Ist Ihre Website sicher eingerichtet? Passiver Test in zwei Minuten

Einfach gesagt: Der Check schaut von außen, ob Ihre Website verschlüsselt ist und die üblichen Schutz-Einstellungen hat. Er greift nichts an. Kostenlos, Ergebnis in 1–2 Minuten.

Der Sicherheits-Check der Webagentur Scherzinger prüft kostenlos und ohne Anmeldung, was jeder Besucher sehen kann: HTTPS, Zertifikat, TLS-Version, Sicherheits-Header, unverschlüsselte Inhalte, Cookies und sichtbare Software-Versionen. Dazu liest er öffentliche DNS-Einträge Ihrer Domain (SPF, DMARC, DKIM-Stichprobe) – rein passiv, ohne Angriffe und ohne Penetrationstest.

Was der Sicherheits-Check prüft

Besucher ruft Ihre Seite auf

Verbindung

Ist der Weg zur Seite verschlüsselt?

Verschlüsselung
HSTS

Browser-Schutz

Hilft die Seite dem Browser beim Schutz?

Sicherheits-Header

Inhalt und Technik

Ist alles sauber und aktuell?

Inhalte
Software

Befunde im Bericht

Nach Wirkung sortiert, mit Ursache und Lösung.

Was ein Besucher von der Sicherheit Ihrer Seite sieht, rein passiv geprüft. Schematische Darstellung.

Was geprüft wird

6 Prüfpunkte

Verschlüsselung: HTTPS aktiv, HTTP leitet dauerhaft auf HTTPS um, Zertifikat gültig und nicht kurz vor dem Ablauf (Warnung unter 14 Tagen), ausgehandelte TLS-Version, Zertifikat auch für die zweite Adressvariante (mit oder ohne www) gültig.
HSTS: Strict-Transport-Security gesetzt, Laufzeit mindestens 180 Tage; für die volle Wertung ein Jahr und Unterdomänen.
Sicherheits-Header: Content-Security-Policy (ohne unsafe-inline für Skripte, mit base-uri), X-Content-Type-Options, Schutz vor Einbettung (Clickjacking), Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy; HSTS, nosniff und Referrer-Policy stehen auch auf den Unterseiten, nicht nur auf der Startseite.
Inhalte: Keine unverschlüsselt geladenen Skripte oder Bilder auf HTTPS-Seiten, Formulare senden verschlüsselt und an die eigene Herkunft, Cookies mit Schutz-Attributen, Seiten mit persönlichen Daten werden nicht zwischengespeichert, keine Freigabe für jede fremde Herkunft (CORS).
Software: Server-Header verraten keine Versionen, keine veraltete PHP-Version, kein veraltetes jQuery oder andere veraltete Bibliotheken, keine öffentlich sichtbare CMS-Version.
Seitenhygiene: Fremde Bibliotheken mit Integritätsprüfung (SRI), externe Links in neuen Fenstern mit rel=noopener, keine Ereignisbehandlung direkt im HTML, keine sichtbaren Fehlermeldungen oder Entwicklungsspuren, keine Verzeichnisauflistung.

E-Mail-Schutz: Kann jemand in Ihrem Namen Mails fälschen?

5 Prüfpunkte

Mailserver: Für die Domain ist ein Mailserver (MX) eingetragen, damit Mails ankommen. Fehlt er, zählt das nur leicht; der Bericht sagt, falls die Domain gar keine Mails nutzt, sei das in Ordnung.
SPF: Ein einziger SPF-Eintrag, der mit ~all oder -all endet und höchstens zehn DNS-Abfragen auslöst.
DMARC: Ein DMARC-Eintrag ist vorhanden; die Richtlinie filtert mindestens mit „quarantine“ statt nur zu beobachten („none“) und gilt für alle Mails.
DKIM: Stichprobe: Gefunden wird nur, was unter gängigen Selector-Namen veröffentlicht ist. Ein Fund wird gewertet, kein Fund wird nicht als Mangel gezählt.
Hauptname: Kein CNAME auf dem Hauptnamen der Domain, weil daneben keine MX- und SPF-Einträge bestehen dürfen.

