§ 1 Für wen diese Regeln gelten
(1) Diese Regeln gelten für die Nutzung der kostenlosen Prüfwerkzeuge auf dieser Website — den Web-Security-Check, den E-Mail-Security-Check und den API-Security-Check. Sie gelten unabhängig davon, ob Sie ein Konto haben.
(2) Für angemeldete Nutzer der kostenpflichtigen Plattform gelten zusätzlich die Allgemeinen Geschäftsbedingungen und, für eingeladene Nutzer, die Nutzungsbedingungen für eingeladene Nutzer. Wo sich Regelungen überschneiden, gehen jene vor; diese Seite ist die Kurzfassung für alle anderen.
§ 2 Wofür Sie die Scanner verwenden dürfen
(1) Prüfen Sie nur Domains, für die Sie verfügungsberechtigt sind — also Domains, die Sie selbst betreiben, die Ihre Organisation betreibt, oder für deren Prüfung Sie beauftragt wurden.
(2) Wenn Sie unsicher sind, ob Sie eine Domain prüfen dürfen: klären Sie es, bevor Sie den Scan starten.
(3) Untersagt ist insbesondere, die Ergebnisse zu verwenden, um eine fremde Domain öffentlich herabzusetzen, um Dritten gegenüber einen Sicherheitsmangel zu behaupten, den die Prüfung nicht belegt, oder um eine Sicherheitslücke auszunutzen.
§ 3 Was die Scanner tun — und was nicht
(1) Die Prüfungen sind passiv. Vom geprüften Server selbst wird ausschließlich abgerufen, was er von sich aus öffentlich ausliefert: HTTP-Antwortheader, das TLS-Zertifikat, öffentliche DNS-Einträge und die im ausgelieferten HTML eingebundenen Fremdressourcen. Ergänzend fragen wir öffentliche Verzeichnisse Dritter ab — etwa die HSTS-Preload-Liste der Browserhersteller und, beim fortlaufenden Monitoring, öffentliche DNS-Sperrlisten. Übermittelt wird dabei nur der geprüfte Domain-Name bzw. dessen IP-Adresse; welche Verzeichnisse das sind, steht in der Datenschutzerklärung, Abschnitt 13.1.
(2) Es findet kein Penetrationstest statt, kein Portscan, keine Anmeldung, kein Crawling weiterer Seiten und keine Ausnutzung von Schwachstellen. Es wird keine Zugangssicherung überwunden und kein geschützter Bereich betreten.
(3) Ein Ergebnis ist die Momentaufnahme einer automatisierten Prüfung von außen. Es ersetzt weder ein Audit noch einen Penetrationstest und ist kein Nachweis gegenüber Dritten.
§ 4 Wer wofür verantwortlich ist
(1) Der Anbieter stellt das Werkzeug bereit. Welche Domain geprüft wird, entscheiden Sie — und Sie entscheiden damit auch, ob die Prüfung zulässig ist.
(2) Der Anbieter darf die Nutzung sperren, wenn konkrete Anhaltspunkte für einen Missbrauch nach § 2 vorliegen.
(3) Die kostenlosen Scanner werden ohne Zusicherung einer bestimmten Verfügbarkeit bereitgestellt. Die Haftung des Anbieters richtet sich nach den gesetzlichen Vorschriften; für Vorsatz und grobe Fahrlässigkeit sowie für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit haftet der Anbieter unbeschränkt.
§ 5 Ergebnisse und ihre Sichtbarkeit
(1) Ergebnisseiten sind über eine nicht erratbare Adresse erreichbar und werden nicht von Suchmaschinen indexiert (noindex im Dokument und als HTTP-Header).
(2) Es gibt keine öffentliche Rangliste, keine Bestenliste und kein durchsuchbares Archiv fremder Ergebnisse. Ein Ergebnis ist nach seiner Aufbewahrungsfrist nicht mehr abrufbar; Einzelheiten stehen in der Datenschutzerklärung.
§ 6 Änderungen
Der Anbieter kann diese Regeln ändern. Maßgeblich ist die bei Nutzung veröffentlichte Fassung; das Datum steht oben.
§ 7 Angaben für den Inhaber einer geprüften Domain
Die §§ 1 bis 6 richten sich an die Person, die eine Prüfung startet. Dieser Paragraf richtet sich an den Inhaber einer Domain, die geprüft wurde. Er enthält die Angaben, die Art. 14 Abs. 1 und 2 DSGVO für Daten verlangt, die nicht bei Ihnen selbst erhoben wurden.
(1) Verantwortlicher: Verantwortlich im Sinne des Art. 4 Nr. 7 DSGVO ist Wolf-Agents, Inhaber Eduard Wolf, Vorderhainberg 21, 94496 Ortenburg, Deutschland, info@wolf-agents.com, Telefon +49 151 46533415. Ein Vertreter nach Art. 27 DSGVO ist nicht bestellt.
