Website-Sicherheit: 16 Kriterien, täglich geprüft

Die meisten Sicherheitsmängel an Websites sind weder exotisch noch schwer zu beheben. Sie bleiben bestehen, weil niemand regelmäßig hinsieht: Ein Zertifikat läuft ab, ein Plugin bleibt beim Umzug auf altem Stand, eine Konfigurationsdatei landet im öffentlichen Verzeichnis. Tutador prüft täglich und meldet die Abweichung, statt sie erst im Schadensfall sichtbar werden zu lassen.

Schutz vor Angriffen und Datenabfluss — Grundlage des Siegels und des Versicherungsnachweises.

Von außen prüfbar — ohne Zugriff auf Ihr System

Diese 12 Kriterien beantworten wir allein mit Ihrer Domain: Wir rufen Ihre Website so auf, wie es jeder Besucher tut, und lesen öffentliche DNS-Einträge aus. Es wird nichts installiert und nichts verändert. Was der Prüfdienst dabei genau abruft und woran Sie ihn in Ihrem Serverprotokoll erkennen, steht auf der Seite Prüfdienst TutadorScan.

• Umleitung auf HTTPS

  Wir rufen Ihre Website unverschlüsselt über HTTP auf und prüfen, ob der Server auf HTTPS umleitet. Ohne Umleitung landen Besucher auf einer Verbindung, die unterwegs mitgelesen werden kann.

• TLS-Zertifikat

  Wir prüfen, ob Ihr TLS-Zertifikat gültig ist, zum Hostnamen passt und wie lange es noch läuft. Ein abgelaufenes Zertifikat blendet Ihren Besuchern eine Sicherheitswarnung ein.

• Security-Header

  Wir prüfen vier Schutzanweisungen an den Browser — und zwar deren Werte, nicht nur ihr Vorhandensein. Eine davon verhindert, dass Ihre Seite unbemerkt in eine fremde Seite eingebettet wird.

• Preisgabe von Versionsinformationen

  Wir sehen nach, ob Serverantwort und Quelltext genaue Versionsnummern Ihrer Software nennen. Angreifer suchen damit gezielt nach bereits veröffentlichten Angriffswegen.

• Offen erreichbare sensible Dateien

  Wir rufen typische Pfade wie /.env oder /.git/config ab und prüfen deren Inhalt. Sind sie abrufbar, liegen Zugangsdaten oder Ihr Quellcode für jeden lesbar im Netz.

• Cookie-Schutzattribute

  Wir sehen jeden von der Startseite gesetzten Cookie darauf durch, ob er Secure, HttpOnly und SameSite trägt. Fehlen diese Attribute, lässt sich eine angemeldete Sitzung leichter übernehmen.

• Unverschlüsselt geladene Inhalte

  Wir suchen im Quelltext Bilder, Skripte und Stylesheets, die trotz HTTPS über http:// geladen werden. Browser blockieren solche Inhalte, wodurch Teile Ihrer Seite ausfallen.

• E-Mail-Sicherheit (SPF, DMARC)

  Wir lesen die SPF- und DMARC-Einträge Ihrer Domain aus und bewerten, wie streng sie gefasst sind. Fehlen sie, kann jeder Rechnungen und Anweisungen im Namen Ihrer Domain versenden.

• Erzwungene Verschlüsselung (HSTS-Qualität)

  Ist HSTS gesetzt, bewerten wir hier zusätzlich dessen Laufzeit und den Einschluss der Unterdomains — eine zu kurze Laufzeit lässt den Schutz ins Leere laufen. Fehlt der Header ganz, meldet das bereits „Security-Header".

• DNS-Absicherung (CAA, Redundanz)

  Wir prüfen, ob ein CAA-Eintrag die Zertifikatsausstellung eingrenzt und ob mehrere Nameserver eingetragen sind. Sonst genügt ein Ausfall, und Website wie E-Mail sind nicht mehr erreichbar.

