Die Website läuft.
Aber ist sie auch sicher?
Die meisten Websites kleiner Betriebe sind nicht unsicher, weil jemand geschlampt hätte, sondern weil seit dem Aufsetzen niemand mehr hingesehen hat. Ein Zertifikat läuft ab, ein Schutzeintrag für den Mailversand fehlt, eine Serverversion steht offen im Antwortkopf. Das merkt man nicht im Alltag. Man merkt es an dem Tag, an dem die eigenen Angebote im Spam landen oder der Browser eine Warnung davorschiebt.
Die Sicherheitsprüfung sagt in normaler Sprache, wie es tatsächlich steht. Der erste Blick kostet nichts.
Beleg aus der Praxis: Dieselben Prüfungen laufen jeden Morgen über die eigenen Seiten, beschrieben unter Technik und Betrieb.
Was geprüft wird
Sieben Punkte, die in der Praxis am häufigsten daneben liegen. Gemessen wird jeweils der Inhalt einer Regel, nicht ihr Vorhandensein: Eine Schutzregel, die nichts verbietet, besteht sonst jede Prüfung.
Verschlüsselung und Zertifikat
Ist die Verbindung verschlüsselt, gilt das für alle Adressen der Seite, und wann läuft das Zertifikat ab? Ein abgelaufenes Zertifikat ist der einzige Fehler, den jeder Besucher sofort sieht, weil der Browser eine ganzseitige Warnung davorschiebt.
Sicherheits-Kopfzeilen, inhaltlich gelesen
Mit jeder Seite verschickt der Server Regeln darüber, was im Browser laufen darf. Sie sind oft vorhanden und erlauben trotzdem alles. Geprüft wird deshalb, was tatsächlich in der Regel steht, nicht ob eine Zeile da ist.
Kommen die eigenen Mails an?
Drei öffentliche Einträge entscheiden darüber, ob Antworten im Posteingang oder im Spam landen (SPF, DKIM, DMARC). Auch hier zählt der Inhalt: Ein Eintrag, der Fälschungen zwar erkennt, aber ausdrücklich nichts dagegen unternimmt, ist ein Papiertiger.
Was der Server über sich verrät
Viele Server nennen ungefragt ihre genaue Versionsnummer. Für einen Angreifer ist das die Abkürzung: Er muss nichts ausprobieren, sondern nachschlagen, welche Lücken zu genau dieser Version bekannt sind.
Fremde Bausteine auf der eigenen Seite
Schriftarten, Karten, Bewertungs-Widgets und Zählwerkzeuge laden Code von fremden Servern nach. Geprüft wird, wer das ist, ob es überhaupt gebraucht wird, ob es ohne Prüfsumme eingebunden ist und ob dabei Daten fließen, bevor jemand zugestimmt hat.
Cookies vor der Einwilligung
Setzt die Seite schon Cookies, bevor irgendjemand auf einen Knopf geklickt hat? Das ist der häufigste und zugleich der am leichtesten behebbare Datenschutzfehler, und er steht in jeder Beanstandung zuerst.
Funktion statt nur Erreichbarkeit
Der teuerste Ausfall ist nie die tote Seite, sondern die Seite, die lädt, während die Funktion dahinter still steht. Deshalb wird angestoßen, was wirklich zählt: Antwortet das Kontaktformular, antwortet der Chat, antwortet die Buchung?
Drei Stufen, eine Entscheidung nach der anderen
Jede Stufe steht für sich. Keine verpflichtet zur nächsten.
Erstblick
Für alle, die erst einmal wissen wollen, ob es brennt
kostenlos einmalig
Antwort in wenigen Sätzen, keine Verpflichtung
- Zertifikat, Verschlüsselung, Schutzeinträge für den Mailversand
- Eine Einstufung in drei Stufen: unkritisch, sollte bald angesehen werden, dringend
- Geprüft wird ausschließlich, was die Seite ohnehin jedem Besucher zeigt
Sicherheits-Bericht
Einmalig, für eine bestehende Website
105,91 € brutto, einmalig (89,00 € netto)
Ergebnis in Klartext, kein Werkzeug-Auswurf
- Alle sieben Punkte von oben, vollständig geprüft
- Jeder Fund in normaler Sprache erklärt, nach Dringlichkeit sortiert
- Dazu jeweils, was konkret zu tun ist und wie eilig es wirklich ist
- Als Dokument, mit dem auch ein anderer Dienstleister arbeiten kann
- Wird daraus ein Auftrag, wird der Bericht voll angerechnet
Sicherheits-Wache
Laufend, für eine Website, die woanders liegt
9,52 € brutto / Monat (8,00 € netto)
Meldung nur, wenn etwas gefunden wurde
- Täglicher Lauf derselben Prüfungen
- Alle drei Stunden: Antwortet die Funktion dahinter noch?
- Zertifikate werden gemeldet, bevor sie ablaufen
- Meldung bei Fund, sonst Ruhe
Liegt die Website auf unseren Servern, läuft die Wache ohne Aufpreis mit. Dort prüft derselbe Lauf ohnehin jeden Tag, und was im Hosting schon drin ist, wird nicht ein zweites Mal berechnet. Bezahlt wird sie für eine Website, die woanders liegt: Die muss eigens aufgenommen werden, und der Funktions-Check muss erst erfahren, was auf genau dieser Seite die Kernfunktion ist.
Der Bericht sagt, wie es heute steht. Die Wache sagt, wenn es sich ändert. Ein Einbruch kommt selten am Tag der Prüfung. Die großen Zahlen sind Bruttopreise mit 19 % Umsatzsteuer, der Nettopreis steht jeweils daneben.
