Sicher ist kein Zustand. Es ist ein Protokoll.
Im Schadensfall zählt nicht, dass Ihre Website sicher war — sondern ob Sie es belegen können. Tutador prüft täglich nach 22 offen einsehbaren Kriterien, vergibt ein fälschungssicheres Siegel und führt den lückenlosen, datierten Nachweis, mit dem Sie dann Ihre Beweislast erfüllen.
Ergebnis in Sekunden · ohne Konto · ohne Installation · 18 von 22 Kriterien brauchen nichts als Ihre Domain
Dieses Siegel wird in diesem Moment aus unserer
Nachweiskette erzeugt. Klicken Sie es an: Die öffentliche Prüfseite
zeigt jedes Kriterium und den signierten Prüf-Token.
- Sicherheit B · 84 von 100
- Datenschutz (DSGVO) C · 76 von 100
- Barrierefreiheit (BFSG) B · 84 von 100 · Vorschau
Zwei Momente, in denen „eigentlich ist alles sicher“ nicht mehr reicht.
Der Schadensfall
Ein Angriff, ein Datenleck — und Ihre Cyberversicherung fragt: „Haben Sie Ihre Website nachweislich abgesichert gehalten?“ Jetzt zählt kein guter Wille, sondern ein datierter Beleg über Wochen und Monate — denn die Beweislast liegt beim Versicherungsnehmer (§ 28 Abs. 2 VVG), nicht beim Versicherer. Wer den Beleg nicht hat, riskiert, dass die Versicherung die Leistung kürzt oder verweigert.
Die stille Lücke
Ein Plugin, das seit Monaten eine bekannte Schwachstelle trägt. Ein abgelaufenes Zertifikat. Ein Tracker ohne Einwilligung. Von außen sieht die Seite aus wie immer — bis jemand die Lücke findet. Sie erfahren davon meist erst, wenn es zu spät ist.
Genau dafür gibt es Tutador. Sie tragen Ihre Domain ein, wir kümmern uns um den Rest: täglich prüfen, bei Mängeln sofort Alarm schlagen, das Vertrauen sichtbar machen — und den Nachweis führen, den im Ernstfall niemand mehr schnell nachreichen kann. Kein Fachwissen nötig, keine Software zu betreuen. Wer dahintersteht und nach welchen Grundsätzen wir arbeiten →
Vom kostenlosen Einstieg bis zum Agentur-Paket.
Bruttopreise, monatlich kündbar. Alle Einzelheiten weiter unten ↓
Ein Werkzeug, zwei Werte: sichtbares Vertrauen und belastbarer Nachweis.
Ihre Besucher sehen ein Siegel, dem sie trauen können. Und wenn Ihr Versicherer fragt, legen Sie einen datierten, lückenlosen Nachweis vor — statt Erinnerungen. Beides entsteht aus derselben täglichen Prüfung — automatisch.
Prüfsiegel mit Prüfdatum
Einbindbar auf Ihrer Website, kryptografisch signiert und fälschungssicher — Vertrauen auf den ersten Blick.
Versicherungs-Nachweis
Monatliches PDF mit lückenloser Nachweiskette — jede Prüfung, jedes Ergebnis, jeder Zeitstempel. Mit Monatsvergleich, offenen Punkten samt „offen seit" und klar benanntem Geltungsbereich. Musterbericht ansehen (PDF)
Tägliche Neuprüfung
Tutador prüft jede Nacht automatisch neu und erneuert das Siegel von selbst — ohne dass Sie daran denken müssen.
Mängel-Alarm
Fällt ein Kriterium durch, erfahren Sie es sofort — bevor es ein Angreifer oder Ihr Versicherer bemerkt.
Öffentliche Prüfseite
Jedes Siegel verlinkt auf die Prüfseite mit allen Einzelergebnissen — keine Blackbox, kein Marketing-Siegel.
Schwachstellen-Scan
Der Konnektor für WordPress und TYPO3 meldet die installierte Software; wir gleichen sie täglich gegen 50.000+ bekannte Schwachstellen ab. Datenbasis: Wordfence Intelligence (© Defiant Inc.) für WordPress, OSV/osv.dev für TYPO3 und Composer-Pakete — täglich aktualisiert.
