Woher unsere Daten stammen
Ein Sicherheitsbefund ist nur so gut wie die Quelle dahinter. Deshalb legen wir offen, welche Verzeichnisse wir auswerten, was jedes einzelne beiträgt und wie aktuell es ist. Alle genannten Quellen sind öffentlich zugänglich — Sie können jede Angabe selbst nachprüfen.
Katalog bekannter ausgenutzter Schwachstellen (KEV)
Herausgeber: Cybersecurity and Infrastructure Security Agency (CISA) — die Cybersicherheitsbehörde des U.S. Department of Homeland Security. Quelle: cisa.gov
Was er beiträgt: Dieser Katalog führt ausschließlich Schwachstellen, deren Ausnutzung tatsächlich beobachtet wurde — keine theoretischen Risiken, sondern Lücken, die nachweislich angegriffen werden. Steht eine Lücke Ihrer Website dort, stufen wir sie immer als Mangel ein, auch wenn ihre technische Bewertungszahl niedrig ausfällt. Eine nachweislich angegriffene Lücke als „geringfügig" durchzuwinken, wäre die gefährlichste Sorte Genauigkeit.
Aktualität: täglicher Abgleich.
Exploit Prediction Scoring System (EPSS)
Herausgeber: FIRST.Org, Inc. — Forum of Incident Response and Security Teams. Quelle: first.org/epss
Was es beiträgt: eine täglich neu berechnete Schätzung, wie wahrscheinlich eine Schwachstelle in den nächsten 30 Tagen ausgenutzt wird. Wir nennen diesen Wert im Bericht als Einordnung — er verschärft aber nie eine Bewertung. Eine Wahrscheinlichkeit ist keine Feststellung, und wir behandeln sie auch nicht so.
Aktualität: täglicher Abgleich.
Wordfence Intelligence Vulnerability Database
Herausgeber: Defiant, Inc. Quelle: wordfence.com/threat-intel
Was sie beiträgt: das umfassendste öffentliche Verzeichnis für WordPress — Kern, Plugins und Themes, jeweils mit den genau betroffenen Versionsbereichen. Erst diese Bereichsangaben ermöglichen die Aussage, ob Ihre installierte Version betroffen ist, statt nur „für dieses Plugin existiert eine Lücke".
Aktualität: nächtlicher Abgleich.
Open Source Vulnerabilities (OSV)
Betreiber: osv.dev, ein offenes Projekt mit Beteiligung von Google und der Open Source Security Foundation. Quelle: osv.dev
Was es beiträgt: Schwachstellen in Composer-Paketen und damit in TYPO3, Drupal, Shopware, Magento und weiteren Systemen — der Bereich, den WordPress-Verzeichnisse naturgemäß nicht abdecken.
Aktualität: nächtlicher Abgleich.
Wie schnell eine neue Lücke bei uns ankommt
Unser Abgleich ist tagesaktuell — unser Wissen ist es nicht zwangsläufig. Zwischen dem Tag, an dem eine Schwachstelle erstmals irgendwo öffentlich wird, und dem Tag, an dem sie in einem der oben genannten Verzeichnisse steht, liegen in der Regel einige Tage. Diese Zeit können wir nicht verkürzen: Wir prüfen jede Nacht neu, aber wir können nur finden, was bereits veröffentlicht ist.
Das ist kein Mangel unserer Technik, sondern eine Eigenschaft jeder Schwachstellen-Datenbank — auch der teuren. Wir schreiben es hierher, weil die Alternative wäre, „tagesaktuell“ so klingen zu lassen, als wären Sie damit gegen brandneue Angriffe geschützt. Sind Sie nicht, und niemand ist es.
Was daraus folgt: Der Wert einer laufenden Prüfung liegt nicht darin, die erste Stunde abzudecken, sondern darin, dass eine einmal bekannte Lücke nicht monatelang offen bleibt — und dass belegbar ist, wann sie erkannt und wann sie geschlossen wurde.
