Stell dir vor, du hast ein Geschäft. Der Laden ist sauber, die Alarmanlage funktioniert, die Kasse ist gesichert. Aber im Hinterhof liegt ein Ordner mit allen Kontonummern, Passwörtern und Kundendaten — unverschlossen, für jeden sichtbar, der sich die Mühe macht hinzulaufen. Klingt absurd? Genau das passiert gerade auf tausenden deutschen Websites.
Was sind "vergessene Dateien"?
Wenn eine Website gebaut wird — egal ob mit WordPress, einem Online-Shop-System oder komplett individuell — entstehen dabei Dateien, die nur für den internen Gebrauch gedacht sind. Konfigurationsdateien, in denen steht, wie sich die Website mit ihrer Datenbank verbindet. Sicherungskopien, die bei einem Update angelegt werden. Entwickler-Verzeichnisse, die den gesamten Quellcode enthalten.
Diese Dateien gehören auf den Server — aber sie sollten niemals öffentlich aufrufbar sein. Der Webserver sollte so eingestellt sein, dass er diese Dateien nicht ausliefert. Aber genau das geht schief. Öfter als du denkst.
Welche Dateien sind besonders gefährlich?
Kritische Dateien
.env-Dateien: Der Jackpot für jeden Angreifer. In dieser Datei stehen typischerweise Datenbank-Zugangsdaten, geheime Schlüssel für verbundene Dienste, E-Mail-Passwörter und API-Schlüssel für Zahlungsanbieter. Wer diese Datei hat, hat praktisch den Generalschlüssel zu deinem gesamten System.
wp-config.php.bak: Wenn WordPress aktualisiert wird, legen manche Hosting-Anbieter oder Plugins automatisch eine Sicherungskopie der Konfigurationsdatei an. Das Problem: Die Sicherungskopie wird vom Server als normale Textdatei ausgeliefert — im Gegensatz zur originalen .php-Datei, die serverseitig verarbeitet wird. Ergebnis: Alle Zugangsdaten stehen im Klartext für jeden lesbar im Browser.
backup.sql / dump.sql: Datenbank-Exporte, die bei Migrationen oder als Sicherung angelegt werden. Enthalten potenziell alle Kundendaten, Bestellungen, E-Mail-Adressen und — je nach System — auch Passwort-Hashes.
Bedenkliche Dateien
.git/config: Verrät die Adresse deines Code-Repositories. In manchen Fällen sind darin sogar Zugangsdaten hinterlegt. Und wer Zugang zum Repository hat, hat Zugang zum gesamten Quellcode — inklusive aller hart kodierten Passwörter und Schlüssel.
phpinfo.php: Eine Datei, die Entwickler gerne zum Testen anlegen und dann vergessen zu löschen. Sie zeigt dem Browser alle Server-Einstellungen, die PHP-Version, installierte Module und den genauen Dateipfad auf dem Server. Für einen Angreifer ist das wie eine Landkarte deines Systems.
.DS_Store: Eine Datei, die macOS automatisch in jedem Ordner anlegt. Sie verrät die komplette Verzeichnisstruktur — und damit alle Dateinamen, die in einem Ordner liegen.
Wie finden Angreifer diese Dateien?
Nicht manuell. Automatische Programme durchkämmen rund um die Uhr das Internet und probieren bei jeder Website eine Liste bekannter Dateipfade aus: /.env, /.git/config, /wp-config.php.bak, /phpinfo.php, und so weiter. Das dauert wenige Millisekunden pro Website. Diese Programme laufen 24 Stunden am Tag, 7 Tage die Woche. Sie brauchen keine Pause, kein Gehalt, und sie vergessen nie.
Wenn ein Programm eine offene Datei findet, wird die Website automatisch in eine Liste eingetragen. Diese Listen werden in einschlägigen Foren geteilt oder direkt von Angreifern genutzt. Zwischen dem Zeitpunkt, an dem die Datei gefunden wird, und dem ersten Angriffsversuch vergehen manchmal nur Minuten.
Warum passiert das so oft?
Nicht aus Nachlässigkeit. Sondern weil die meisten Website-Betreiber gar nicht wissen, dass diese Dateien existieren. Der Webdesigner hat die Website gebaut, alles funktioniert, der Kunde ist zufrieden. Niemand hat daran gedacht zu prüfen, ob der Server Konfigurationsdateien ausliefert. Und der Hosting-Anbieter? Der ist für den Server zuständig, nicht für das, was du darauf hochlädst.
Es ist eine Lücke in der Verantwortlichkeit: Der Entwickler denkt, das Hosting kümmert sich darum. Das Hosting denkt, der Entwickler hat alles richtig konfiguriert. Und der Website-Betreiber weiß nicht einmal, dass es dieses Problem gibt.
Was du jetzt tun kannst
Das Gute: Die Lösung ist einfach und dauert weniger als 5 Minuten.
Schritt 1: Prüfen. Unser Datei-Sicherheits-Check testet deine Website in Sekunden gegen alle bekannten Dateipfade. Du gibst nur deine Adresse ein — den Rest machen wir.
Schritt 2: Löschen. Wenn wir eine offene Datei finden, ist die einfachste Lösung: lösch sie. Eine .env-Datei im öffentlichen Verzeichnis hat nichts verloren. Eine phpinfo.php auf einem Produktiv-Server auch nicht. Datenbank-Backups gehören in einen gesicherten Ordner, nicht ins Web-Verzeichnis.
Schritt 3: Absichern. Für den Fall, dass du eine Datei nicht löschen kannst (weil die Anwendung sie braucht), kannst du den Zugriff über eine Server-Regel blockieren. Bei Apache-Servern reichen dafür zwei Zeilen in der .htaccess-Datei. Unser Tool zeigt dir die fertigen Regeln zum Kopieren.
Ist deine Website betroffen?
Unser kostenloser Datei-Sicherheits-Check prüft über 15 bekannte Dateipfade in wenigen Sekunden.
Jetzt prüfenWas du deinem Webdesigner sagen solltest
Wenn du die Erstellung und Pflege deiner Website an einen Dienstleister ausgelagert hast, schick ihm den Prüfbericht von unserem Tool. Das ist kein Vorwurf — es ist eine sachliche Information über den Zustand deiner Website. Ein guter Dienstleister wird das in 10 Minuten beheben und dir danken, dass du ihn darauf aufmerksam gemacht hast.
Und wenn er sagt "Das ist nicht schlimm" — dann weißt du, dass es Zeit für einen neuen Webdesigner ist.