Konfigurationslücken erkennen
Sehen Sie, ob wichtige Header fehlen oder Einstellungen auffallen, die Sie mit Ihrem Hostinganbieter oder Entwicklungsteam klären sollten.
Kostenloser Website Security Check
Security-Header, HTTPS und Website-Konfiguration prüfen
Prüfen Sie, welche Sicherheitseinstellungen Ihre Website nach außen zeigt. Wolf-Agents untersucht unter anderem CSP, HSTS, HTTPS-Weiterleitungen und das TLS-Zertifikat. Sie sehen Auffälligkeiten, Erklärungen und Hinweise auf fehlende Messungen.
Ohne Installation und ohne Wolf-Agents-Konto. Geprüft wird die eingegebene Adresse mit ausgewählten ergänzenden Abfragen. Der Check durchsucht nicht alle Unterseiten und untersucht keine Bereiche hinter einer Anmeldung.
Kostenlose Report-Beta: ohne Wolf-Agents-Konto und ohne E-Mail-Adresse.
Website prüfen
A+
A
B+
B
C
D
E
F
Bestnote im Prüfumfang Hohes Risiko
Was Sie mit dem Ergebnis anfangen können
Änderungen gezielt vorbereiten
Lesen Sie die Erklärung zu einem Befund, bevor Sie Header oder Serverkonfiguration ändern. Eine strengere Einstellung muss zur Website passen.
Den Prüfstand dokumentieren
Nutzen Sie bei Bedarf den Report als Arbeitsunterlage für eine Übergabe oder die eigene technische Dokumentation.
Was der Web-Check untersucht
| Bereich | Aussage des Checks |
|---|---|
| HTTP-Sicherheitsheader | Unter anderem Content-Security-Policy, HSTS und weitere Header der abgerufenen Antwort |
| HTTPS und Weiterleitungen | Von außen beobachtbarer Aufruf-/Weiterleitungsweg und zugehörige Konfigurationsmerkmale |
| TLS-Zertifikat | Sichtbare Zertifikatsmerkmale des geprüften Ziels |
| Domain-DNS und HSTS-Preload | Ausgewählte DNS- und Preload-Merkmale; keine vollständige DNS- oder Infrastrukturprüfung |
| Ausgeliefertes HTML | Ausgewählte Merkmale und Verweise auf Fremdressourcen in der abgerufenen Seite |
Der Check bewertet die tatsächlich erreichte Antwort. Schutzsysteme, Weiterleitungen oder Verbindungsprobleme können den Umfang einschränken.
Was dieser Check offenlässt
Eine unauffällige Konfiguration beweist nicht, dass die Website insgesamt sicher ist. Der Check analysiert weder Quellcode noch angemeldete Bereiche und sucht nicht aktiv nach allen ausnutzbaren Schwachstellen. Malware, Viren, Benutzerrechte, Geschäftslogik und die vollständige Website werden damit nicht geprüft.
Nicht erhobene Punkte sind keine bestandenen Prüfungen. Lesen Sie deshalb neben der Bewertung auch die Hinweise zur Messabdeckung.
Security Headers verstehen
Was sind Security Headers und warum brauchen Sie sie?
Security Headers sind Anweisungen, die der Server mit seiner Antwort an den Browser sendet. Sie können Schutzfunktionen aktivieren und das Verhalten der Seite begrenzen. Die passende Konfiguration hängt von Ihrer Anwendung ab; ein gesetzter Header allein ist keine Sicherheitsgarantie.
Schutz vor Angriffen
Transport und Isolation
Datenschutz
CSP Content-Security-Policy Dringend empfohlen
Legt fest, welche Ressourcen eine Seite laden und welche Skripte der Browser ausführen darf.
Was Sie dazu einordnen sollten
Bei einer Skript-Injection kann eine passend durchgesetzte CSP eine zusätzliche Barriere bilden. Eine fehlende CSP beweist allein noch keine ausnutzbare Schwachstelle.
So wirkt der Header
Direktiven begrenzen unter anderem Skriptquellen und Netzwerkverbindungen. Wie gut die Policy schützt, hängt von ihren Regeln ab. Report-Only meldet Verstöße, blockiert sie aber nicht. Die eigentliche Anwendungslücke muss ebenfalls behoben werden.
HSTS Strict-Transport-Security Wichtig
Weist unterstützende Browser an, eine Domain für eine bestimmte Zeit nur über HTTPS aufzurufen.
