Sichere Dateiablage im Webhosting: Was nicht in public_html gehört

Sichere Dateiablage im Webhosting: Was nicht in public_html gehört

Der Ordner public_html ist in vielen cPanel-Konten das öffentliche Webverzeichnis Ihrer Hauptdomain. Dateien, die dort liegen, können je nach Konfiguration über den Browser erreichbar sein. Genau deshalb ist es wichtig, dort nur Dateien abzulegen, die tatsächlich für Ihre Website benötigt werden.

Viele Sicherheitsprobleme entstehen, weil sensible Dateien versehentlich im öffentlich erreichbaren Bereich gespeichert werden: Datenbankexporte, ZIP-Backups, Konfigurationsdateien, alte Website-Kopien oder temporäre Dateien. Solche Dateien können vertrauliche Informationen enthalten und sollten nicht ungeschützt im Webverzeichnis liegen.

Warum public_html besonders sensibel ist

Der Zweck von public_html ist die öffentliche Auslieferung von Website-Dateien. HTML-Dateien, Bilder, CSS, JavaScript oder PHP-Anwendungen gehören dort in der Regel hin. Backups, interne Dokumente, Datenbankexporte und Konfigurationsdateien mit Zugangsdaten gehören dagegen nicht dauerhaft in diesen Bereich.

Auch wenn eine Datei nicht direkt verlinkt ist, kann sie unter Umständen erreichbar sein, wenn der Dateiname bekannt ist oder erraten wird. Besonders problematisch sind einfache Namen wie:

• backup.zip
• database.sql
• website-alt.zip
• dump.sql
• config.php.bak
• .env

Diese Dateien sollten nicht in public_html liegen

Backups sicher speichern

Backups sind wichtig, sollten aber nicht dauerhaft im öffentlich erreichbaren Website-Ordner liegen. Ein vollständiges ZIP-Backup kann Quellcode, Konfigurationsdateien, Uploads und manchmal auch Datenbankexporte enthalten.

Empfohlener Ablauf:

1. Backup erstellen.
2. Backup auf den lokalen Computer herunterladen.
3. Backup zusätzlich an einem sicheren Ort speichern.
4. Backup-Datei vom Webserver entfernen, wenn sie dort nicht mehr benötigt wird.

Wenn Sie Backups auf dem Server aufbewahren müssen, sollten diese nach Möglichkeit ausserhalb des öffentlichen Webverzeichnisses liegen und nicht direkt per Browser erreichbar sein.

Datenbankexporte besonders schützen

Dateien mit der Endung .sql enthalten häufig vollständige Datenbankexporte. Bei CMS- oder Shop-Systemen können darin Seiteninhalte, Benutzerinformationen, E-Mail-Adressen, Einstellungen oder andere vertrauliche Daten enthalten sein.

Alte Installationen entfernen

Alte Website-Versionen, Testinstallationen und Entwicklungsordner sind nicht nur Speicherfresser, sondern auch Sicherheitsrisiken. Veraltete CMS-Versionen, Plugins oder Themes können bekannte Sicherheitslücken enthalten.

Prüfen Sie regelmässig Ordner wie:

• old
• backup
• test
• dev
• staging
• wordpress-alt

Wenn diese Installationen nicht mehr benötigt werden, sichern Sie sie bei Bedarf lokal und entfernen Sie sie vom Server.

Zugriff per .htaccess blockieren?

In manchen Fällen kann der Zugriff auf bestimmte Dateitypen zusätzlich per .htaccess blockiert werden. Das kann sinnvoll sein, ersetzt aber keine saubere Dateiablage.

<FilesMatch "\.(sql|bak|old|zip|tar|gz|env)$">
    Require all denied
</FilesMatch>

Diese Regel kann den direkten Zugriff auf bestimmte Dateiendungen blockieren. Trotzdem sollten solche Dateien gar nicht erst dauerhaft im öffentlichen Webverzeichnis liegen.

Best Practices

• Legen Sie nur öffentlich benötigte Website-Dateien in public_html ab.
• Entfernen Sie alte ZIP- und Backup-Dateien nach dem Download.
• Speichern Sie Datenbankexporte nicht dauerhaft im Webverzeichnis.
• Bewahren Sie Zugangsdaten und Konfigurationsdateien nicht öffentlich erreichbar auf.
• Entfernen Sie alte Testinstallationen.
• Prüfen Sie regelmässig grosse und ungewöhnliche Dateien.
• Nutzen Sie Zugriffsschutz nur ergänzend, nicht als Ersatz für sichere Ablage.