Backup File Disclosure
Was ist Backup File Disclosure?
Backup File Disclosure bezeichnet eine Sicherheitslücke, bei der Sicherungskopien einer Website öffentlich über eine URL abrufbar sind. Solche Dateien können Quellcode, Datenbanken, Konfigurationen oder Zugangsdaten enthalten. Ursache sind meist Backups im öffentlich erreichbaren Webverzeichnis, vorhersehbare Dateinamen oder unzureichende Serverregeln.
Backup File Disclosure, deutsch: Offenlegung von Sicherungsdateien, entsteht häufig während Wartungsarbeiten. Ein Entwickler kopiert beispielsweise eine Konfigurationsdatei, bevor er sie ändert, und speichert die Kopie als config.php.bak. Liefert der Webserver diese Datei aus, kann jeder Besucher ihren Inhalt herunterladen.
Wie Backup File Disclosure entsteht
Eine Sicherungsdatei wird zum Sicherheitsrisiko, sobald sie innerhalb des öffentlich erreichbaren Webverzeichnisses liegt und der Server den Zugriff erlaubt. Eine Verlinkung ist dafür nicht erforderlich. Kennt ein Angreifer den Dateipfad oder errät einen typischen Namen, genügt eine direkte HTTP-Anfrage.
Besonders häufig entstehen solche Dateien durch manuelle Änderungen, automatische Sicherungsfunktionen, Deployment-Prozesse oder den Export einer Datenbank. Verdächtig sind unter anderem folgende Namensmuster:
Der verbreitete Denkfehler lautet, dass eine unbekannte URL ausreichend geschützt sei. Eine URL ohne internen Link bleibt jedoch öffentlich erreichbar. Automatisierte Scanner testen systematisch typische Dateinamen, Erweiterungen und Verzeichnisstrukturen. Prüfe deshalb nicht nur verlinkte Ressourcen, sondern auch bekannte Backup-Muster und Dateien aus früheren Deployments.
Welche Daten können offengelegt werden?
Der mögliche Schaden hängt vom Inhalt der Sicherungsdatei ab. Eine kopierte HTML-Datei enthält meist nur bereits sichtbaren Inhalt. Ein Datenbankexport oder eine Konfigurationsdatei kann dagegen Zugangsdaten, API-Schlüssel, interne Pfade, personenbezogene Informationen oder den vollständigen Quellcode einer Anwendung offenlegen.
| Dateityp | Möglicher Inhalt | Typisches Risiko |
|---|---|---|
| Konfigurationskopie | Datenbankzugang, Schlüssel, interne Hosts | Zugriff auf angebundene Systeme |
| Datenbankexport | Kunden-, Bestell- oder Kontodaten | Umfangreiche Datenoffenlegung |
| Quellcode-Archiv | Programmlogik und interne Schnittstellen | Gezielte Suche nach weiteren Schwachstellen |
| Alte Seitendatei | Frühere Inhalte und Metadaten | Veraltete oder vertrauliche Informationen |
Backup File Disclosure und SEO
Backup File Disclosure ist zuerst ein Sicherheitsproblem, kann aber auch SEO-Folgen haben. Suchmaschinen können erreichbare Sicherungsdateien entdecken, wenn externe Links, Verzeichnisauflistungen, Sitemaps oder andere öffentlich zugängliche Quellen auf die URLs hinweisen. Textbasierte Kopien können anschließend als veraltete oder doppelte Inhalte im Suchindex erscheinen.
Öffentlich erreichbare Backups können außerdem interne Informationen liefern, mit denen weitere Angriffe vorbereitet werden. Eine kompromittierte Website kann unerwünschte Seiten, Weiterleitungen oder schädliche Dateien ausliefern. Solche Veränderungen betreffen Crawling, Indexierung, Nutzervertrauen und damit die organische SEO-Sichtbarkeit.
Eine robots.txt-Sperre behebt Backup File Disclosure nicht. Die Datei steuert lediglich den Zugriff regelkonformer Crawler und bildet keine Zugriffskontrolle. Auch noindex schützt den Inhalt nicht vor einem direkten Abruf. Eine sensible Datei muss gelöscht, außerhalb des Webverzeichnisses gespeichert oder serverseitig gesperrt werden.
Unterschied zu Directory Listing
Der Unterschied zwischen Backup File Disclosure und Directory Listing liegt in der Art der Auffindbarkeit. Bei Backup File Disclosure ist eine Sicherungsdatei über ihre konkrete URL abrufbar. Beim Directory Listing zeigt der Webserver zusätzlich eine Liste der Dateien innerhalb eines Verzeichnisses an, wenn dort keine geeignete Indexdatei vorhanden ist.