(2) Datenschutzbeauftragter: Ein Datenschutzbeauftragter ist nicht bestellt; die Voraussetzungen des § 38 BDSG liegen nicht vor. Fragen zum Datenschutz richten Sie an die Adresse in Absatz 1.
(3) Zwecke und Rechtsgrundlage: Zweck ist es, der prüfenden Person das angeforderte Ergebnis zur Sicherheitskonfiguration der eingegebenen Domain bereitzustellen und es beim fortlaufenden Überwachen fortzuschreiben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Erwägungsgrund 49 DSGVO.
(4) Berechtigtes Interesse: Es liegt in der Bereitstellung der Prüfwerkzeuge zur Förderung der Netz- und Informationssicherheit; für das Zugriffsprotokoll und die Missbrauchsabwehr zusätzlich in der Betriebssicherheit.
(5) Kategorien: Verarbeitet wird, was der geprüfte Server oder ein öffentliches Verzeichnis von sich aus ausliefert — der Domain-Name und die zugehörigen IP-Adressen, HTTP-Antwortheader, Angaben aus dem TLS-Zertifikat, öffentliche DNS-Einträge und die im ausgelieferten HTML eingebundenen Fremdressourcen. Soweit sich davon etwas einer natürlichen Person zuordnen lässt — etwa ein Name in einem Zertifikat —, sind es personenbezogene Daten.
(6) Herkunft der Daten: Die Angaben stammen nicht von Ihnen, sondern aus öffentlich zugänglichen Quellen: dem geprüften Server beim Abruf, dem öffentlichen DNS und den in Absatz 7 genannten öffentlichen Verzeichnissen. Ausgelöst wird der Abruf durch die Person, die die Prüfung startet; welche Domain geprüft wird, entscheidet nicht der Anbieter.
(7) Empfänger: Empfänger sind die Betreiber der abgefragten öffentlichen Verzeichnisse — die HSTS-Preload-Liste der Browserhersteller sowie, ausschließlich beim fortlaufenden Überwachen einer im Dashboard hinterlegten Domain, zwölf öffentliche DNS-Sperrlisten und der Zertifikatstransparenz-Dienst crt.sh. Welche das im Einzelnen sind, welche Angabe sie jeweils erhalten und wo sie sitzen, steht in der Datenschutzerklärung, Abschnitt 13.1. Dort steht auch, worauf eine Übermittlung in ein Drittland gestützt wird.
(8) Speicherdauer: Der Auftragsdatensatz einer Prüfung entfällt nach 24 Stunden, das zwischengespeicherte Ergebnis des Web-Security-Checks nach 7 Tagen. Zu jeder geprüften Domain besteht ein Zähleintrag mit erstem und letztem Prüfzeitpunkt, der 24 Monate nach der letzten Prüfung entfällt. Zugriffsprotokolle des Webservers werden nach 14 Tagen gelöscht.
(9) Ihre Rechte: Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20) sowie das Recht, der Verarbeitung aus Gründen zu widersprechen, die sich aus Ihrer besonderen Situation ergeben (Art. 21 DSGVO). Wenden Sie sich dafür an die Adresse in Absatz 1. Die Verarbeitung beruht nicht auf einer Einwilligung; ein Widerrufsrecht nach Art. 7 Abs. 3 DSGVO besteht daher nicht.
(10) Beschwerderecht: Sie können sich bei einer Aufsichtsbehörde beschweren (Art. 77 DSGVO). Zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.
(11) Automatisierte Entscheidungen: Eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO findet nicht statt. Die vergebene Note bewertet die von außen messbare technische Konfiguration einer Domain; eine Rechtsfolge oder eine vergleichbar erhebliche Beeinträchtigung für Sie geht damit nicht einher.
Version 1.1 — Stand: 2. September 2026 — neuer § 7 mit den Angaben nach Art. 14 Abs. 1 und 2 DSGVO für den Inhaber einer geprüften Domain. Gemessen am 2. September 2026 trug diese Seite von dreizehn dieser Angaben keine vollständig: Verantwortlicher, Datenschutzbeauftragter, Zwecke und Rechtsgrundlage, berechtigtes Interesse, Betroffenenrechte, Beschwerderecht und automatisierte Entscheidungen fehlten ganz; Kategorien, Empfänger, Speicherdauer und Herkunft standen nur als Leistungsbeschreibung für die prüfende Person da. Die Angaben in § 7 sind aus der Datenschutzerklärung übernommen und dort unverändert.
Zuvor: Version 1.0 — Stand: 28. August 2026 (neu angelegt in R-0: die Verfügungsberechtigungs-Regel galt bis dahin nur für angemeldete Nutzer)