Und was ausdrücklich nicht passiert
Weil eine Sicherheitsprüfung ohne klare Grenze selbst ein Problem wäre.
Ohne Auftrag wird nur gelesen, was ohnehin jeder sieht
Der kostenlose Erstblick löst nichts aus, was ein gewöhnlicher Besucher nicht auch auslöst: die Startseite abrufen, die Kopfzeilen der Antwort lesen, den ausgelieferten Quelltext ansehen, die öffentlichen DNS-Einträge abfragen. Es wird nichts geschrieben, nichts bestellt, nichts abgeschickt und nichts verändert.
Die tiefergehende Prüfung ruft dagegen gezielt Adressen ab, die niemand verlinkt hat, um zu sehen, ob dort etwas offen liegt. An eigenen Systemen gehört das selbstverständlich dazu. An einer fremden Website wäre es ohne Einwilligung des Betreibers strafbar (§ 202a StGB). Sie läuft deshalb erst nach schriftlicher Beauftragung durch denjenigen, dem die Website gehört, und die Freigabe ist eine ausdrückliche Liste von Adressen, kein Schalter. Ein Schalter wird irgendwann versehentlich gesetzt, eine Liste nicht.
Ebenfalls nicht Gegenstand dieser Leistung: eine rechtliche Bewertung. Was auffällt, wird benannt, auch wenn es Datenschutz oder Impressum betrifft. Ob daraus ein Rechtsproblem folgt, beurteilt eine Anwältin oder ein Anwalt, nicht eine Prüfung.
Häufige Fragen zur Sicherheitsprüfung
Kurz und ehrlich beantwortet.
Warum kostet der Bericht etwas, wenn der Erstblick kostenlos ist?
Weil es zwei verschiedene Dinge sind. Der Erstblick beantwortet eine Frage: Brennt es, oder brennt es nicht. Das dauert Minuten und wird gern verschenkt. Der Bericht ist das Dokument danach: jeder einzelne Fund, nach Dringlichkeit sortiert, in normaler Sprache erklärt und mit dem, was konkret zu tun ist. Daran sitzt ein Mensch mehrere Stunden, und damit lässt sich auch arbeiten, wenn die Umsetzung jemand ganz anderes übernimmt.
Es gibt automatische Prüfungen ab 39 Euro. Warum dann 105,91 Euro brutto (89 Euro netto)?
Ein Automat liefert eine Liste. Die Liste ist meist richtig und trotzdem unbrauchbar, weil darin ein abgelaufenes Zertifikat neben einer fehlenden Kopfzeile steht, die seit Jahren niemanden stört. Hier liest ein Mensch das Ergebnis und schreibt auf, was davon wirklich zählt, was warten kann und was gar nicht zutrifft. Zum Vergleich: Ein vergleichbarer einmaliger Check am Markt liegt bei etwa 98 Euro, ein Agentur-Audit beginnt bei rund 140 Euro netto.
Wird beim Prüfen etwas an der Website verändert?
Nein. Der Erstblick liest ausschließlich das, was die Website ohnehin jedem Besucher ausliefert: die Startseite, die Kopfzeilen der Antwort, den ausgelieferten Quelltext, die öffentlichen DNS-Einträge. Es wird nichts geschrieben, nichts bestellt, nichts abgeschickt. Tiefergehende Prüfungen laufen erst nach schriftlicher Beauftragung durch den Betreiber.
Die Website stammt gar nicht von MelucioLabs. Geht das trotzdem?
Ja, und das ist der Normalfall. Der Bericht ist bewusst so geschrieben, dass die bisherige Agentur damit arbeiten kann. Es gibt keine Bedingung, danach etwas zu beauftragen. Wird der Bericht doch zum Auftrag, werden die 105,91 Euro brutto (89 Euro netto) auf die erste Rechnung angerechnet.
Reicht eine einmalige Prüfung?
Für eine Bestandsaufnahme ja. Für den Betrieb nicht, denn ein Einbruch kommt selten am Tag der Prüfung. Ein Zertifikat läuft ab, ein Update ändert eine Einstellung, ein Dienstleister nimmt eine Freigabe zurück. Dafür gibt es die Sicherheits-Wache: dieselben Prüfungen täglich, dazu alle drei Stunden die Frage, ob die Funktion dahinter noch antwortet. Gemeldet wird nur, wenn etwas gefunden wurde. Liegt die Website auf unseren eigenen Servern, ist das ohne Aufpreis dabei; bezahlt wird die Wache für eine Website, die woanders liegt.
Was ist der Unterschied zwischen Erreichbarkeit und Funktion?
Der teuerste Ausfall ist nie die tote Seite, sondern die Seite, die lädt, während die Funktion dahinter still steht. Ein Kontaktformular, das ins Leere sendet, sieht für jede gewöhnliche Überwachung grün aus. Genau so blieb der Chat einer Diabetes-Informationsseite fünfzehn Tage lang stumm, ohne dass irgendetwas Alarm schlug. Deshalb wird hier nicht nur geprüft, ob die Seite antwortet, sondern ob Kontaktformular, Chat und Buchung wirklich reagieren.
Wie lange dauert es, und was wird dafür gebraucht?
Gebraucht wird die Adresse der Website, sonst nichts. Kein Zugang, kein Passwort, keine Freigabe. Der Erstblick kommt in der Regel am selben oder am nächsten Tag zurück, der schriftliche Bericht innerhalb weniger Werktage.
Wie steht es um die eigene Website?
Eine kurze Nachricht mit der Adresse der Website reicht. Der Erstblick kommt in Klartext zurück und verpflichtet zu nichts.