Betriebsstatus
Kostenloser Web Security Check
Security-Header, HTTPS und Website-Konfiguration prüfen
Website prüfen
Prüfen Sie, welche Sicherheitseinstellungen Ihre Website nach außen zeigt. Der Webcheck untersucht unter anderem Content-Security-Policy, HSTS, HTTPS-Weiterleitungen und sichtbare Merkmale des TLS-Zertifikats. Sie erhalten Befunde, Erklärungen und Hinweise darauf, was nicht gemessen werden konnte.
Ausgangspunkt ist die eingegebene Adresse mit ausgewählten Zusatzabfragen. Der Check durchsucht nicht alle Unterseiten und erreicht keine Bereiche hinter Login oder SSO. Sie benötigen keine Installation und kein Wolf-Agents-Konto.
Aus einer Einstellung einen nächsten Schritt ableiten
Ein fehlender Header kann eine konkrete Aufgabe für Hosting oder Entwicklung sein. Ein vorhandener Header kann trotzdem eine unpassende Einstellung enthalten. Der Check hilft Ihnen, solche Beobachtungen einzuordnen und gezielt nachzufragen.
Beginnen Sie bei einem auffälligen Befund: Welche Adresse wurde tatsächlich erreicht? Welcher Wert wurde beobachtet? Welche Änderung empfiehlt die Erklärung, und passt sie zu Ihrer Website? Eine strengere CSP kann benötigte Funktionen blockieren. Klären Sie deshalb erst den Anwendungsfall, bevor Sie eine Beispielkonfiguration übernehmen.
Was der Webcheck untersucht
Umfangsmodell · keine ausgeführte Messung
Vom öffentlichen Ziel zum begrenzten Befund
- Öffentliche Adresse
Beispiel:
https://example.com - Eingegebene Adresse und ausgewählte Zusatzabfragen
Beobachtungen sind nur möglich, soweit die Informationen abrufbar sind und zum Prüfumfang gehören.
Bei schmaler Ansicht können Sie die Tabelle seitlich scrollen.
| Prüfbereich | Beobachtung und Reichweite |
|---|---|
| HTTP-Sicherheitsheader | CSP, HSTS und weitere sicherheitsrelevante Header der abgerufenen Antwort; keine Prüfung jeder Antwort Ihrer Anwendung. |
| HTTPS und Weiterleitungen | Der vorgesehene Aufruf- und Weiterleitungsweg und ausgewählte zugehörige Einstellungen. |
| TLS-Zertifikat | Sichtbare Zertifikatsmerkmale des geprüften Ziels; keine vollständige Analyse Ihrer gesamten TLS-Infrastruktur. |
| Domain-DNS und HSTS-Preload | Ausgewählte DNS- und Preload-Merkmale. Ein einzelner Check ersetzt keine vollständige DNS-Prüfung. |
| Ausgeliefertes HTML | Ausgewählte Merkmale und Verweise auf Fremdressourcen in der abgerufenen Seite; kein vollständiger Browserlauf. |
Befunde mit Messzeitpunkt und Messabdeckung lesen. Nicht erhoben bedeutet weder bestanden noch nachweislich fehlendes Merkmal. Weiterleitungen, vorgeschaltete Schutzsysteme und Verbindungsprobleme können verändern, welche Antwort erreicht wird.
Außerhalb des Umfangs: kein vollständiger Crawl, kein Login oder SSO, kein Quellcode, keine Benutzerrechte oder Geschäftslogik und kein vollständiger Browserlauf. Die Grafik vergibt keine Note. Bei unzureichender Messbasis oder einer erreichten Nicht-HTML-Antwort ist keine Web-Gesamtnote vorgesehen.
Wichtige Header verständlich einordnen
Security-Header sind Anweisungen in einer HTTP-Antwort. Sie können Browserfunktionen begrenzen oder zusätzliche Schutzmaßnahmen aktivieren. Ein gesetzter Header allein garantiert keine Sicherheit; ein fehlender Header allein beweist keine ausnutzbare Schwachstelle.
