Website-Sicherheit prüfen Der kostenlose Security Check

Ist deine Website so abgesichert, wie sie sein sollte? Der Check prüft in Sekunden, was jeder Besucher – und jeder Angreifer – von außen sehen kann: HTTPS und Zertifikat, Sicherheits-Header, Cookies, offene Dateien und ob Fremde E-Mails in deinem Namen verschicken können. Nur Lesezugriffe, keine Angriffe, kein Login.

Der Check ruft deine Startseite ab wie ein Browser, folgt Weiterleitungen bis zur finalen Adresse und bewertet dort jedes Signal einzeln. Dazu kommen eine TLS-Verbindung und öffentliche DNS-Abfragen für CAA, SPF, DMARC und DKIM. Jede Prüfung zählt gleich viel, eine versteckte Gewichtung gibt es nicht.

• Bestanden: Das Signal ist gesetzt oder unauffällig.
• Warnung: Ein empfohlener Schutz fehlt oder ist zu schwach, etwa ein Security-Header, eine CSP mit unsafe-inline, der HTTPS-Redirect, ein Cookie-Flag oder DMARC mit p=none.
• Fehler: Ein grundlegendes Problem: kein HTTPS, ein ungültiges oder in unter 7 Tagen ablaufendes Zertifikat, ein offenes Verzeichnis-Listing, eine öffentlich erreichbare .git- oder .env-Datei, ein aktiver Debug-Modus oder ein geheimer Schlüssel im Quelltext.
• Hinweis: Nur zur Einordnung, etwa fehlende COOP-, CORP- oder COEP-Header, kein CAA-Eintrag, externe Skripte ohne SRI oder eine fehlende security.txt.

Der Score ist der Anteil bestandener Prüfungen an allen bewerteten. Hinweise zählen nicht mit.

Daraus ergibt sich die Note: A ab 90 von 100 Punkten, B ab 80, C ab 65, D ab 50, darunter F. Schon ein einziger Fehler begrenzt die Note auf C.

Ergebnis sofort. Für den vollständigen Report mit allen Detail-Findings brauchen wir nur deine E-Mail-Adresse.

• Sofort sichtbar: dein Score und die Zahl der bestandenen Prüfungen, Warnungen, Fehler und Hinweise.
• Mit deiner E-Mail: jede einzelne Prüfung mit Befund und Empfehlung, dazu der komplette Report per Mail.
• Port-Check: 16 übliche Ports von Web über SSH, FTP und Mail bis MySQL, PostgreSQL und Remote Desktop. Wir bauen nur eine Verbindung auf, ohne Login und ohne Anfrage an den Dienst.
• Das Port-Ergebnis bekommst du nur, wenn deine E-Mail-Adresse zur geprüften Domain gehört: in der Mail und, sobald du den Code aus der Mail eingibst, auch im Report. In den Score fließt es nicht ein.

• Nur die Startseite: Unterseiten, Login-Bereiche, Checkout und APIs sehen wir nicht.
• Keine Schwachstellensuche: CMS-, Shop- und Plugin-Versionen gleichen wir nicht mit bekannten Sicherheitslücken ab.
• Header auf typische Schwächen: unsafe-inline, unsafe-eval, Platzhalter und eine kurze HSTS-Laufzeit erkennen wir. Eine vollständige Analyse deiner CSP ist das nicht.
• E-Mail nur per DNS: SPF und DMARC lesen wir aus, DKIM nur unter drei gängigen Selektoren. DNSSEC und die tatsächliche Zustellung prüfen wir nicht.

Ein guter Score heißt: Die Grundkonfiguration stimmt. Was dahinter liegt, zeigt erst ein Blick in die Anwendung selbst.