Versicherungsnachweis: der monatliche Bericht im Detail

Im Schadensfall trägt der Versicherungsnehmer die Beweislast — § 28 Abs. 2 Satz 2 VVG. Es zählt nicht die Zusicherung, dass Aktualisierungen eingespielt wurden, sondern der Beleg — für den Zeitraum vor dem Vorfall, nicht danach erstellt. Wer diesen Nachweis erst nach dem Schaden zusammensucht, hat ihn nicht.

Tutador prüft täglich und friert jedes Ergebnis ein. Zum Monatsende entsteht daraus ein PDF: der Nachweisbericht für genau diesen Monat.

Musterbericht ansehen (PDF)
Vollständiges Beispiel mit fiktiven Daten und MUSTER-Wasserzeichen. Der monatliche Bericht ist im Pro-Tarif enthalten.

Was im Bericht steht

Der Bericht bezieht sich auf eine Domain und einen Kalendermonat. Seine Abschnitte:

• Management-Zusammenfassung

  Gesamtnote von A bis F, erreichte Punktzahl, Punkteverlauf und die Teilnoten je Kategorie — alle 4 Kategorien werden ausgewiesen, die nicht wertenden ausdrücklich als Vorschau gekennzeichnet.

• Veränderung zum Vormonat

  Je Kriterium: verbessert, verschlechtert, neu oder entfallen — mit Datumsangaben. „Am 3. zuletzt festgestellt, am 4. behoben" ist im Streitfall mehr wert als „unverändert sicher".

• Geltungsbereich

  Was der Bericht belegt — und ausdrücklich, was nicht (interne IT-Systeme, Endgeräte-Schutz, Wiederherstellbarkeit von Sicherungen). Diese Abgrenzung steht vor den Ergebnissen, nicht im Kleingedruckten: Sie macht die enthaltenen Aussagen belastbar.

• Prüfläufe im Berichtszeitraum

  Jeder Lauf des Monats mit Datum, Uhrzeit, Ergebnis je Kriterium und der Angabe, ob das Siegel an diesem Tag erteilt war. Das ist die eigentliche Nachweiskette.

• Detailergebnis der letzten Prüfung

  Alle 22 Kriterien einzeln, mit Status, Feststellung und den erhobenen Belegen — unverändert so, wie sie beim Lauf aufgezeichnet wurden.

• Offene Punkte mit „offen seit"

  Jede Warnung und jeder Mangel zum Monatsende, samt dem Datum, seit dem er ununterbrochen besteht. Dokumentierte, nachverfolgte offene Punkte belegen ein funktionierendes Schwachstellenmanagement — ein immer grüner Bericht wäre ein Gefälligkeitsgutachten.

• Systemumgebung

  PHP- und CMS-Version mit Hersteller-Supportstatus („im Support bis …" / „Support abgelaufen seit …"), sofern der Konnektor sie meldet — sonst steht dort ehrlich „keine Aussage möglich".

• Prüfmethodik und kryptografischer Nachweis

  Wie Note und Siegel zustande kommen, und der signierte Prüf-Token samt der Adresse, unter der er verifiziert werden kann.

Warum die Kette lückenlos ist

Entscheidend ist nicht die Momentaufnahme, sondern der Verlauf. Ein Bericht, der nur den Stand am Monatsletzten zeigt, sagt nichts darüber aus, wie die Website in den 30 Tagen davor dastand. Der Tutador-Nachweisbericht listet deshalb jeden Lauf des Zeitraums — einschließlich der Tage, an denen es Mängel gab und das Siegel nicht erteilt war. Ein Bericht, aus dem sich unangenehme Tage herauslöschen ließen, wäre als Nachweis wertlos.

Die Ergebnisse werden zum Zeitpunkt des Laufs festgeschrieben. Ändert sich später der Prüfkatalog, bleiben ältere Läufe so stehen, wie sie bewertet wurden.

Der signierte Prüf-Token

Zu jedem gültigen Siegel gehört ein Token, der mit Ed25519 signiert ist. Signiert werden die Domain und der Zeitpunkt der Prüfung. Damit ist ein Siegel kryptografisch an genau diese Website und genau dieses Datum gebunden: Ein kopiertes, umdatiertes oder nachträglich verändertes Siegel fällt bei der Prüfung sofort auf. Der Token steht im Bericht, und die öffentliche Verifikationsadresse steht daneben — Ihr Versicherer, Ihr Kunde oder ein Auditor kann ihn ohne Konto und ohne Rückfrage bei uns nachprüfen.

Was der Nachweis nicht ist

Wir sagen das deutlich, weil in diesem Markt gern das Gegenteil behauptet wird:

• Keine Zusage Ihres Versicherers

  Wir wissen nicht, was in Ihrem Vertrag steht, und können nicht versprechen, dass ein Versicherer den Bericht akzeptiert oder deswegen leistet. Ob er als Beleg genügt, entscheidet Ihr Versicherer. Wir empfehlen, ihm vorab einen Beispielbericht vorzulegen.

• Keine Rechtsberatung

  Der Bericht dokumentiert technische Feststellungen. Er bewertet keine Vertrags-, Haftungs- oder Obliegenheitsfragen.

• Kein Ersatz für Sicherungskopien

  Nachweise ersetzen keine Datensicherung, kein Notfallkonzept und keinen geübten Wiederherstellungsweg. Sie belegen Sorgfalt, sie stellen sie nicht her.

• Geltungsbereich steht im Bericht — prominent

  Jeder Bericht benennt vor den Ergebnissen ausdrücklich, was er belegt und was nicht: keine Aussagen über interne IT-Systeme, Endgeräte-Schutz oder die Wiederherstellbarkeit von Sicherungen. Genau diese Abgrenzung macht ihn belastbar — ein Nachweis, der mehr zu belegen vorgibt, als er prüfen kann, wäre im Ernstfall wertlos.

Woher die Daten kommen

Aus den täglichen Prüfläufen: 22 Kriterien, geprüft von außen und — wo eingerichtet — ergänzt um die Meldung des Konnektors für WordPress oder TYPO3. Kriterien ohne belastbare Grundlage erscheinen im Bericht als „nicht geprüft“, nicht als erfüllt. Welche das im Einzelnen sind, steht unter Website-Sicherheit.

Der Bericht steht im Portal für jeden abgeschlossenen Monat zum Abruf bereit. Die Konditionen finden Sie in den Tarifen.

Jetzt kostenlos prüfen