Bei schmaler Ansicht können Sie die Tabelle seitlich scrollen.
| Header | Aufgabe und nächste Prüfung |
|---|---|
| Content-Security-Policy (CSP) | Begrenzt unter anderem Skriptquellen und Verbindungen. Eine passend durchgesetzte Policy kann bei Skript-Injection eine zusätzliche Barriere bilden. Report-Only blockiert Verstöße gegen diese beobachtende Policy nicht; eine Anwendungslücke muss weiterhin behoben werden. |
| Strict-Transport-Security (HSTS) | Weist unterstützende Browser zeitlich begrenzt auf HTTPS an. Ohne bekannte Policy oder passenden Preload-Eintrag kann der erste HTTP-Aufruf unverschlüsselt sein. includeSubDomains und Preload verlangen Vorbereitung; ein gültiges Zertifikat bleibt nötig. |
| X-Frame-Options | DENY verhindert die Frame-Einbettung, SAMEORIGIN begrenzt sie auf dieselbe Origin. CSP frame-ancestors ermöglicht differenziertere Regeln. Prüfen Sie gewollte Einbettungen und sensible Oberflächen. |
| X-Content-Type-Options | nosniff begrenzt die abweichende Interpretation von Ressourcentypen, insbesondere bei Skripten und Stylesheets. Richtige Content-Type-Angaben und sichere Uploadregeln bleiben erforderlich. |
| Referrer-Policy | Steuert, welche URL-Informationen als Referrer weitergegeben werden. Ohne expliziten Header gelten andere Vorgaben, unter anderem Browserdefaults; daraus folgt keine automatische Weitergabe der vollständigen URL. Sensible Daten gehören nicht in URLs. |
| Permissions-Policy | Schränkt ausgewählte Browserfunktionen für Seiten und Einbettungen ein. Sie erteilt keine Kamera- oder Mikrofonberechtigung und ersetzt keine nötige Nutzerfreigabe; Unterstützung und Defaults unterscheiden sich je Funktion. |
| Cross-Origin-Opener-Policy (COOP) | Kann Browserkontextgruppen trennen. Prüfen Sie insbesondere Anmelde- und Zahlungs-Popups. Eine fehlende Policy beweist nicht, dass ein fremder Tab beliebige Daten lesen kann. |
| Cross-Origin-Embedder-Policy (COEP) | Setzt zusätzliche Bedingungen für fremde Ressourcen. Bei require-corp brauchen betroffene Einbindungen passende CORP-/CORS-Freigaben. Das prüft nicht ihre inhaltliche Vertrauenswürdigkeit; benötigte Ressourcen müssen weiter funktionieren. |
COOP und eine passende Einbettungspolitik können gemeinsam Cross-Origin-Isolation ermöglichen. Übernehmen Sie diese Einstellungen nur passend zu Ihrer Anwendung. Die HTTP-Headerreferenz bei MDN und die verlinkten Ratgeber erklären die Details.
Was A+ aussagt – und was offenbleibt
A+ ist die höchste Bewertung des Webchecks. Seine Notenfolge lautet A+, A, B+, B, C, D, E und F. Die Einstufung folgt dem Web-Bewertungsmodell mit eigenen Gewichtungen und Begrenzungen; sie ist kein Prozentsatz Ihrer gesamten Sicherheit und nicht unmittelbar mit einer E-Mail- oder API-Note vergleichbar.
Lesen Sie neben der Note die Einzelbefunde und die Messabdeckung. „Nicht erhoben“ bedeutet, dass keine auswertbare Messung vorliegt. Es bedeutet weder „bestanden“ noch „Merkmal fehlt“. Bei unzureichender Messbasis kann die Gesamtnote im Report entfallen. Für eine erreichte JSON- oder andere Nicht-HTML-Antwort ist eine Web-Gesamtnote ebenfalls nicht vorgesehen.
Auch A+ bestätigt keine vollständige Sicherheit. Nicht untersucht werden unter anderem Quellcode, Benutzerrechte, Geschäftslogik, Schadsoftware und Bereiche hinter einer Anmeldung. Der Check ersetzt keinen vollständigen Webapp-Pentest. Eine heutige Bewertung schließt spätere Änderungen oder Störungsursachen nicht aus.
