Was der Quellcode Ihrer Website verrät:
was Fremde mit einem Rechtsklick sehen

Was der Quelltext ist – und wer ihn sieht

Wenn ein Browser eine Website anzeigt, lädt er zuvor eine Textdatei vom Server: die Bauanleitung der Seite. Sie enthält die Struktur, Verweise auf Bilder und Skripte, technische Anweisungen – und alles, was die Entwicklung dort hinterlassen hat. Diese Datei wird nicht versteckt übertragen, sie ist die Grundlage jeder Darstellung. Genau deshalb kann sie jeder einsehen.

Wichtig ist die Unterscheidung zwischen sichtbarem Inhalt und ausgeliefertem Inhalt. Ein Text, der erst nach einem Klick erscheint, ein Hinweis, der für Besucher ausgeblendet ist, eine Notiz in einem Kommentar – auf der Seite sieht man davon nichts, im Quelltext steht es trotzdem. Wer eine Information für „nicht sichtbar" hält, verwechselt mitunter „ausgeblendet" mit „nicht vorhanden".

Es lohnt sich, kurz zu unterscheiden, wer hier liest. Menschliche Besucher tun es selten. Aber Mitbewerber, die einen Auftritt einschätzen wollen, automatische Programme, die das Netz nach verwertbaren Mustern durchsuchen, und Bewerber, die sich ein Bild machen, werfen durchaus einen Blick darunter. Für keinen von ihnen braucht es mehr als die Bordmittel des Browsers.

Was die Technik über sich selbst preisgibt

Die meisten Websites verraten, womit sie gebaut wurden – meist ungefragt. Das eingesetzte System hinterlässt charakteristische Spuren: ein Meta-Tag, das es benennt und oft eine Versionsnummer mitführt, wiederkehrende Datei- und Verzeichnispfade, typische Skript-Namen oder ein Hinweis in den technischen Antwort-Daten, die der Server zu jeder Seite mitschickt.

Für sich genommen ist das keine Katastrophe. Problematisch wird es in Kombination mit der Versionsnummer. Wird eine veraltete Version offen ausgewiesen, ist für jeden, der die zugehörigen bekannten Schwachstellen kennt, sofort ersichtlich, wo ein Einstieg lohnen könnte. Die Information „dieses System, diese Version" ist damit kein technisches Detail, sondern ein Wegweiser.

Daraus folgt nicht, die Versionsnummer einfach zu entfernen und sich sicher zu fühlen. Das Verstecken erschwert nur die schnelle Einordnung – der eigentliche Schutz liegt darin, die eingesetzte Software aktuell zu halten, damit eine erkannte Version eben kein offenes Tor ist. Warum laufende Aktualisierung kein Komfort, sondern Grundsicherung ist, haben wir im Beitrag warum eine Website laufende Pflege braucht ausführlicher eingeordnet.

Vergessene Kommentare und interne Notizen

In der Entwicklung sind Kommentare nützlich: kurze Hinweise im Quelltext, die für den Browser unsichtbar bleiben und nur der Verständigung dienen. Das Problem beginnt, wenn sie nach dem Livegang stehen bleiben. Dann liest sie nicht mehr das Team, sondern jeder, der hineinschaut.

Was sich dort typischerweise ansammelt

• Auskommentierte alte Inhalte: frühere Texte, Preise oder Aktionen, die nur „vorübergehend" entfernt wurden
• Interne Notizen: Hinweise an Kollegen, offene Punkte, To-do-Vermerke mitten im Code
• Namen und Kürzel: wer woran gearbeitet hat – mitunter ein direkter Hinweis auf Beteiligte und Dienstleister
• Technische Behelfslösungen: Kommentare, die offen beschreiben, wo etwas „provisorisch" gelöst wurde
• Vergessene Test-Bausteine: Reste aus der Entwicklung, die nie sauber entfernt wurden

Einzeln wirkt jede Zeile belanglos. In Summe entsteht ein Lagebild: wer beteiligt war, wie die Seite gewachsen ist, wo die Übergänge unsauber sind. Genau dieses Lagebild liefert man niemandem freiwillig – es entsteht nur, weil aufzuräumen vergessen wurde.

Was in Bildern und Dokumenten mitreist

Der Quelltext ist nur eine Quelle. Die zweite sind die Dateien selbst. Bilder und Dokumente tragen Zusatzdaten in sich, die mit dem sichtbaren Inhalt nichts zu tun haben – und die mit der Datei veröffentlicht werden, sobald sie ungefiltert auf die Website gelangt.

Fotos: Aufnahme-Daten

Viele Kameras und Smartphones speichern im Bild, wann es entstand, mit welchem Gerät oder welcher Software – und bei aktivierter Ortung die genauen Koordinaten des Aufnahmeorts. Ein Produktfoto, das versehentlich die Privatadresse des Fotografen preisgibt, ist kein konstruierter Sonderfall, sondern eine wiederkehrende Stolperstelle.

Dokumente: Bearbeiter und Pfade

Dateien zum Herunterladen speichern intern oft, wer sie zuletzt bearbeitet hat, mit welcher Software – und mitunter den vollständigen Pfad, unter dem sie auf einem internen Rechner lag. Aus einem solchen Pfad lassen sich Benutzernamen, Ordnerstrukturen und gelegentlich interne Projektbezeichnungen ablesen, die nicht für die Öffentlichkeit gedacht waren.

