Wie sicher ist Ihre Website?
In 20 Sekunden geprüft, auf Deutsch erklärt.
HTTPS-Umleitung, Zertifikat und TLS-Versionen, Sicherheits-Header, Cookies, exponierte Dateien, Versionsverrat, gemischte Inhalte und 20 übliche Ports — ein Scan, eine Note, und zu jedem Befund der Konfigurationsvorschlag, der ihn behebt. Ohne Anmeldung.
Sicherheits-Scan starten
Domain eintragen, prüfen lassen. Das Ergebnis erscheint auf dieser Seite — mit Note, den wichtigsten Hebeln und allen Einzelbefunden.
Verlauf
Bleibt in diesem Browser gespeichert, nicht auf unserem Server.| Datum | Domain | Note | Punkte | Kritisch | Warnung | In Ordnung |
|---|
Was der Scan prüft
Acht Prüfbereiche in einem Durchlauf. Jeder Befund kommt mit Erklärung und, wo es einen gibt, mit dem Konfigurationsausschnitt für Apache, nginx oder den DNS-Anbieter.
HTTPS und Umleitung
Leitet http:// dauerhaft auf https:// um? Wie viele Umleitungen bis zur Zielseite? Landen www und ohne www auf derselben Adresse?
Zertifikat und TLS
Gültigkeit, Ablaufdatum, Zertifikatskette, verhandelte TLS-Version und ob der Server die veralteten Protokolle TLS 1.0 und 1.1 noch annimmt.
Sicherheits-Header
HSTS, Content-Security-Policy mit Schwachstellenanalyse, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Header, veraltete Header.
Cookies
Jedes gesetzte Cookie auf Secure, HttpOnly und SameSite — die drei Attribute, die Session-Diebstahl und Cross-Site-Angriffe unterbinden.
Exponierte Dateien
Liegen .git, .env, phpinfo, Sicherungsarchive, server-status oder .DS_Store öffentlich im Webstamm? Ist eine security.txt vorhanden?
Offene Ports
Verbindungsversuch auf 20 üblichen Ports: Datenbanken, Fernwartung, FTP, Telnet, Mail, Alternativ-Webdienste. Was offen ist, wird eingeordnet.
DNS und Domain
CAA-Eintrag, DNSSEC, IPv6 sowie SPF und DMARC — damit niemand Zertifikate für Ihre Domain erschleicht oder Mails in Ihrem Namen verschickt.
Inhalt und Versionsverrat
Gemischte Inhalte über http, externe Skripte ohne Integritätsprüfung, Formulare an unverschlüsselte Ziele, Server- und CMS-Versionen in Headern und Meta-Tags.
So lesen Sie die Note
Der schwächste Befund eines Bereichs zählt stärker als der Durchschnitt. Ein kritischer Befund deckelt das Gesamtergebnis, egal wie gut der Rest ist.
Alles Wesentliche gesetzt, nichts Kritisches, keine Warnung. Selten auf Anhieb.
Grundschutz steht. Meist fehlen Feinheiten wie Permissions-Policy, CAA oder eine strengere CSP.
Mindestens eine Warnung oder ein kritischer Befund. Die Hebel-Liste nennt die Reihenfolge.
Mehrere kritische Befunde oder kein funktionierendes HTTPS. Erst die Grundlagen, dann die Header.
Warum ein Blick auf die Header nicht reicht
Die bekannten Prüfdienste bewerten, was der Server im Antwortkopf mitschickt. Das ist wichtig — und trotzdem nur ein Ausschnitt. Eine Seite mit vorbildlichen Headern kann ein .git-Verzeichnis im Webstamm haben, eine Datenbank, die auf Port 3306 aus dem Internet antwortet, oder ein Anmelde-Cookie ohne Secure-Attribut. Keiner dieser Punkte taucht in einer reinen Header-Bewertung auf.
Der Sicherheits-Scan geht deshalb einmal den Weg eines Angreifers ab, der nur öffentliche Informationen nutzt: Wie kommt die Verbindung zustande, was verrät der Server über sich, welche Dateien liegen offen, welche Dienste antworten. Aus diesen Antworten entsteht die Note.
Erklärung statt Fachbegriff
Zu jedem Befund steht, was er in der Praxis bedeutet — nicht nur, dass ein Header fehlt, sondern was ohne ihn möglich ist. Und wo es eine Lösung per Konfiguration gibt, steht der Ausschnitt gleich dabei: für Apache in der .htaccess, für nginx im Serverblock, für DNS-Einträge beim Domainanbieter.
Was der Scan nicht ist
Kein Penetrationstest und kein Schwachstellenscanner. Es werden keine Lücken ausgenutzt, keine Anmeldungen versucht, keine Formulare abgeschickt. Der Scan zeigt die Angriffsfläche, nicht den Einbruch. Für Anwendungen mit Kundenkonten, Zahlungen oder Gesundheitsdaten gehört danach eine Prüfung der Anwendung selbst dazu.
Für wen sich das lohnt
Für jeden, der eine Website betreibt und wissen will, wo er steht — vor dem Relaunch, nach dem Umzug zu einem anderen Hoster, nach einer Änderung an der Serverkonfiguration. Und für alle, die von einer Agentur eine Sicherheitsaussage bekommen haben und sie einmal selbst nachmessen wollen.
Was wir machen und was nicht
Der Scan zeigt die Befunde. Beheben können Sie sie selbst — oder wir übernehmen das per Fernwartung.