Was Sie dazu einordnen sollten
Ohne bereits bekannte HSTS-Regel oder passenden Preload-Eintrag kann ein erster HTTP-Aufruf vor der Weiterleitung unverschlüsselt erfolgen.
So wirkt der Header
Der Browser merkt sich den über HTTPS empfangenen Header. Weitere passende HTTP-Aufrufe werden lokal auf HTTPS umgestellt. includeSubDomains und Preload benötigen Vorbereitung; ein gültiges Zertifikat bleibt erforderlich.
X-Frame-Options Clickjacking-Schutz Wichtig
Beschränkt, ob andere Seiten Ihre Website in einem Frame einbetten dürfen.
Was Sie dazu einordnen sollten
Bei einbettbaren sensiblen Oberflächen können fremde Seiten Nutzer zu unbeabsichtigten Klicks verleiten. Das konkrete Risiko hängt auch von anderen Schutzmaßnahmen ab.
So wirkt der Header
DENY untersagt das Einbetten, SAMEORIGIN erlaubt es nur innerhalb derselben Origin. CSP frame-ancestors bietet eine flexiblere Alternative. Prüfen Sie gewollte Einbettungen vor einer Änderung.
X-Content-Type-Options MIME-Sniffing-Schutz Wichtig
Begrenzt mit nosniff die abweichende Interpretation bestimmter Ressourcentypen durch den Browser.
Was Sie dazu einordnen sollten
Falsch deklarierte Ressourcen können in manchen Kontexten anders interpretiert werden als beabsichtigt. Ein Header ersetzt keine Prüfung hochgeladener Dateien.
So wirkt der Header
nosniff blockiert insbesondere Skript- und Stylesheet-Antworten mit unpassendem MIME-Typ. Korrekte Content-Type-Angaben und sichere Uploadregeln bleiben notwendig.
Referrer-Policy Datenschutz für Besucher Dringend empfohlen
Steuert, welche URL-Informationen der Browser als Referrer weitergibt.
Was Sie dazu einordnen sollten
Je nach Policy und Aufruf können Pfad- oder Abfrageinformationen weitergegeben werden. Ein fehlender Header bedeutet nicht automatisch, dass Browser die vollständige URL an fremde Websites senden.
So wirkt der Header
Die Policy kann Referrer auf die Origin beschränken oder ganz unterdrücken. Sensible Daten gehören unabhängig davon nicht in URLs. Prüfen Sie gewünschte Analyse- und Integrationsabläufe.
Permissions-Policy Browser-API-Kontrolle Empfohlen
Beschränkt die Verfügbarkeit ausgewählter Browserfunktionen für die Seite und eingebettete Inhalte.
Was Sie dazu einordnen sollten
Ohne ausdrückliche Einschränkung gelten die Vorgaben der jeweiligen Funktion und des Browsers. Eine fehlende Policy gibt Skripten nicht automatisch Zugriff auf Kamera oder Mikrofon.
So wirkt der Header
Die Policy kann Funktionen wie Kamera oder Mikrofon weiter einschränken. Sie ersetzt keine erforderliche Nutzerberechtigung und erteilt selbst keine Freigabe. Unterstützung und Voreinstellungen unterscheiden sich je Funktion.
COOP Cross-Origin-Opener-Policy Optional
Steuert, ob ein Dokument seinen Browser-Kontext mit über Fensterbeziehungen verbundenen Dokumenten teilt.
Was Sie dazu einordnen sollten
Bestimmte Beziehungen zwischen Fenstern können bestehen bleiben. Das ist keine Aussage darüber, ob ein fremder Tab beliebig Daten Ihrer Website lesen kann.
So wirkt der Header
Eine passende COOP-Policy trennt Browsing-Context-Gruppen. Gemeinsam mit geeigneter Einbettungspolitik kann sie Cross-Origin-Isolation ermöglichen. Prüfen Sie insbesondere Anmelde- und Zahlungs-Popups auf Verträglichkeit.
COEP Cross-Origin-Embedder-Policy Optional
Legt zusätzliche Anforderungen an das Laden von Ressourcen anderer Origins fest.
Was Sie dazu einordnen sollten
Ohne passende Isolationsbedingungen stehen bestimmte Browserfunktionen nicht zur Verfügung. Ein fehlender COEP-Header beweist keine Malware-Infektion.
