Ihr PDF liegt öffentlich. Auch das, was niemand sehen soll

Am 24. August habe ich meine eigene Offerte im Netz gefunden. Nicht die Seite dazu, die war mit einem Code verschlossen. Sondern das PDF, das auf dieser Seite verlinkt war. Antwort des Servers: HTTP 200. Zwei IBAN drin, dazu alle Preise.

Ich schreibe das nicht gern auf. Aber es ist der Fehler, den ich bei Kunden am häufigsten sehe, und ich habe ihn selbst gemacht.

Warum das passiert

Eine Website besteht nicht aus Seiten, sondern aus Adressen. Jede Datei hat eine eigene. Die Seite /offerte/musterfirma/ ist eine Adresse, und das PDF unter /offerte-assets/musterfirma/angebot.pdf ist eine zweite, völlig unabhängige.

Wenn Sie die Seite schützen, schützen Sie die Seite. Das Dokument darunter weiss davon nichts. Es liegt in einem Ordner, den der Webserver ausliefert, und er liefert es aus, sobald jemand danach fragt. Ohne Passwort, ohne Rückfrage.

Bei mir war der Schutz sogar recht ordentlich gebaut: Die Seite selbst ist verschlüsselt und wird erst im Browser entschlüsselt, wenn jemand den Code eintippt. Nur endet dieser Schutz genau am Rand der Seite. Was daneben lag, ging ungefragt raus.

Der bittere Teil: Im Kopf der Datei stand seit dem ersten Tag ein Kommentar, der genau dieses Loch beschrieb. Ein Kommentar ist eben keine Bremse.

noindex ist keine Sperre

Die zweite Halbwahrheit, die ich oft höre: «Die Seite steht auf noindex, die findet niemand.»

noindex ist eine Bitte an Suchmaschinen, diese Seite nicht in die Trefferliste aufzunehmen. Google hält sich daran. Sonst hält sich daran niemand.

Wer die Adresse kennt, kommt hinein. Wer sie errät, auch. Und Adressen sind oft leicht zu raten, weil wir sie ordentlich benennen: Wenn /offerte/mueller/ existiert, ist /offerte/meier/ einen Versuch wert. Dazu kommen Wege, an die man nicht denkt: der Link, den jemand in einen Chat kopiert. Der Browser, der Adressen an einen Dienst zur Rechtschreibprüfung schickt. Das Verzeichnis eines Archivdienstes, das Ihre Seite von letztem Jahr aufbewahrt.

Eine Woche später habe ich in derselben Sache nochmals nachgemessen: Neun weitere Seiten lagen ohne jeden Schutz da. Alle hatten brav ihr noindex. Genützt hat es nichts, weil noindex nie dafür gedacht war.

Was bei Ihnen wahrscheinlich offen liegt

Gehen Sie im Kopf durch, was auf Ihrer Website als Datei verlinkt ist oder je verlinkt war:

Preislisten, die eigentlich nur für Wiederverkäufer gedacht waren
Offerten und Verträge, die Sie einem Kunden zum Herunterladen bereitgestellt haben
Anmeldeformulare, die ausgefüllt zurückkamen und versehentlich im selben Ordner landeten
Interne Listen, Telefonverzeichnisse, Organigramme mit Privatnummern
Die alte Preisliste von 2023, die niemand mehr verlinkt, die aber noch daliegt

Der letzte Punkt ist der häufigste. Ein Dokument verschwindet nicht, wenn Sie den Link entfernen. Es verschwindet, wenn Sie die Datei löschen.

Prüfen Sie es selbst, es dauert zehn Minuten

Erstens, der direkte Test. Rechtsklick auf einen Dokument-Link Ihrer Website, Adresse kopieren, ein privates Fenster öffnen, einfügen. Öffnet es sich, ist es öffentlich. Fertig, mehr braucht es nicht.