Das machen wir
- Sicherheits-Header einrichten: HSTS, Content-Security-Policy passend zu Ihren Quellen, Referrer- und Permissions-Policy
- HTTPS-Umleitung, TLS-Versionen und Zertifikatskette auf Server oder Hosting-Panel korrigieren
- Exponierte Dateien und offene Dienste schließen, Firewall-Regeln setzen
- Nachmessung mit demselben Scan, bis die Note stimmt
Das machen wir nicht
- Keine Prüfung fremder Websites in Ihrem Auftrag ohne Nachweis der Berechtigung
- Kein Penetrationstest und keine Prüfung der Anwendungslogik — dafür verweisen wir an spezialisierte Prüfstellen
- Keine Übernahme bestehender WordPress-Installationen zur Pflege; wir bauen mit Datenübernahme neu auf
- Keine Garantie, dass eine gute Note „sicher“ bedeutet — sie bedeutet: keine der geprüften Schwächen sichtbar
Weiterführend
Passende Werkzeuge
Verwandte Leistungen
Note schlechter als A und keine Zeit, es selbst zu richten?
Wir setzen die fehlenden Header, schließen offene Dienste und exponierte Dateien und messen nach — per Fernwartung, abgerechnet pro halbe Stunde.
Befunde beheben lassenBeschreiben Sie Ihr Anliegen
Schreiben Sie uns kurz, worum es geht. Wir prüfen die Anfrage und melden uns per E-Mail mit dem nächsten Schritt.
Häufig gestellte Fragen
Was prüft der Sicherheits-Scan genau?
Neun Bereiche: DNS und Domain (CAA, DNSSEC, SPF, DMARC), HTTPS und Umleitung, Zertifikat und Verschlüsselung (Ablauf, Kette, TLS-Version, veraltete Protokolle), Sicherheits-Header (HSTS, Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Header), Cookies (Secure, HttpOnly, SameSite), Versionsverrat in Headern und Meta-Tags, Seiteninhalt (gemischte Inhalte, externe Skripte), exponierte Dateien (.git, .env, phpinfo, Backups, server-status) und 20 übliche Ports.
Wie kommt die Note zustande?
Jeder Befund hat einen Status: in Ordnung, Hinweis, Warnung oder kritisch. Je Bereich zählt der schwächste Befund stärker als der Durchschnitt, die Bereiche sind nach Wirkung gewichtet — Header, HTTPS, Zertifikat, Ports und exponierte Dateien wiegen am meisten. Ein einziger kritischer Befund deckelt das Ergebnis bei C, drei kritische bei D. Ohne funktionierendes HTTPS gibt es nichts über E.
Ist der Scan ein Angriff auf die geprüfte Seite?
Nein. Der Scan stellt Anfragen, die jeder Browser beim Aufruf stellt, fragt eine Handvoll bekannter Dateipfade ab und versucht auf 20 üblichen Ports einen Verbindungsaufbau — ohne Anmeldung, ohne Passwörter, ohne Schwachstellen auszunutzen. Prüfen Sie trotzdem nur Websites, die Ihnen gehören oder für die Sie beauftragt sind.
Warum bekommt meine Seite ein F, obwohl HTTPS funktioniert?
Ein gültiges Zertifikat ist die Grundlage, nicht das Ziel. Fehlen HSTS und Content-Security-Policy, ist die Datenbank aus dem Internet erreichbar oder liegt ein .git-Verzeichnis im Webstamm, hilft das Schloss im Browser nicht. Der Abschnitt „Wichtigste Hebel“ zeigt, was zuerst dran ist.
Woher kommen die Konfigurationsvorschläge?
Zu jedem Befund, der sich per Serverkonfiguration beheben lässt, liefert der Scan den passenden Ausschnitt für Apache (.htaccess), nginx oder den DNS-Eintrag. Die Vorschläge sind Einstiegswerte — die Content-Security-Policy etwa muss an die tatsächlich eingebundenen Quellen angepasst werden, sonst blockiert sie eigene Skripte.
Was unterscheidet den Scan von securityheaders.com?
securityheaders.com bewertet ausschließlich Antwort-Header. Der Sicherheits-Scan prüft zusätzlich Zertifikat und TLS-Versionen, HTTPS-Umleitung, Cookies, exponierte Dateien, gemischte Inhalte, offene Ports und die Mail-Absicherung der Domain — auf Deutsch, mit Erklärung und Konfigurationsvorschlag je Befund. Unsere Seite <a href="/werkzeuge/sicherheits-header-pruefen">Sicherheits-Header prüfen</a> erklärt die Header im Einzelnen.
Werden meine Eingaben gespeichert?
Gespeichert wird der geprüfte Domainname, die Note und ein Kurzwert Ihrer IP-Adresse zur Aufrufbegrenzung — keine vollständige IP, kein Ergebnisbericht. Ergebnisse werden zehn Minuten zwischengespeichert, damit ein zweiter Aufruf dieselbe Domain nicht erneut belastet.
Kann ich das Ergebnis exportieren oder später vergleichen?
Ja. Unter dem Ergebnis stehen Bericht als PDF (über den Druckdialog Ihres Browsers, ohne Fremdbibliothek), CSV und JSON. Der Verlauf Ihrer Prüfungen bleibt im Browser gespeichert — nicht auf unserem Server — und zeigt bei jeder erneuten Prüfung derselben Domain, was sich seit dem letzten Mal verbessert oder verschlechtert hat.
Wie oft darf ich prüfen?
Sechs Prüfungen je Minute und vierzig je Tag von einer Adresse. Das reicht, um nach jeder Änderung an der Serverkonfiguration erneut zu messen.