Auf unseren Servern läuft eine Schutzsoftware, die eingehende Anfragen auf Angriffsmuster prüft. Gestern hat sie 2447 Angriffe erkannt.
Blockiert hat sie davon null.
Das ist keine Fehlfunktion, sondern eine Einstellung: Die Software lief im Erkennungsmodus. Sie hat jeden Angriff sauber ins Protokoll geschrieben — und ihn dann durchgelassen. Wir haben das gestern Nachmittag geändert. Vorher haben wir uns angesehen, was da eigentlich ankommt, und der Befund lohnt eine eigene Betrachtung.
Wonach gesucht wird
Die Treffer verteilen sich nicht zufällig. Mit Abstand am häufigsten wurde nach zwei Dingen gesucht:
«.env» — eine Textdatei, in der viele Anwendungen ihre Zugangsdaten ablegen: Datenbank-Passwort, Schlüssel für Zahlungsdienste, Zugänge zu E-Mail-Versand und Cloud-Speicher. Alles in einer Datei, unverschlüsselt.
«.git» — das Verzeichnis, in dem die Versionsverwaltung den kompletten Quellcode samt Änderungsgeschichte aufbewahrt. Wer es lesen kann, bekommt die ganze Anwendung — oft samt der Zugangsdaten, die einmal versehentlich mit eingecheckt und später wieder entfernt wurden. In der Historie stehen sie weiter.
Allein auf diese beiden Muster entfielen 1937 Zugriffe von 233 verschiedenen Adressen. Dazu kamen Suchen nach hinterlegten AWS-Zugangsdaten, nach «.env.backup», nach der Datei «xmlrpc.php» in WordPress und nach Benutzerlisten über die WordPress-Schnittstelle.
Wie systematisch das ist
Am deutlichsten wurde es nach der Umstellung. In den ersten acht Minuten im Blockiermodus wies der Server sieben echte Angriffe ab. Gesucht wurde in dieser Reihenfolge:
«.env», dann «.env.local», dann «.env.production», dann «.env.staging», dann «.env.development», dann «.git/config».
Da probiert niemand von Hand herum. Da arbeitet ein Programm eine Liste ab — und zwar alle gängigen Namensvarianten, für den Fall, dass eine davon liegen geblieben ist.
Wozu das führt
Dass hinter solchen Scans eine Verwertungskette steht, ist keine Vermutung. Im April haben Sicherheitsforscher von The DFIR Report einen Server gefunden, den die Betreiber einer solchen Plattform offen im Netz stehen liessen. Was darin lag, ist bemerkenswert:
Ein Speicherbereich mit über 400 Archiven erbeuteter Zugangsdaten und mehr als 30'000 verschiedenen «.env»-Dateien — gesammelt in elf Tagen, vom 10. bis 21. April. Die Plattform läuft seit September 2025 und hat über 900 bestätigte Einbrüche auf dem Konto.
Die erbeuteten Zugänge reichten quer durch alles, was moderne Anwendungen benutzen: Cloud-Dienste, Zahlungsanbieter, Datenbanken, Messaging. Die grösste Einzelkategorie waren Zugänge zu KI-Diensten — die sind bares Geld wert, weil sich damit auf fremde Rechnung Rechenleistung beziehen lässt.
Und die Betreiber sichteten die Beute: Wo etwas zu holen war — bei Finanz-, Krypto- und Handelsunternehmen —, gruben sie tiefer.
Was das für eine normale Firmenwebsite heisst
Sie sind kein Ziel. Sie sind ein Eintrag in einer Liste.
Diese Scans richten sich nicht gegen Sie persönlich; sie laufen gegen alles, was erreichbar ist. Unsere eigene Website war gestern mit 22 Treffern dabei. Das ist der Normalzustand einer Adresse im Internet, und er lässt sich nicht abstellen.
Was sich abstellen lässt, ist der Erfolg. Denn all diese Anfragen suchen nach Dateien, die gar nicht öffentlich sein sollten und die dort nur liegen, weil sie jemand vergessen hat.
Zwei Minuten, die sich lohnen
Rufen Sie diese beiden Adressen in Ihrem Browser auf, mit Ihrer eigenen Domain:
Ihre-domain.ch/.env
Ihre-domain.ch/.git/config
Wenn Sie eine Fehlermeldung oder eine leere Seite sehen: gut. So soll es sein.
Wenn Sie Text sehen — Zeilen mit Namen wie DB_PASSWORD, API_KEY, SECRET —, dann handeln Sie heute noch. Die Datei muss aus dem öffentlichen Verzeichnis, und alle darin genannten Zugangsdaten müssen als kompromittiert gelten und ersetzt werden. Nicht, weil vielleicht jemand vorbeikam, sondern weil mit hoher Wahrscheinlichkeit längst jemand vorbeikam.
Dasselbe gilt für Dateien, die man beim Aufräumen anlegt: «.env.backup», «konfiguration.php.alt», «datenbank.sql» im Web-Verzeichnis. Ein Backup, das öffentlich erreichbar ist, ist kein Backup, sondern eine Einladung.
Und bei uns
Zur Einordnung, was unsere Umstellung leistet und was nicht.
Was sie tut: Bekannte Angriffsmuster werden jetzt abgewiesen, statt nur protokolliert. Die Scans nach «.env» und «.git» kommen nicht mehr durch.
Was sie nicht tut: Sie ersetzt keine ordentliche Konfiguration. Eine Schutzschicht, die bekannte Muster filtert, ist genau das — eine Schicht. Wer seine Zugangsdaten im öffentlichen Verzeichnis liegen hat, verlässt sich darauf, dass ein Filter jede Variante kennt, mit der jemand danach fragen könnte. Das ist keine gute Wette.
Und offen gesagt: Dass die Software monatelang mitgeschrieben und nichts abgewehrt hat, war ein Versäumnis. Wir schreiben es hier hin, weil dieselbe Einstellung bei vielen anderen genauso steht — die Standardeinstellung ist der Erkennungsmodus, und niemand schaut nach.
Falls Sie unsicher sind, ob bei Ihrer Website etwas offen liegt: Melden Sie sich, wir sehen nach. Das dauert wenige Minuten und kostet nichts.
Wie es weitergeht, wenn tatsächlich etwas passiert ist, steht in unserer Ersten Hilfe für gehackte Websites. Und warum Aktualisieren allein nicht genügt, haben wir gestern beschrieben.