Verborgener Text und XML-Kommentare

Bei Dateien, die veröffentlicht werden, reicht es nicht, nur die auf dem Bildschirm sichtbaren Informationen zu prüfen.

In SVG-, HTML- und XML-artigen Dateien können nicht angezeigte Texte oder Kommentare bleiben.

Auch wenn etwas optisch leer wirkt, können in der Datei Arbeitsnotizen, Text vor dem Löschen, Namen, Firmennamen, interne URLs und Vorgangsnamen bleiben.

Bei Anonymität muss man nicht nur sichtbare Informationen prüfen, sondern auch Informationen, die lesbar sind, wenn jemand sie lesen will.

Dieser Artikel ordnet, wie verborgener Text und XML-Kommentare zum Risiko werden und was vor Veröffentlichung zu prüfen ist.

Was verborgener Text ist

Verborgener Text ist Textinformation, die in einer Datei bleibt, obwohl sie auf dem Bildschirm nicht sichtbar oder schwer bemerkbar ist.

Dazu gehören transparenter Text, aus dem sichtbaren Bereich verschobener Text, ausgeblendete Ebenen, extrem kleiner Text und per CSS versteckte Elemente.

Verborgener Text bleibt auch ohne böse Absicht.

Arbeitsnotizen, vermeintlich gelöschte Namen, alte Titel und Firmennamen in Vorlagen können in Veröffentlichungsdateien bleiben.

Was XML-Kommentare sind

XML-Kommentare sind Notizen, die in Dateien geschrieben werden können.

Normalerweise erscheinen sie nicht in der Browseransicht. Wenn man die Datei öffnet, sind sie aber lesbar.

Sie haben eine Form wie <!-- comment --> und werden in SVG, HTML, XML und Ähnlichem genutzt.

Kommentare sind in Entwicklung und Produktion praktisch.

In Veröffentlichungsdateien können aber nicht angezeigte Informationen von Dritten gelesen werden.

Warum das mit Anonymität zusammenhängt

Verborgener Text und Kommentare können direkt Person oder Zugehörigkeit zeigen.

Außerdem verbinden sie sich auch dann mit anderen Informationen, wenn sie allein schwach sind. Dateiname, postende Person, Veröffentlichungszeit, Bildinhalt, URL und frühere Beiträge engen Kandidaten ein.

Unsichtbare Informationen werden von der postenden Person leicht übersehen.

Gerade deshalb gehören sie in die Vorabprüfung.

Prüfmethode

Grundlegend prüft man, indem man die Datei als Text öffnet.

SVG, HTML und XML lassen sich in einem Texteditor öffnen. Man sucht nach Namen, Firmennamen, Schulnamen, E-Mail-Adressen, URLs, Kommentarzeichen, alten Titeln und internen Begriffen.

Suchbegriffe dürfen nicht nur der eigene Name sein.

Auch Firmenname, Abteilungsname, Schulname, Projektname, alter Handle, E-Mail, Ortsname und interne Begriffe werden geprüft.

Nach Werkzeugen manuell prüfen

Optimierungs- oder Entfernungswerkzeuge können unnötige Kommentare oder Metadaten verringern.

Wenn man Dateien in Optimierungs- oder Entfernungsdienste im Web eingibt, können Dateiinhalt und Zugriffsinformationen nach außen gelangen. Bei Veröffentlichungen, die Anonymität brauchen, prüft man zuerst lokal.

Man darf sich aber nicht auf Werkzeuge allein verlassen.

Werkzeuge ändern ihr Verhalten je nach Einstellung. Sie entscheiden nicht vollständig aus Anonymitätsperspektive, welche Elemente bleiben und welche entfernt werden sollten.

Bei Veröffentlichungen, die Anonymität brauchen, öffnet und prüft man die Datei nach dem Werkzeug erneut.

Kontext bleibt trotz gelöschter Kommentare

Auch wenn XML-Kommentare gelöscht sind, können kontextuelle Hinweise bleiben.

id-Namen, class-Namen, Dateinamen, Ordnernamen, URLs, Text im Bild und der Haupttext einer Erfahrung liegen an anderen Stellen als Kommentaren.

Kommentare zu löschen ist wichtig, aber nicht das Ende.

Bei Anonymität prüft man, welche Information wohin gewandert ist und dort bleibt.

Besondere Vorsicht bei gemeinschaftlichen Dateien

In SVG oder HTML, das mehrere Menschen erstellt haben, bleiben Kommentare und verborgene Texte besonders leicht.

Denn während der Arbeit können Namen von Zuständigen, Reviewkommentare, Korrekturwünsche, interne Begriffe und Kundennamen eingefügt werden.

Beim Veröffentlichen gemeinsamer Dateien prüft man nicht nur den eigenen Teil, sondern die gesamte Datei.

Wichtig ist nicht „ich habe es nicht eingefügt“, sondern „bleibt es in der Veröffentlichungsdatei“.

Wenn die Veröffentlichung ein zip oder ein Ordner ist, prüft man alle enthaltenen Dateien.

Auch wenn ein einzelnes SVG sauber ist, kann ein mitgeliefertes altes HTML oder README Kommentare enthalten und darüber Informationen offenlegen.

Zusammenfassung

Verborgener Text und XML-Kommentare sind Informationen, die auf dem Bildschirm nicht sichtbar sind, aber in der Datei bleiben.

In SVG-, HTML- und XML-artigen Dateien können Arbeitsnotizen, Namen, Firmennamen, interne URLs, Entwürfe und Projektnamen bleiben.

Vor Veröffentlichung prüft man nicht nur die Optik, sondern auch den Inhalt als Text.

Auch nach Optimierung mit Werkzeugen sollte man das nicht als sicher beurteilen.

Bei Anonymität ist wichtig, sowohl angezeigte Informationen als auch in Dateien lesbar verbleibende Informationen zu prüfen.

Verwandte Werkzeuge

Verwandte Artikel