Woran man erkennt, dass eine Erweiterung unverändert ist

Das verbreitetste Redaktionssystem bringt keinen Integritätsschutz für Erweiterungen mit: Wer eine Datei im Verzeichnis austauscht, merkt es niemand. Die Antwort ist ein Verzeichnis aller ausgelieferten Dateien mit ihren Hashwerten, signiert mit demselben Schlüsselverfahren wie die Lizenzen. Der Kern prüft es, bevor er ein Modul registriert, und wiederholt die Prüfung später im Gesundheitscheck — offline, ohne Rückfrage bei einem Lizenzdienstleister. Zusätzlich sucht ein Verzeichnisdurchlauf nach verwaisten Dateien und Verweisen, die nicht ins Verzeichnis gehören. Ein Fehlschlag bricht dabei nie den Betrieb ab, sondern meldet. Die Grenze steht ausdrücklich daneben, statt verschwiegen zu werden: Innerhalb einer Installation gibt es keine Prozesstrennung. Gegen eine bereits installierte bösartige Erweiterung mit vollen Rechten hilft kein Prüfmechanismus, weil dann auch der Prüfcode selbst veränderbar wäre. Das Modell wirkt gegen manipulierte Pakete und stille Dateiveränderung — nicht gegen einen Angreifer, der schon schreiben darf.

Einordnung

Diese Erläuterung gehört zur DaWN-Dokumentation und gibt den Stand der Projektdokumentation vom September 2026 wieder.