Keine direkt vom Browser stammenden Strings bei open() verwenden.