Nicht nur „bestanden“ — sondern wie gut.
Das Siegel sagt Ja oder Nein. Die Note sagt, wie gut: eine Gesamtnote von A bis F, Teilnoten je Kategorie und der Verlauf über jede Prüfung. So sehen Sie Fortschritt, wo andere nur ein Häkchen zeigen — und wissen immer, woran Sie als Nächstes arbeiten.
Andere sehen die Außenhaut. Wir sehen ins CMS.
Eine Prüfung von außen zeigt, was ein Angreifer im Vorbeigehen sieht. Sie kann aber nicht wissen, welche Erweiterung in welcher Version tatsächlich auf Ihrem Server liegt — eine verwundbare Version verrät sich nach außen meist nicht. Genau dort setzt der Tutador-Konnektor an: ein Plugin für WordPress, eine Extension für TYPO3, installiert in wenigen Minuten.
Von außen: was jeder sehen kann
HTTPS-Umleitung, TLS-Zertifikat, Security-Header, offen erreichbare Dateien, E-Mail-Sicherheit, Tracking und externe Ressourcen. 18 der 22 Kriterien brauchen nichts als Ihre Domain — ganz ohne Installation.
Von innen: was kein Außen-Scan sieht
Der Konnektor meldet die echten Versionsstände von Kern, Plugins, Themes und Extensions. Wir gleichen sie täglich gegen Wordfence Intelligence (WordPress) und OSV/osv.dev (TYPO3, Composer) ab und prüfen die Härtung des Redaktionssystems. Diese vier Kriterien setzen den Konnektor voraus.
Schadsoftware zeigt sich in Dateien
Die Kerndateien werden gegen die offiziellen Prüfsummen von WordPress.org abgeglichen; zusätzlich fallen PHP-Dateien im Uploads-Verzeichnis auf — der klassische Ablageort für Hintertüren. Der Abgleich läuft bei Ihnen: Dateiinhalte verlassen Ihren Server nicht.
Jeder Befund kommt mit Beleg. Fehlalarme lassen sich nicht per Versprechen abschaffen — man muss sie überprüfbar machen. Deshalb steht zu jedem Kriterium auf Ihrer öffentlichen Prüfseite, was gemessen wurde: der Header im Wortlaut, die betroffene Datei, die gefundene Version, die CVE-Nummer, der Zeitstempel. Sie müssen uns nicht glauben — Sie können nachsehen, und Ihre Versicherung ebenso. Transparenz statt Blackbox.
Wir prüfen uns selbst — nach denselben Regeln.
Die einfachste Art, einem Sicherheitsversprechen zu misstrauen: Wie sicher ist die Website dessen, der es abgibt? Bei uns ist die Antwort öffentlich. tutador.de trägt dasselbe Siegel und dieselbe Note wie jede Kundenwebsite — live erzeugt, jederzeit nachprüfbar, inklusive jedem einzelnen Befund und dem signierten Prüf-Token.
Kein Wettbewerber macht sich so nachprüfbar. Sehen Sie selbst nach — Sie müssen uns kein Wort glauben.
Unsere Prüfseite ansehen →
Dieses Siegel wird in diesem Moment aus unserer
eigenen Nachweiskette erzeugt.
Ein Prüfdienst ist nur so verlässlich wie sein eigener Betrieb.
Fünf überwachte Nachtläufe
Prüfung, Mahnwesen, Zahlungsabgleich, Sicherung und Außer-Haus-Kopie schreiben je Lauf einen Herzschlag. Bleibt einer aus oder scheitert, schlägt unser Wächter noch am selben Tag Alarm — ein stiller Ausfall bleibt nicht still.
Ein zweiter, unabhängiger Standort
Ein Server in einem anderen Rechenzentrum prüft unsere Systeme rund um die Uhr alle fünf Minuten von außen. Fiele unser Server komplett aus, wüssten wir es nach spätestens zehn Minuten — über einen Alarmweg, der unseren Server nicht braucht.
