Ist die Sicherheitskonfiguration Ihrer Website solide?
Führen Sie eine kostenlose Prüfung der Sicherheitskonfiguration Ihrer Website durch. Sehen Sie genau, was fehlt — und wie Sie es beheben.
Die meisten Sicherheitsprobleme von Websites sind nicht exotisch — es fehlt schlicht an Konfiguration: keine HTTPS-Weiterleitung, keine Sicherheits-Header, Cookies ohne die richtigen Flags, leicht zu fälschende E-Mails. Unser Scanner prüft die öffentlich sichtbare Sicherheitskonfiguration Ihrer Website anhand etablierter Best Practices, damit Sie genau sehen, was fehlt und wie Sie es beheben. Dies ist eine Konfigurations- und Best-Practice-Prüfung, kein Penetrationstest.
So funktioniert es
Wir prüfen Ihre aktuelle Konfiguration
Wir rufen Ihre Startseite, Ihr TLS-Zertifikat und Ihre DNS-Einträge ab — ohne Anmeldung oder Installation.
24 Sicherheitsprüfungen werden durchgeführt
Wir prüfen HTTPS, Header, Cookies, E-Mail-/DNS-Sicherheit und Serverkonfiguration anhand bewährter Praktiken.
Bewertung + Aktionsplan
Jeder Befund wird nach Schweregrad bewertet und kommt mit einer konkreten Konfigurationskorrektur.
Was wir prüfen
Sichere Verbindung
- ✓HTTPS nicht aktiviert
- ✓SSL-Zertifikat ungültig oder läuft bald ab
- ✓HTTP leitet nicht auf HTTPS um
- ✓Gemischte Inhalte erkannt (HTTP-Ressourcen auf HTTPS-Seite)
Sicherheits-Header
- ✓Fehlender Strict-Transport-Security-Header (HSTS)
- ✓Fehlender Content-Security-Policy-Header
- ✓Fehlender X-Frame-Options-Header
- ✓Fehlender X-Content-Type-Options-Header
- ✓Fehlender Referrer-Policy-Header
- ✓Fehlender Permissions-Policy-Header
- ✓Fehlende Cross-Origin-Isolations-Header
Cookie-Sicherheit
- ✓Cookies ohne Secure-Flag
- ✓Cookies ohne HttpOnly-Flag
- ✓Cookies ohne SameSite-Flag
E-Mail- & DNS-Sicherheit
- ✓Fehlender SPF-Eintrag
- ✓Fehlender DMARC-Eintrag
- ✓DKIM konnte nicht verifiziert werden
- ✓DNSSEC nicht erkannt
- ✓Fehlender CAA-Eintrag
- ✓Fehlender IPv6-Eintrag (AAAA)
Serverkonfiguration
- ✓Server-Header gibt Versionsinformationen preis
- ✓X-Powered-By-Header gibt Technologie preis
- ✓Fehlende security.txt-Datei
- ✓Verzeichnisauflistung erkannt
Sicherheits-Best-Practices — kein Penetrationstest
Diese Prüfung untersucht die öffentlich sichtbare Sicherheitskonfiguration Ihrer Website — HTTPS, Header, Cookies und DNS-Einträge — anhand weithin anerkannter Best Practices (OWASP, RFC-Standards). Es handelt sich um eine Konfigurations- und Best-Practice-Prüfung, keinen Schwachstellenscan oder Penetrationstest.
Was ist eine Prüfung der Sicherheitskonfiguration einer Website?
Eine Konfigurationsprüfung betrachtet, wie Ihre Website von außen eingerichtet ist — dieselben Informationen, die der Browser jedes Besuchers oder jedes automatisierte Tool sehen kann. Sie versucht nicht einzudringen, Passwörter zu erraten oder etwas auszunutzen. Sie prüft lediglich, ob bekannte Best Practices (HTTPS, Sicherheits-Header, Cookie-Flags, E-Mail-Authentifizierungseinträge) tatsächlich vorhanden sind.
- •Prüft HTTPS-Durchsetzung, Zertifikatsgültigkeit und Sicherheits-Header
- •Überprüft Cookie-Flags (Secure, HttpOnly, SameSite) für Datenschutz und Sitzungssicherheit
- •Verifiziert E-Mail-Authentifizierungseinträge (SPF, DMARC, DKIM), die Spoofing verhindern
- •Versucht niemals, Ihre Website auszunutzen, einzudringen oder zu stören
Warum sind Sicherheits-Header wichtig?
Sicherheits-Header sind Anweisungen, die Ihr Server an den Browser jedes Besuchers sendet und ihm sagen, wie er sich defensiv verhalten soll — zum Beispiel, das Laden Ihrer Website im Frame einer anderen Website zu verweigern oder Browsern das Erraten eines Dateityps zu verbieten. Die meisten Frameworks setzen sie nicht standardmäßig, sodass sie selbst auf einer ansonsten gut gebauten Website leicht übersehen werden.
- •Header wie HSTS und CSP werden von OWASP und großen Browser-Anbietern empfohlen
- •Fehlende Header bedeuten nicht, dass eine Website kompromittiert wurde — sie bedeuten, dass eine zusätzliche Verteidigungsebene fehlt
- •Die meisten Header lassen sich mit wenigen Zeilen Server- oder CDN-Konfiguration hinzufügen
- •Wir zeigen den genauen Konfigurationsschnipsel für Ihren wahrscheinlichen Server (nginx, Apache, Cloudflare)
Wovor schützen SPF, DKIM und DMARC eigentlich?
Diese drei DNS-Einträge wirken zusammen, um es schwerer zu machen, E-Mails zu versenden, die aussehen, als kämen sie von Ihrer Domain — eine gängige Taktik bei Phishing. Ohne sie ist Ihre Domain ein leichteres Ziel für Identitätsdiebstahl, was Zustellbarkeit und Reputation beeinträchtigen kann, selbst wenn Sie einen Angriff nie direkt bemerken.
- •SPF listet auf, welche Mailserver E-Mails für Ihre Domain senden dürfen
- •DKIM ermöglicht es empfangenden Servern, zu überprüfen, ob eine Nachricht während der Übertragung verändert wurde
- •DMARC teilt empfangenden Servern mit, was bei fehlgeschlagenen SPF- oder DKIM-Prüfungen zu tun ist
- •DKIM hat keinen einzelnen auffindbaren DNS-Ort, daher ist unsere Prüfung dafür ein bestmöglicher Ansatz
Häufig gestellte Fragen
Verwandte Compliance-Tools
Checkliste für Website-Compliance
Die häufigsten Probleme bei DSGVO, AI Act und Barrierefreiheit an einem Ort.
DSGVO-Compliance-Scan
Starten Sie einen kostenlosen Scan zu Cookies, Trackern, Einwilligung und Datenschutzerklärung.
WCAG-Barrierefreiheitsprüfung
Prüfen Sie Ihre Website kostenlos anhand der WCAG-2.1-AA-Erfolgskriterien.
KI-Gesetz Compliance-Check
Bewerten Sie die Bereitschaft Ihrer Organisation für das EU-KI-Gesetz.