So wirkt der Header
Bei require-corp brauchen betroffene fremde Ressourcen eine passende CORP- oder CORS-Freigabe. Die Policy überprüft nicht deren inhaltliche Vertrauenswürdigkeit. Testen Sie benötigte Einbettungen und Fremdressourcen.
Konkrete Einrichtungsschritte finden Sie in unseren Web-Sicherheitsratgebern. Fachliche Referenz: HTTP-Header bei MDN.
Vom Web-Ergebnis zum Report
Wenn Sie den Scanstand ablegen, erläutern oder weitergeben möchten, nutzen Sie den Web-Report. Er dokumentiert den jeweiligen Prüfumfang, Befunde und offene Messungen. PDF dient zum Lesen und Ablegen, DOCX zum Ergänzen, CSV zur weiteren Arbeit mit der Befundtabelle.
Die angebotenen Reportdateien sind in der kostenlosen Beta ohne E-Mail-Adresse erhältlich. Alle Formate beruhen auf demselben Scan; der Download führt keine weitere Prüfung aus.
Die E-Mail-Zusendung ist freiwillig und schaltet keine weiteren Inhalte frei. Speichern Sie benötigte Dateien lokal; ein erneuter Download ist nur möglich, solange das zugehörige Ergebnis verfügbar ist.
So gehen Sie vor
- Geben Sie die Adresse einer Website ein, die Sie prüfen dürfen, und starten Sie den Check.
- Lesen Sie die Befunde, Erläuterungen und Hinweise auf eingeschränkte Messungen.
- Speichern Sie bei Bedarf den Report. Nach einer Änderung können Sie selbst einen neuen Check starten und die beiden Prüfstände vergleichen.
Eine automatische Überwachung oder ein automatisch berechneter Vorher-/Nachher-Bericht ist damit nicht verbunden.
Fragen zum Website Security Check
Ist das ein Vulnerability Scanner?
Der Check untersucht ausgewählte, von außen sichtbare Konfigurationsmerkmale. Ein umfassender Vulnerability Scanner kann darüber hinaus aktiv nach bekannten oder ausnutzbaren Schwachstellen suchen. Solche Tests, eine Malwareanalyse und ein vollständiger Pentest gehören nicht zu diesem Web-Check.
Kann ich damit CSP und HSTS prüfen?
Ja. Der Check untersucht diese Header an der erreichten Antwort und ordnet ausgewählte Einstellungen ein. Er führt nicht alle Abläufe Ihrer Anwendung aus. Prüfen Sie Änderungen an einer CSP deshalb auch mit den tatsächlich benötigten Seitenfunktionen.
Wird jede Unterseite untersucht?
Nein. Ausgangspunkt ist die eingegebene Adresse mit den für den Check vorgesehenen Weiterleitungs- und Zusatzabfragen. Ein vollständiger Crawl Ihrer Website ist nicht enthalten.
Bedeutet eine gute Bewertung, dass meine Website sicher ist?
Sie beschreibt das Ergebnis innerhalb dieses Prüfumfangs. Nicht untersuchte Bereiche bleiben offen. Fehlerhafte Einstufungen sind möglich; auffällige Befunde sollten Sie fachlich prüfen. Bei unzureichender Messbasis kann die Gesamtnote im Report entfallen.
Warum kann derselbe Server verschiedene Ergebnisse liefern?
Unterschiedliche URLs, Weiterleitungen, vorgeschaltete Schutzsysteme oder zwischenzeitliche Änderungen können andere Antworten ergeben. Vergleichen Sie Ziel, Zeitpunkt und Messabdeckung. Ein erneuter Reportdownload aktualisiert die Messung nicht.
Bekomme ich damit einen Compliance-Nachweis?
Der Report kann technische Informationen für Ihre Dokumentation liefern. Er bestätigt keine DSGVO-, NIS2- oder sonstige rechtliche Konformität und ersetzt keine fachliche Gesamtprüfung.
Wie setze ich einen Befund um?
Nutzen Sie die Erklärung und vorhandene Empfehlung als Ausgangspunkt und gleichen Sie sie mit Ihrer Umgebung ab. Unsere Web-Sicherheitsratgeber helfen bei der weiteren technischen Arbeit. Eine persönliche Prüfung oder Umsetzung für Ihre Website ist im kostenlosen Check nicht enthalten.