Was wir daraus machen
Der eigentliche Wert liegt nicht darin, eine Nummer zu melden. Aus diesen Quellen entsteht:
- ein Verzeichnis Ihrer tatsächlich installierten Software (mit unserem Konnektor für WordPress oder TYPO3),
- die Prüfung, ob Ihre konkrete Version im betroffenen Bereich liegt — nicht nur, ob es für die Komponente irgendeine Lücke gibt,
- die Zusammenführung doppelter Meldungen: Dieselbe Schwachstelle taucht oft in mehreren Verzeichnissen auf; bei uns steht sie einmal, mit allen Fundstellen,
- eine Priorisierung nach tatsächlicher Ausnutzung statt nach Punktzahl allein,
- und die datierte Nachverfolgung: wann eine Lücke erkannt und wann sie geschlossen wurde. Das ist der Teil, der im Schadensfall zählt.
Arbeitet Tutador mit KI?
Die Prüfung selbst: nein. Jedes Kriterium ist eine feste Regel, und jede Note folgt aus einer offen dokumentierten Rechnung — 100 Punkte je Kategorie, minus 25 je Mangel, minus 8 je Warnung. Kein Sprachmodell entscheidet über ein Ergebnis, keine Note entsteht aus einer Schätzung, und Ihre Prüfdaten werden an keinen KI-Dienst übergeben. Genau deshalb können Sie jedes Ergebnis nachrechnen, statt es glauben zu müssen.
Die Website und die Software dahinter: ja, mit KI-Unterstützung. Entwickelt wird mit KI-Werkzeugen, unter menschlicher Verantwortung: Jede Änderung durchläuft automatische Prüfungen und wird von einem Menschen freigegeben, der dafür einsteht. Eine Kennzeichnungspflicht besteht dafür nach unserer Einschätzung nicht — Artikel 50 der KI-Verordnung betrifft Chatbots, Deepfakes und Texte zu Angelegenheiten von öffentlichem Interesse. Wir sagen es hier trotzdem, weil es die Frage beantwortet, die sich sonst stellt: Wer Beweiskraft verkauft, sollte über sich selbst genauso offen sein wie über seine Kunden.
Rechtliche Hinweise zu den Quellen
Keine Partnerschaft, keine Empfehlung. Die genannten Organisationen sind Datenquellen — nicht Partner, Sponsoren oder Auftraggeber von Tutador. Zwischen uns und ihnen besteht keine geschäftliche Verbindung. Die Nennung beschreibt allein unsere Datengrundlage und stellt keine Empfehlung, Billigung oder Zertifizierung von Tutador durch diese Organisationen dar.
CISA und das U.S. Department of Homeland Security empfehlen oder billigen keine kommerziellen Produkte oder Dienstleistungen. Wir zeigen aus demselben Grund keine Logos oder Hoheitszeichen dieser Organisationen: Ein Behördensiegel auf einer Verkaufsseite würde eine Billigung suggerieren, die es nicht gibt.
EPSS-Daten: © FIRST.Org, Inc. —
first.org/epss
WordPress-Schwachstellendaten: Copyright 2012–2026 Defiant Inc.,
bereitgestellt über die Wordfence Intelligence Vulnerability Database.
Einzelne Datensätze enthalten Material der MITRE Corporation:
Copyright 1999–2026 The MITRE Corporation
(cve.org/Legal/TermsOfUse).
Jeder gemeldete Befund führt den Verweis auf den Originaldatensatz mit.
OSV-Daten stammen aus mehreren Quelldatenbanken mit unterschiedlichen
Lizenzen (unter anderem CC BY 4.0, CC BY-SA 4.0, CC0 1.0, Apache 2.0, MIT);
die jeweilige Quelle weisen wir am einzelnen Befund aus.
Alle genannten Marken und Namen sind Eigentum ihrer jeweiligen Inhaber.