Ein deaktiviertes Directory Listing verhindert Backup File Disclosure deshalb nicht. Angreifer können Dateinamen weiterhin erraten oder aus anderen Quellen ableiten. Umgekehrt erhöht eine aktivierte Verzeichnisauflistung das Risiko, weil vorhandene Archive, Exporte und Dateikopien unmittelbar sichtbar werden.
Backup-Dateien systematisch prüfen
Messbar ist Backup File Disclosure durch kontrollierte HTTP-Anfragen an bekannte Dateimuster und durch eine Bestandsaufnahme des Webverzeichnisses. Eine verdächtige Datei gilt als erreichbar, wenn der Server ihren Inhalt oder einen Download ausliefert. Ein Statuscode 200 allein reicht als Nachweis nicht aus, weil auch eine individuelle Fehlerseite mit 200 antworten kann.
Eine technische Prüfung sollte deshalb den Statuscode, den Inhaltstyp, die Dateigröße und den tatsächlichen Inhalt gemeinsam bewerten. Ergänzend zeigt ein technisches SEO-Audit, ob sensible oder veraltete URLs über interne Links, Sitemaps oder Indexierungsdaten auffindbar sind. Ein kostenloser SEO-Check kann weitere technische Auffälligkeiten der Website sichtbar machen.
So behebst du die Sicherheitslücke
Die sichere Lösung besteht darin, Backups vollständig aus dem öffentlich erreichbaren Bereich zu entfernen. Sicherungskopien gehören in einen getrennten Speicher mit eigener Zugriffskontrolle. Eine Umbenennung reduziert höchstens die Auffindbarkeit, verhindert aber keinen Abruf.
Nach der Bereinigung sollte die betroffene URL einen passenden Fehlerstatus wie 404 oder 410 zurückgeben. War die Datei in einer Suchmaschine sichtbar, kann zusätzlich eine vorübergehende Entfernung beantragt werden. Dauerhaft verschwindet die Ressource jedoch erst, wenn der Server sie nicht mehr ausliefert. Weitere technische Fehler lassen sich mit einem strukturierten Crawler-basierten Website-Audit erfassen.
Häufige Fragen zu Backup File Disclosure
Ist jede öffentlich erreichbare Backup-Datei gefährlich?
Das Risiko hängt vom Inhalt ab. Eine Kopie einer öffentlichen HTML-Seite ist meist weniger kritisch als eine Konfigurationsdatei, ein Datenbankexport oder ein vollständiges Quellcode-Archiv. Öffentlich benötigte Sicherungsdateien sollte es im Webverzeichnis grundsätzlich nicht geben.
Welche Dateiendungen weisen auf Backups hin?
Typische Hinweise sind .bak, .old, .orig, .save, .zip, .tar.gz, .sql und .dump. Auch Dateinamen mit einer Tilde oder Zusätzen wie backup, copy und old sollten geprüft werden.
Schützt die robots.txt vor dem Download einer Sicherungsdatei?
Nein. Die robots.txt gibt Crawlern Anweisungen, verhindert aber keinen direkten Zugriff über den Browser oder ein automatisiertes Skript. Vertrauliche Dateien benötigen eine serverseitige Zugriffssperre oder müssen außerhalb des Webverzeichnisses liegen.
Reicht es aus, die Backup-Datei umzubenennen?
Nein. Ein ungewöhnlicher Dateiname erschwert lediglich das Erraten der URL. Sobald der Name bekannt wird oder ein Scanner ihn findet, bleibt die Datei abrufbar. Die Sicherungsdatei muss entfernt oder wirksam geschützt werden.
Was muss nach einer Datenoffenlegung geändert werden?
Alle möglicherweise offengelegten Passwörter, API-Schlüssel, Datenbankzugänge und Sitzungsschlüssel sollten ersetzt werden. Zusätzlich müssen Zugriffsprotokolle geprüft und betroffene Systeme auf unbefugte Aktivitäten untersucht werden.
Kann Google eine Backup-Datei indexieren?
Ja, wenn Google die URL entdeckt und die Ressource abrufen sowie verarbeiten kann. Eine fehlende interne Verlinkung verhindert die Indexierung nicht zuverlässig. Nach der Bereinigung sollte die URL einen Fehlerstatus wie 404 oder 410 liefern.
Wenn du technische Risiken und ihre Auswirkungen auf die SEO-Sichtbarkeit strukturiert prüfen lassen möchtest, kannst du einen unverbindlichen Potenzialcheck anfragen.
Kostenlosen Potenzialcheck anfragen
Sie haben noch Fragen?
