Upload-Bereinigung
Upload-Bereinigung entfernt aus einer hochgeladenen Datei alles, was ein Browser ausführen könnte — bevor sie gespeichert wird. Sichtbar bleibt die Datei unverändert.
Manche Dateiformate sind mehr als ein Bild. Sie dürfen laut Format-Definition Anweisungen enthalten, die ein Browser beim Anzeigen ausführt. Solange die Datei aus vertrauter Quelle stammt, ist das harmlos; sobald jemand anderes hochladen kann, ist es ein offener Weg in die eigene Seite.
Die Bereinigung setzt deshalb vor dem Speichern an, nicht erst beim Anzeigen. Aus der Datei werden ausführbare Bestandteile und Verweise nach außen entfernt, das Dargestellte bleibt erhalten. Wer das Ergebnis ansieht, bemerkt keinen Unterschied — was fehlt, war ohnehin nie für das Auge gedacht.
Wichtig ist der Zeitpunkt: Eine Prüfung, die erst im Browser des Besuchers stattfindet, kommt zu spät und lässt sich umgehen. Und sie gehört an jede Stelle, an der Dateien hereinkommen — nicht nur an die offensichtliche im Redaktionsbereich, sondern auch an Formulare mit Anhang.
Häufig gestellte Fragen.
Sind hochgeladene Dateien auf meiner Website ein Risiko?
Kurz: Ja, hochgeladene Dateien können ein Risiko sein — und deshalb werden sie bei uns beim Speichern geprüft und bereinigt, nicht erst beim Anzeigen.
Der Klassiker ist das Logo im SVG-Format. Ein SVG ist kein Bild aus Bildpunkten, sondern ein Textdokument mit Anweisungen — und diese Anweisungen können auch Skripte enthalten. Wird so eine Datei unter deiner eigenen Adresse ausgeliefert und direkt aufgerufen, läuft der enthaltene Code im Kontext deiner Domain.
Bei btlabs Core gilt deshalb ein Erlaubnislisten-Prinzip: Beim Hochladen werden nur unbedenkliche Elemente und Attribute durchgelassen, alles andere fliegt raus. Nicht erlaubte Dateitypen werden gar nicht erst angenommen.
Was du selbst tun kannst: Lade Logos und Grafiken aus Quellen hoch, denen du vertraust, und frag bei jedem Dienstleister nach, ob Dateien beim Hochladen geprüft werden — oder ob einfach alles angenommen wird, was hineinpasst.
Muss ich mich um Wartung, Backups oder Sicherheit kümmern?
Nein. EU-Hosting, isoliert pro Partner — Backups und Sicherheits-Patches laufen automatisch im Hintergrund. Größere System-Updates klären wir gemeinsam, wenn sie anstehen.
Ist das DSGVO-konform?
Ja. Hosting in der EU, isoliert pro Partner, cookieless. Auskunft und Löschung gehen auf Knopfdruck.