Die gute Nachricht: All diese Zusatzdaten lassen sich vor dem Hochladen entfernen. Der Aufwand ist gering, wenn es zur Routine gehört – und deutlich höher, wenn man eine bereits veröffentlichte Bibliothek nachträglich säubern muss.

Sichtbare Pfade, Test-Versionen und Verzeichnisse

Die dritte Ebene betrifft die Struktur dahinter: Adressen und Verzeichnisse, die erreichbar sind, ohne dass je ein Menü auf sie zeigt. Hier sammeln sich die Punkte, die im Alltag am leichtesten übersehen werden.

Offene Verzeichnisse

Ist ein Ordner auf dem Server falsch konfiguriert, zeigt er beim direkten Aufruf eine Liste seines gesamten Inhalts – Dateien, die nie für die Öffentlichkeit gedacht waren, säuberlich aufgereiht. Das ist kein Angriff, sondern eine Einstellung, die schlicht nicht gesetzt wurde.

Test- und Vorschau-Versionen

Während der Entwicklung entsteht oft eine zweite, nicht öffentliche Fassung der Seite. Bleibt ein Verweis darauf im Quelltext stehen oder ist sie ohne Schutz erreichbar, lässt sich dort häufig ein unfertiger Stand einsehen – inklusive Inhalten, die auf der echten Seite längst geändert wurden. Eine saubere Trennung gehört zu jedem Projekt; mehr dazu, wie ein professionelles Setup mit solchen Fällen umgeht, im Beitrag woran Sie erkennen, dass Ihr Website-Setup standhält.

Technische Hilfsdateien und Quellkarten

Manche Dateien sollen Suchprogramme und Werkzeuge unterstützen und nennen dabei interne Pfade oder Bereiche, die man sonst nicht ohne Weiteres fände. Ähnlich verhält es sich mit sogenannten Quellkarten, die zur Fehlersuche in Skripten dienen: Bleiben sie im Live-Betrieb erreichbar, geben sie den ursprünglichen, gut lesbaren Aufbau des Programmcodes preis.

E-Mail-Adressen und personenbezogene Daten

Eine im Klartext im Quelltext hinterlegte E-Mail-Adresse ist für Menschen bequem – und für automatische Sammelprogramme ebenso. Genau diese Programme durchsuchen das Netz gezielt nach Adressen, die anschließend für Werbe-Wellen, Spam und gezielte Täuschungsversuche genutzt werden.

Heikler als eine allgemeine Kontaktadresse sind interne Adressen, die versehentlich auftauchen: in einem Kommentar, in den Metadaten eines Dokuments, in einer Konfiguration. Sie liefern nicht nur einen Verteiler, sondern auch Anhaltspunkte über interne Zuständigkeiten – ein nützlicher Baustein für jemanden, der eine gefälschte E-Mail mit Ihrer Firmen-Adresse glaubwürdig wirken lassen will.

Dazu kommen versteckte Formularfelder und Verarbeitungshinweise. Was ein Formular im Hintergrund mitschickt oder an welche Adresse es eine Anfrage weiterleitet, steht häufig offen im Quelltext. Auch hier gilt: nichts davon ist ein Einbruch – es ist die Folge davon, dass man nicht geprüft hat, was man ausliefert.

Was sich aufräumen lässt – und in welcher Reihenfolge

Der gute Teil dieser Bestandsaufnahme: Fast alles davon ist mit überschaubarem Aufwand zu beheben. Es geht nicht um teure Technik, sondern um Ordnung und eine kleine Routine. Eine sinnvolle Reihenfolge, vom größten Hebel zum Feinschliff:

1. Software aktuell halten: der wichtigste Punkt. Eine erkannte Version schadet nur, wenn sie veraltet ist. Aktualität nimmt der Technik-Signatur ihre Gefahr.
2. Fehlermeldungen nach außen abschalten: im Live-Betrieb gehört nur eine neutrale Fehlerseite nach außen, keine technischen Details.
3. Test- und Vorschau-Versionen trennen: nicht öffentlich erreichbar, keine Verweise im Quelltext, sauber vom Live-Stand getrennt.
4. Metadaten-Schritt einführen: Bilder und Dokumente vor dem Hochladen von Zusatzdaten befreien – als fester Schritt im Redaktionsablauf.
5. Quelltext entrümpeln: Kommentare, interne Notizen und vergessene Test-Bausteine vor dem Livegang entfernen.
6. Verzeichnisse und Adressen prüfen: offene Ordner schließen, E-Mail-Adressen nicht ungeschützt im Klartext hinterlegen.

Diese Punkte gehören nicht in eine einmalige Aktion, sondern in zwei feste Momente: vor jeder Veröffentlichung und in die jährliche Wartung. Wer eine solche regelmäßige Prüfung ohnehin aufsetzt, findet eine kompakte Orientierung im Beitrag zum Jahres-Audit für Ihre Website.

Die fünf häufigsten Durchrutscher

Quer durch Branchen und Technik wiederholen sich dieselben Muster. Keiner dieser Punkte entsteht durch einen Angriff – jeder durch einen vergessenen Handgriff.

Punkte 1 bis 3 betreffen die Sicherheit, 4 und 5 vor allem die Vertraulichkeit – beide entstehen durch fehlende Routine, nicht durch fehlende Technik.