• Verschlüsselter E-Mail-Transport (MTA-STS)

  Wir prüfen, ob MTA-STS Absender dazu verpflichtet, Post an Sie nur verschlüsselt zuzustellen. Ohne diese Vorgabe kann ein Angreifer die Verschlüsselung wegverhandeln und mitlesen.

• Datenbank-Ports von außen zählt nicht für das Siegel

  Wir prüfen, ob die Datenbank-Ports 3306 (MySQL) und 5432 (PostgreSQL) aus dem Internet erreichbar sind. Ein offener Port ist keine schwere Lücke, aber eine vermeidbare Angriffsfläche für Anmeldeversuche von überall.

Nur mit Konnektor: der Blick ins System

Bei 4 Kriterien endet die Prüfung von außen. Ob eine Erweiterung veraltet ist oder eine Kerndatei verändert wurde, kann von außen niemand zuverlässig feststellen; jede Aussage darüber wäre geraten. Dafür gibt es den kostenlosen Konnektor — ein Plugin für WordPress oder eine Extension für TYPO3. Ohne ihn bleiben diese Kriterien ausdrücklich „nicht geprüft“ und werden nicht stillschweigend als erfüllt gewertet.

Ein aktiver Konnektor schaltet zusätzlich die aktive Dateisuche frei: Wir rufen dann bei jeder Prüfung gezielt Pfade wie /.env oder /.git/config ab — die klassischen Funde bei echten Einbrüchen. Automatisch nur dort, wo ein installierter Konnektor die Kontrolle über den Server belegt, denn solche Abrufe können Firewalls auslösen; im Portal lässt sich das je Website ein- und ausschalten.

• Aktualität von CMS und Erweiterungen Konnektor

  Der Konnektor meldet uns, ob für Ihr Redaktionssystem und dessen Erweiterungen Aktualisierungen bereitliegen. Veraltete Erweiterungen sind der häufigste Einbruchsweg.

• Absicherung des Redaktionssystems Konnektor

  Der Konnektor meldet Einstellungen wie Fehlersuchmodus, eingebauten Dateieditor und Zwei-Faktor-Anmeldung. Sie entscheiden darüber, was ein übernommenes Redaktionskonto anrichten kann.

• Bekannte Schwachstellen in installierter Software Konnektor zählt nicht für das Siegel

  Wir gleichen das gemeldete Softwareverzeichnis mit Datenbanken veröffentlichter Sicherheitslücken ab — und mit dem CISA-Katalog nachweislich ausgenutzter Schwachstellen. Was dort steht, wird gerade wirklich angegriffen.

• Anzeichen für Schadsoftware (Dateiintegrität) Konnektor zählt nicht für das Siegel nur WordPress

  Der Konnektor vergleicht Ihre Kerndateien mit den offiziellen Prüfsummen von WordPress.org. Abweichungen und PHP-Dateien im Uploads-Ordner deuten auf eingeschleusten Fremdcode hin.

Was aus dem Ergebnis wird

Jede Prüfung ergibt eine Note von A bis F und, wenn alle siegelentscheidenden Kriterien erfüllt sind, das Tutador-Siegel. Neu eingeführte Kriterien laufen zunächst als Vorschau mit: Sie zahlen schon auf die Note ein, können das Siegel aber noch nicht verhindern — niemand verliert es über Nacht, nur weil der Katalog gewachsen ist. Aus den täglichen Läufen entsteht der monatliche Versicherungsnachweis.

Was diese Prüfung nicht leistet

Wir führen keinen Penetrationstest durch: Wir melden uns nicht an, probieren keine Passwörter und versuchen keine Einbrüche. Geprüft wird der Zustand, nicht die Widerstandsfähigkeit gegen einen gezielten Angreifer. Ein sauberes Ergebnis heißt, dass die automatisiert ausnutzbaren Schwachpunkte geschlossen sind — genau die machen den Großteil der Vorfälle aus. Datensicherungen und einen geübten Wiederherstellungsweg ersetzt es nicht.

Wir prüfen Ihre Website außerdem auf DSGVO-Anforderungen, Barrierefreiheit nach BFSG und die Vorgaben des Cyber Resilience Act.

Jetzt kostenlos prüfen