Sicherung mit Außer-Haus-Kopie
Tägliche Datensicherung, automatisch auf Lesbarkeit und Inhalt geprüft — und zusätzlich verschlüsselt auf einen getrennten Speicher außerhalb des Servers übertragen. Der Rückweg von dort ist geprobt: Ein Serververlust kostet keine Kundendaten.
Wiederherstellung: geprobt, nicht vermutet
Eine Sicherung, die nie zurückgespielt wurde, ist nur eine Vermutung. Wir spielen unsere Sicherungen tatsächlich in eine Probeumgebung zurück und vergleichen den Bestand — zuletzt bestanden am 02.09.2026.
Warum wir das erzählen? Weil Ihr Nachweis nur so viel wert ist wie der Dienst, der ihn führt. Nach welchen Grundsätzen wir arbeiten →
In vier Schritten geschützt — den Rest übernehmen wir.
Sie müssen nichts über Websicherheit wissen. Vom Eintragen bis zum fertigen Nachweis führt Tutador Sie durch jeden Schritt.
Domain eintragen und bestätigen
Kostenloses Konto anlegen, Domain angeben und per DNS-Eintrag bestätigen, dass sie Ihnen gehört. Dieser Nachweis schützt Sie: Niemand kann fremde Websites eintragen. Kein Zugriff auf Ihren Server nötig.
Erstprüfung sofort
Die Prüfung nach dem Tutador-Katalog startet in Sekunden. Das Ergebnis sehen Sie direkt im Portal.
Siegel einbinden
Ein kurzes Code-Schnipsel auf Ihrer Seite — fertig. Das Siegel verlinkt auf Ihre öffentliche Prüfseite.
Nachweis erhalten
Jeden Monat auf Knopfdruck: das PDF für Ihre Cyberversicherung, den Makler oder das Audit.
Ab 22,61 € im Monat. Kein Kleingedrucktes, jederzeit kündbar.
Sie wissen vorab genau, was Sie bekommen — und binden sich an nichts. Ein Monat kostet weniger als eine einzige Stunde, die Sie im Schadensfall mit dem Zusammensuchen von Belegen verbringen würden.
Sehen, wo Ihre Website steht — ohne Siegel und ohne Alarm.
- Wöchentliche Prüfung von 18 der 22 Kriterien, ohne Zugriff auf Ihr System
- Note und vollständiger Prüfbericht im Portal
- Kein Siegel, kein Nachweis-PDF, keine Benachrichtigung bei Mängeln
Das sichtbare Siegel mit täglicher Prüfung.
- Tägliche Prüfung von 18 der 22 Kriterien, ohne Zugriff auf Ihr System
- Signiertes Prüfsiegel zum Einbinden
- Öffentliche Prüfseite je Website
- E-Mail-Alarm bei Mängeln
Siegel plus monatlicher Nachweis — Ihre Beweiskette für den Ernstfall.
- Alles aus Siegel
- Monatlicher Versicherungs-Nachweis (PDF)
- Schwachstellen-Tiefenprüfung per Konnektor (WordPress & TYPO3) für die restlichen 4 Kriterien
Der volle Umfang, fünf Websites im Grundpreis.
- Alles aus Nachweis
- Vorrangiger Support
Viele Kundenwebsites, ein Vertrag, Staffelpreise.
- Alles aus Komplett
- Zentrale Übersicht über alle Websites
- Persönlicher Ansprechpartner
Angegeben sind Bruttopreise (Gesamtpreis) und Nettopreise. Monatlich kündbar. Alle Tarife im Detail →
22 Kriterien, offen einsehbar — kein Geheimnis, kein Marketing-Häkchen.
22 Kriterien in 4 Kategorien, transparent verlinkt auf jeder Siegelseite. Geprüft wird von außen — so wie ein Angreifer Ihre Website sieht — und mit dem Konnektor zusätzlich von innen. Jedes Kriterium zahlt auf die Teilnote seiner Kategorie ein.
