# Dateien, von denen du vergessen hast, dass sie öffentlich waren

Backups, Einstellungsdateien und Ordner, die auf einer Live-Website landen, und wie ein Scan sie findet, bevor es jemand anderes tut.

Wenn eine Website gebaut und hochgeladen wird, kann mehr mitkommen als die Seiten. Ein Datenbank-Backup, eine Einstellungsdatei, eine Verzeichnisliste oder eine Logdatei kann unter einer öffentlichen Adresse landen.

Niemand verlinkt sie, deshalb wirken sie versteckt. Sind sie aber nicht. Angreifer probieren gängige Dateinamen auf jeder Website aus, etwa `/backup.zip`, `/.env` oder `/.git/`.

## Was zurückbleibt

* **Einstellungsdateien** mit Passwörtern für die Datenbank oder den E-Mail-Dienst.
* **Backups** mit einer vollständigen Kopie deiner Daten.
* **Verzeichnislisten**, die jede Datei im Ordner zeigen, auch die vergessenen.
* **Fehler- und Debug-Seiten**, die zeigen, wie die Website intern funktioniert.
* **Quellcode-Verlauf** aus dem Werkzeug, mit dem dein Entwickler Änderungen speichert.

Auch deine `robots.txt` und deine Sitemap können darauf verweisen. Sie sagen Suchmaschinen, was sie auslassen oder lesen sollen, und jeder kann sie lesen.

## Was du tun kannst

Lösche die Datei von der Live-Website und prüfe dann, ob etwas darin ersetzt werden muss. Ein geleaktes Passwort muss geändert werden, nicht nur versteckt. Achte darauf, dass dein Upload- oder Build-Schritt nur die Website selbst veröffentlicht, und schalte Verzeichnislisten bei deinem Hoster aus.

Ein Scan prüft eine kurze, sorgfältig ausgewählte Liste gängiger Dateinamen und lädt nie mehr herunter, als nötig ist, um zu bestätigen, dass eine Datei existiert.

> **Try it**
>
> Öffne [deine Feststellungen](/app/findings) und suche nach allem zu offen liegenden Dateien.