Dateien, von denen du vergessen hast, dass sie öffentlich waren

Wenn eine Website gebaut und hochgeladen wird, kann mehr mitkommen als die Seiten. Ein Datenbank-Backup, eine Einstellungsdatei, eine Verzeichnisliste oder eine Logdatei kann unter einer öffentlichen Adresse landen.

Niemand verlinkt sie, deshalb wirken sie versteckt. Sind sie aber nicht. Angreifer probieren gängige Dateinamen auf jeder Website aus, etwa /backup.zip, /.env oder /.git/.

Was zurückbleibt

• Einstellungsdateien mit Passwörtern für die Datenbank oder den E-Mail-Dienst.
• Backups mit einer vollständigen Kopie deiner Daten.
• Verzeichnislisten, die jede Datei im Ordner zeigen, auch die vergessenen.
• Fehler- und Debug-Seiten, die zeigen, wie die Website intern funktioniert.
• Quellcode-Verlauf aus dem Werkzeug, mit dem dein Entwickler Änderungen speichert.

Auch deine robots.txt und deine Sitemap können darauf verweisen. Sie sagen Suchmaschinen, was sie auslassen oder lesen sollen, und jeder kann sie lesen.

Was du tun kannst

Lösche die Datei von der Live-Website und prüfe dann, ob etwas darin ersetzt werden muss. Ein geleaktes Passwort muss geändert werden, nicht nur versteckt. Achte darauf, dass dein Upload- oder Build-Schritt nur die Website selbst veröffentlicht, und schalte Verzeichnislisten bei deinem Hoster aus.

Ein Scan prüft eine kurze, sorgfältig ausgewählte Liste gängiger Dateinamen und lädt nie mehr herunter, als nötig ist, um zu bestätigen, dass eine Datei existiert.