Webverzeichnis entfernen.
- Wechseln Sie mit Ihrer Agentur jedes Passwort und jeden Schlüssel, der in den Dateien stand, auch wenn kein Missbrauch bekannt ist.
- Ihre Agentur ändert den Ablauf der Veröffentlichung so, dass .git, .env und Sicherungskopien nicht mehr auf den Server kommen.
- Sie legt eine Regel am Webserver an, die versteckte Dateien und Sicherungsendungen grundsätzlich sperrt.
- Lassen Sie die Website neu messen. Der Bericht zeigt, ob noch eine der fünf Adressen antwortet.
Tipps aus der Praxis
- Rufen Sie ihre-domain.at/.env und ihre-domain.at/.git/HEAD selbst im Browser auf. Eine Fehlermeldung ist das gewünschte Ergebnis.
- Sichern Sie vor jeder Änderung die Zugriffsprotokolle des Servers. Sie zeigen, ob und von wo die Datei abgerufen wurde.
- Führen Sie eine Liste, welcher Schlüssel wo steht und wer ihn ausstellt. Damit geht der Wechsel im Ernstfall schnell.
Mehr zu diesem Thema
Weiter in der Cybersicherheit
- Was kann ein Angriff auf meiner Website anrichten?Kartendaten aus dem Bestellformular, Besucher auf Betrugsseiten, 20 Millionen Pfund Bußgeld: echte Fälle mit Quelle und dem Merkmal, das den Weg zeigt.
- Verändert KI die Angriffe auf meine Website?Was Behörden und Lageberichte 2025 und 2026 über KI bei Angriffen messen, was Umfragen nur vermuten, und was sich an der Abwehr einer kleinen Website ändert.
- Was darf eine Fehlerseite Ihren Besuchern zeigen?Eine Fehlerseite mit Dateipfaden und Programmzeilen zeigt Angreifern den Aufbau des Servers. Die Prüfung ruft eine Adresse ab, die es nicht gibt.
- Was bedeutet es, wenn Ihr Server die Sitzung bei jedem Abruf neu vergibt?Zeigt ein Besucher seine Sitzung vor und bekommt trotzdem eine neue Kennung, gehen Anmeldung und Warenkorb leicht verloren. Die Prüfung testet das.
Dieser Prüfpunkt gehört zur Cybersicherheit, Unterthema Offene Türen und Abwehr. Gemessen wird er im Prüfbereich Aktualität. Was die Prüfung insgesamt leistet, zeigt die Leistungsseite; wie ein Ergebnis zustande kommt, erklärt das Prüfverfahren.