Für jede Website — unabhängig von der Technik. Das Siegel und 18 der 22 Kriterien brauchen nichts als Ihre Domain: ob Shopware, Joomla, Drupal, Baukasten oder handgeschriebenes HTML. 4 Kriterien blicken ins System hinein; dafür gibt es den Konnektor — heute für WordPress und TYPO3.
Priorisiert nach dem, was wirklich angegriffen wird. Wir gleichen Ihre installierte Software nicht nur gegen Schwachstellen-Verzeichnisse ab, sondern auch gegen den Katalog bekannter ausgenutzter Schwachstellen der US-Cybersicherheitsbehörde CISA. Steht eine Lücke dort, wird sie bei uns immer als Mangel geführt — unabhängig von ihrer Punktzahl. Dazu nennen wir die Ausnutzungswahrscheinlichkeit nach EPSS (FIRST.Org) zur Einordnung. Alle Datenquellen: CISA, FIRST.Org, Wordfence Intelligence und OSV
Sicherheit
Schutz vor Angriffen und Datenabfluss — Grundlage des Siegels und des Versicherungsnachweises.
- 01 Umleitung auf HTTPS
- 02 TLS-Zertifikat
- 03 Security-Header
- 04 Preisgabe von Versionsinformationen
- 05 Offen erreichbare sensible Dateien
- 06 Cookie-Schutzattribute
- 07 Unverschlüsselt geladene Inhalte
- 08 E-Mail-Sicherheit (SPF, DMARC)
- 09 Aktualität von CMS und Erweiterungen mit Konnektor
- 10 Absicherung des Redaktionssystems mit Konnektor
- 11 Bekannte Schwachstellen in installierter Software zählt nicht für das Siegel mit Konnektor
- 12 Anzeichen für Schadsoftware (Dateiintegrität) zählt nicht für das Siegel mit Konnektor nur WordPress
- 13 Erzwungene Verschlüsselung (HSTS-Qualität)
- 14 DNS-Absicherung (CAA, Redundanz)
- 15 Verschlüsselter E-Mail-Transport (MTA-STS)
- 16 Datenbank-Ports von außen zählt nicht für das Siegel
Datenschutz (DSGVO)
Pflichten aus DSGVO und TDDDG: Informationspflichten, Datenübermittlung an Dritte, Einwilligung.
- 17 Externe Ressourcen
- 18 Tracking ohne Einwilligung
- 19 Impressum und Datenschutzerklärung
Barrierefreiheit (BFSG) Vorschau
Barrierefreiheitsstärkungsgesetz, Prüfmaßstab WCAG 2.1 AA. Automatisch prüfbar ist nur ein Teil — eine manuelle Prüfung bleibt erforderlich. Dieser Bereich zählt nicht für das Siegel.
- 20 Barrierefreiheitserklärung
- 21 Technische Grundlagen der Barrierefreiheit
Cyber Resilience Act Vorschau
EU Cyber Resilience Act: Adressiert sind Hersteller von Produkten mit digitalen Elementen — eine reine Firmenwebsite fällt in der Regel nicht darunter. Meldepflichten ab 09/2026, volle Produktpflichten ab 12/2027. Dieser Bereich zählt nicht für das Siegel.
- 22 Meldeweg für Schwachstellen (security.txt)
zählt nicht für das Siegel an einem einzelnen Kriterium heißt: Es entscheidet noch nicht über das Siegel — auf Ihre Note zahlt es aber bereits ein. Vorschau an einer ganzen Kategorie heißt: Sie zählt weder fürs Siegel noch für die Note — bei Barrierefreiheit, weil automatische Tests nur einen Teil der Anforderungen erfassen, beim Cyber Resilience Act, weil die Pflichten erst 2026 und 2027 greifen. Mit Konnektor setzt das Tutador-Plugin in Ihrem Redaktionssystem voraus. Der Katalog wächst weiter; neue Kriterien starten immer als Vorschau, damit niemand sein Siegel durch eine Erweiterung verliert, von der er nichts wusste.
Was Sie vor dem Start wissen wollen.
Brauche ich technisches Wissen?