Zweitens, was Google von Ihnen hat. Tippen Sie in die Google-Suche:

site:ihrefirma.ch filetype:pdf

Das listet alle PDF Ihrer Domain, die Google kennt. Erschrecken Sie nicht, wenn dort mehr steht als erwartet. Dasselbe funktioniert mit filetype:doc, filetype:xls und filetype:zip.

Drittens, der Ordner selbst. Fragen Sie, wer Ihre Website betreut, nach einer Liste aller Dateien im öffentlichen Ordner. Nicht nach den verlinkten, nach allen. Der Unterschied zwischen beiden Listen ist genau das, was Sie vergessen haben.

Was Sie danach tun

Wenn Sie etwas finden, das nicht öffentlich sein sollte, hilft Umbenennen nicht und Verstecken auch nicht. Es gibt drei Wege, die wirklich etwas bewirken:

Löschen. Der beste. Braucht das Dokument wirklich niemand mehr, dann weg damit. Prüfen Sie danach die Adresse nochmals, manche Systeme behalten eine Kopie im Zwischenspeicher.

Hinter ein echtes Schloss. Auf den meisten Hostings gibt es einen Passwortschutz für ganze Ordner, der beim Server ansetzt und nicht erst im Browser. Fragen Sie danach, bei meinem Hosting gehört er dazu. Wichtig ist, dass das Passwort verlangt wird, bevor die Datei ausgeliefert wird, nicht nachher.

Als Anhang verschicken. Das ist die Lösung, für die ich mich entschieden habe. Ein Dokument, das für genau eine Person bestimmt ist, gehört nicht auf einen Server, auf dem es jeder abholen kann. Es reist als Anhang einer Mail, und danach existiert es dort nicht mehr.

Und wenn schon etwas passiert ist

Wenn Personendaten offen lagen, also Namen, Adressen, Geburtsdaten oder Gesundheitsangaben, ist das nach dem revidierten Datenschutzgesetz eine Verletzung der Datensicherheit. Sie müssen sie dem EDÖB melden, wenn ein hohes Risiko für die betroffenen Personen besteht. Das entscheiden Sie nicht aus dem Bauch, sondern anhand dessen, was in dem Dokument stand und wie lange es offen lag.

Bei Bankverbindungen sagen Sie Ihrer Bank Bescheid. Eine IBAN allein ist kein Zugang zu Ihrem Konto, aber sie ist der halbe Weg zu einer überzeugend gefälschten Rechnung in Ihrem Namen.

Was ich daraus gemacht habe

Ich habe eine Prüfung in meinen Bauablauf eingebaut, die jedes ausgelieferte Dokument öffnet und den Text darin liest. Findet sie eine Bankverbindung, bricht sie ab, egal wo die Datei liegt. Und jedes Dokument, das im Ordner einer geschützten Seite liegt, muss ausdrücklich als öffentlich freigegeben sein, sonst geht es gar nicht erst raus.

Die erste Fassung dieser Prüfung war übrigens selbst kaputt. Sie verliess sich auf ein Werkzeug, das bei einem PDF, das es nicht versteht, einfach leeren Text zurückgibt und «alles in Ordnung» meldet. Sie zeigte dann ein grünes Ergebnis, hatte aber nichts gemessen. Das ist die zweite Lehre aus der Sache, und sie gilt weit über PDF hinaus: Ein grüner Haken bedeutet nur dann etwas, wenn Sie wissen, was er gemessen hat.

Und genau darum entscheidet die Suchmaske diese Sache nicht. Wenn site:ihrefirma.ch filetype:pdf nichts zurückgibt, ist das kein Beleg dafür, dass Ihre Dokumente sicher liegen. Es ist der Beleg dafür, dass Google sie noch nicht aufgenommen hat, und eine Datei, auf die kein Link zeigt, nimmt es meist gar nie auf. Von den drei Prüfungen oben schaut nur die Ordnerliste wirklich nach.