Prüfen, einordnen, nach einer Änderung erneut messen
- Geben Sie eine berechtigte öffentliche Adresse ein und starten Sie den Check.
- Lesen Sie Ziel, Messzeitpunkt, Befunde und Hinweise auf eingeschränkte Messungen.
- Stimmen Sie eine nötige Änderung mit der zuständigen Person ab. Prüfen Sie die betroffenen Websitefunktionen in Ihrer eigenen Umgebung.
- Starten Sie danach bei Bedarf einen neuen Check für dieselbe Adresse. Vergleichen Sie die beiden Stände anhand ihrer Befunde und ihres Umfangs.
Ein unveränderter Buchstabe beweist keine unveränderte Konfiguration. Verschiedene Antworten können zur gleichen Note führen. Eine automatische Überwachung oder ein automatisch berechneter Differenzreport gehört nicht zu diesem Ablauf.
Den Webbefund dokumentieren
Wenn Sie einen Stand ablegen oder weitergeben möchten, nutzen Sie die auf der Ergebnisseite angebotenen Reportdateien. PDF eignet sich zum Lesen und Ablegen, DOCX für eigene Ergänzungen und CSV für die weitere Arbeit mit der Befundtabelle. DOCX ist bearbeitbar; kennzeichnen Sie eigene Änderungen.
Die angebotenen Dateien sind in der kostenlosen Beta ohne E-Mail-Adresse erhältlich. Ein Download verwendet den gespeicherten Scanstand und startet keine neue Messung. Speichern Sie benötigte Dateien lokal: Ein Wiederdownload ist nur möglich, solange das Ergebnis verfügbar ist. Eine dauerhafte Archivierung wird für die Beta nicht zugesagt.
Die freiwillige Zusendung eines Ergebnislinks schaltet keine zusätzlichen Inhalte frei. Sie ist keine neue Prüfung. Auf der Reportseite mit Lesehilfe sehen Sie, wie Sie Beobachtung, Einordnung und nächste Handlung auseinanderhalten.
Häufige Fragen
Kann ich CSP und HSTS gemeinsam prüfen?
Ja, an der erreichten Antwort und innerhalb der vorgesehenen Prüfungen. Eine CSP muss zusätzlich mit den tatsächlich benötigten Websitefunktionen geprüft werden. Ein fehlender HSTS-Header in dieser Antwort beweist nicht, dass ein Browser keine früher gespeicherte HSTS-Policy besitzt.
Warum liefert dieselbe Website manchmal ein anderes Ergebnis?
Eine andere URL, Weiterleitung, zwischenzeitliche Änderung oder ein vorgeschaltetes Schutzsystem kann eine andere Antwort liefern. Vergleichen Sie deshalb die tatsächlich erreichte Adresse, den Zeitpunkt und die Messabdeckung. Der erneute Download eines alten Reports aktualisiert diese Messung nicht.
Findet der Check Viren oder alle ausnutzbaren Schwachstellen?
Nein. Er untersucht ausgewählte Konfigurationsmerkmale und Antwortsignale. Eine Malwareanalyse, aktive umfassende Schwachstellensuche und ein vollständiger Pentest sind nicht enthalten.
Ist ein unauffälliger Report ein anerkannter Sicherheitsnachweis?
Der Report ist eine technische Arbeitsunterlage für den beschriebenen Umfang. Er bestätigt keine rechtliche Konformität und ist kein anerkannter Audit- oder Versicherungsnachweis. Eine persönliche fachliche Prüfung Ihrer Website ist nicht enthalten; automatische Einstufungen können fehlerhaft sein.
Wie setze ich einen Befund um?
Gleichen Sie Erklärung und Empfehlung mit Ihrer Umgebung ab. Die HSTS-Anleitung, die CSP-Erklärung und die Web-Sicherheitsratgeber helfen bei der weiteren Arbeit. Wolf-Agents ändert Ihre Konfiguration nicht.
Fachliche Grundlagen
HSTS: RFC 6797 · Content Security Policy · Hinweise zur KI-Nutzung
Die Fachquellen erklären die Mechanismen. Welche Teile dieser Check tatsächlich misst, beschreibt der Prüfumfang oben.