Nein. Sie tragen Ihre Domain ein, alles Weitere übernimmt Tutador. 18 der 22 Kriterien brauchen nichts als die Domain — ganz ohne Installation. Nur für den tiefen Blick ins CMS gibt es ein Plugin, das in wenigen Minuten eingerichtet ist.
Was ist der Konnektor — und sieht Tutador dabei meine Daten?
Der Konnektor ist ein Plugin für WordPress bzw. eine Extension für TYPO3. Er meldet uns die Versionsstände Ihrer Erweiterungen und das Ergebnis eines Dateiabgleichs. Der Abgleich läuft auf Ihrem Server — Dateiinhalte, Kundendaten oder Passwörter verlassen Ihr System nie. Zu uns gelangen nur die Prüfergebnisse.
Was passiert, wenn meine Website durchfällt?
Dann erhalten Sie kein Siegel — und von uns eine klare Liste, was zu tun ist, mit Beleg zu jedem Punkt. Sobald die Mängel behoben sind, vergibt die nächste Prüfung das Siegel automatisch. Die Note sehen nur Sie, im Portal und im Bericht; öffentlich wird niemand mit einer schlechten Bewertung vorgeführt.
Wie hilft mir das bei meiner Cyberversicherung?
Im Nachweis-Tarif erstellt Tutador jeden Monat ein PDF mit der lückenlosen Nachweiskette — jede Prüfung, jedes Ergebnis, jeder Zeitstempel, dazu Vormonatsvergleich und offene Punkte samt „offen seit". Im Schadensfall liegt die Beweislast bei Ihnen als Versicherungsnehmer (§ 28 VVG); dieses PDF ist die datierte Dokumentation dafür. Ob sie im Einzelfall genügt, entscheidet Ihr Versicherer; einen Musterbericht mit Beispieldaten können Sie vorab unter tutador.de/musterbericht.pdf ansehen.
Kann ich jederzeit kündigen?
Ja. Alle Tarife sind monatlich kündbar, ohne Mindestlaufzeit, mit einem Klick über den Kündigungsbutton nach § 312k BGB. Nach dem Vertragsende erlischt das Siegel; Ihr Konto und Ihre bisherigen Prüfberichte bleiben im unentgeltlichen Umfang bestehen, bis Sie Ihr Konto löschen. Die Aufbewahrungsfristen nennt die Datenschutzerklärung.
Werden meine Daten in Deutschland verarbeitet?
Ja. Tutador läuft auf Servern in Deutschland (Hetzner), DSGVO-konform, und bindet keine externen Ressourcen ein — die Siegel selbst enthalten keinen fremden Code. Zahlungen wickelt der EU-Dienstleister Mollie ab; Kartendaten erreichen unsere Systeme nie.
Arbeitet Tutador mit KI?
Die Prüfung selbst: nein. Jedes Kriterium ist eine feste Regel, und jede Note folgt aus einer offen dokumentierten Rechnung — 100 Punkte je Kategorie, minus 25 je Mangel, minus 8 je Warnung. Kein Sprachmodell entscheidet über ein Ergebnis, und Ihre Prüfdaten werden an keinen KI-Dienst übergeben. Die Website und die Software dahinter entstehen mit KI-Unterstützung, unter menschlicher Verantwortung: Jede Änderung durchläuft automatische Prüfungen und wird von einem Menschen freigegeben. Einzelheiten: /datenquellen#ki
Tragen Sie Ihre Domain ein — den Rest übernehmen wir.
Kostenlos starten, Erstprüfung sofort. Keine Kreditkarte nötig, jederzeit kündbar.
Ergebnis in Sekunden — Konto erst danach, wenn Sie mögen.
Das bekommen Sie sofort — kostenlos:
- Erstprüfung Ihrer Website in Sekunden
- Sicherheits-Rating: Gesamtnote A–F und Teilnoten
- Vollständiger Prüfbericht im Portal
- Wöchentliche automatische Neuprüfung
Prüfsiegel, tägliche Prüfung und monatlicher Nachweis: in den bezahlten Tarifen.
Erst das Live-Siegel ansehen Schon ein Konto? Anmelden