.git-Verzeichnis öffentlich

Ein öffentlich erreichbares .git-Verzeichnis gibt nicht nur den aktuellen Code preis, sondern die gesamte Historie. Alles, was jemals committet und später gelöscht wurde — Schlüssel, Passwörter, interne Notizen — bleibt darin rekonstruierbar.

Genau deshalb ist es gefährlicher, als es aussieht: Viele Teams löschen ein versehentlich committetes Secret im nächsten Commit und halten das Problem für erledigt. In der Historie steht es weiter, und mit offenem .git-Verzeichnis kann es jeder auslesen.

Prüfen könnt ihr es selbst: Ruft eure-domain.de/.git/HEAD auf. Kommt dort eine Zeile wie „ref: refs/heads/main“ statt einer Fehlerseite, ist das Verzeichnis offen. Fix: .git von der Auslieferung ausschließen und alle je committeten Zugangsdaten rotieren.