Bei veralteter Software stellt sich die Frage: nachbessern oder neu bauen? Die Webagentur Scherzinger erklärt es in Website überarbeiten oder neu bauen.

Warum das auch für kleine Seiten zählt

Browser warnen bei abgelaufenen Zertifikaten und unverschlüsselten Formularen deutlich – viele Besucher brechen dann ab. Veraltete Software ist das häufigste Einfallstor für automatisierte Angriffe auf kleine Websites. Die meisten Punkte lassen sich mit wenigen Zeilen in der Server-Konfiguration beheben.

Warum E-Mail-Schutz zur Website gehört

Ohne SPF- und DMARC-Eintrag kann jeder Mails verschicken, die so aussehen, als kämen sie von Ihrer Domain. Empfänger können echte und gefälschte Mails dann nicht unterscheiden, und Ihre echten Mails landen eher im Spam. Der Check liest dafür nur öffentliche DNS-Einträge, so wie jeder Mailserver es beim Empfang tut. Er verbindet sich nicht mit Ihrem Mailserver und verschickt keine Mails.

Grenzen

Was dieser Check nicht kann

Rein passiv: Es werden keine Pfade ausprobiert, keine Formulare abgeschickt und keine Lücken gesucht. Das ist kein Penetrationstest.
Bei TLS wird nur die ausgehandelte Version gesehen, nicht, ob der Server zusätzlich alte Versionen anbietet.
DKIM ist nur eine Stichprobe: Der Schlüsselname (Selector) steht nur im Kopf einer Mail, der Check probiert gängige Namen. „Nichts gefunden“ heißt nicht „kein DKIM“, deshalb zählt es nicht als Mangel.
Liegt Ihre Website auf einer Plattform-Adresse wie railway.app oder github.io, entfällt der E-Mail-Teil, weil die Einträge dort nicht Ihnen gehören. Der Check sieht auch nicht, ob Ihr Anbieter Mails tatsächlich signiert.
Sicherheit zählt mit 5 Prozent in den Gesamtwert; ein ungültiges Zertifikat begrenzt den Bereich trotzdem deutlich.

FAQ

Häufige Fragen zum Sicherheits-Check

Ist der Sicherheits-Check ein Angriff auf meine Seite?

Nein. Er ruft Ihre Seite auf wie ein normaler Besucher und wertet die Antworten aus. Es werden keine Formulare abgeschickt und keine Schwachstellen ausprobiert.

Was ist HSTS?

Ein Header, der Browsern sagt, Ihre Seite für eine bestimmte Zeit nur noch verschlüsselt aufzurufen. Empfohlen ist mindestens ein halbes Jahr.

Was ist Mixed Content?

Eine HTTPS-Seite, die einzelne Bilder oder Skripte über unverschlüsseltes HTTP lädt. Browser blockieren solche Skripte oder zeigen eine Warnung.

Was sind SPF, DKIM und DMARC?

Drei Einträge im DNS Ihrer Domain gegen gefälschte Absender. SPF nennt die Server, die in Ihrem Namen senden dürfen. DKIM signiert Mails. DMARC legt fest, was mit Fälschungen geschieht. Der Check liest sie nur aus, er schickt keine Mail.

Ersetzt das eine Sicherheitsprüfung?

Nein. Für Shops, Kundenportale oder sensible Daten brauchen Sie eine fachliche Prüfung durch Sicherheitsexperten.

Aus dem Ratgeber

Bereit? Der Check dauert ein bis zwei Minuten.

Sie bekommen alle 10 Prüfbereiche, nicht nur diesen – mit Maßnahmenplan.

Jetzt prüfen Alle Prüfungen Zur Methodik