So prüfen Sie, ob Ihre Website für Besucher sicher ist

Ein sicher wirkendes Design sagt nichts darüber aus, ob eine Website ihre Besucher schützt. Für eine nützliche erste Prüfung sollten Sie die öffentlich sichtbaren Signale kontrollieren: HTTPS und den Zertifikatsstatus, Weiterleitungen, Sicherheits-Header, DNS-Einträge sowie den Umgang der Seite mit Formularen und Links. Ein Scan kann sichtbare Probleme aufzeigen, aber nicht beweisen, dass eine Website vollständig sicher ist.

Der Sicherheitsbericht von ReadyTools bündelt mehrere dieser Prüfungen in einem öffentlichen Bericht. Nutzen Sie ihn als Ausgangspunkt, prüfen Sie Warnungen im jeweiligen Kontext und untersuchen Sie alles, was Besucher oder vertrauliche Daten betreffen könnte.

Beginnen Sie mit HTTPS und Weiterleitungen

Stellen Sie sicher, dass die Website über HTTPS geladen wird und ihr Zertifikat gültig ist. HTTPS verschlüsselt Daten während der Übertragung und hilft Besuchern zu überprüfen, ob sie tatsächlich eine Verbindung zur gewünschten Website herstellen. Testen Sie außerdem die normale HTTP-Adresse: Sie sollte Besucher zur HTTPS-Version weiterleiten, statt eine unverschlüsselte Route verfügbar zu lassen.

Prüfen Sie auch das Ziel der Weiterleitung. Eine Weiterleitung von einer Domain ohne www zur www-Version kann normal sein, wenn beide zur selben Website gehören. Aufmerksamkeit verdienen dagegen ein unerwartetes Ziel, eine Weiterleitung von HTTPS zurück zu HTTP oder eine lange, verwirrende Kette von Weiterleitungen.

Prüfen Sie die Schutz-Header des Browsers

Sicherheits-Header geben Browsern Anweisungen dazu, wie sie eine Seite verarbeiten sollen. Ein Bericht kann Header wie Content Security Policy (CSP), Strict Transport Security (HSTS), Referrer Policy, den Schutz des Inhaltstyps und den Schutz vor Einbettung prüfen.

• CSP kann einschränken, welche Skripte und anderen Ressourcen eine Seite laden darf. Eine zu weit gefasste Richtlinie bietet möglicherweise weniger Schutz, während eine zu strenge Richtlinie Teile der Website beschädigen kann.
• HSTS weist Browser an, bei zukünftigen Besuchen HTTPS zu bevorzugen. Konfigurieren Sie den Header erst, wenn HTTPS für die betroffenen Hostnamen zuverlässig funktioniert.
• Referrer Policy steuert, wie viele Informationen über die verweisende Seite an andere Websites übermittelt werden.
• Frame protection hilft zu kontrollieren, ob andere Websites eine Seite einbetten dürfen.
• X-Content-Type-Options kann Browser anweisen, den Inhaltstyp einer Ressource nicht selbst zu erraten.

Fügen Sie Header nicht einfach hinzu, nur um einen besseren Wert zu erreichen. Prüfen Sie, was jede Warnung für die Konfiguration der Website bedeutet, und testen Sie Änderungen, bevor Sie sie umfassend anwenden. Eine falsch konfigurierte Richtlinie kann legitime Skripte, eingebettete Inhalte oder andere Funktionen beeinträchtigen.

Prüfen Sie DNS und seitenspezifische Signale

DNS-Einträge liefern zusätzlichen Kontext, sind aber kein Urteil darüber, ob eine Website sicher ist. CAA-Einträge können einschränken, welche Zertifizierungsstellen Zertifikate für eine Domain ausstellen dürfen. SPF- und DMARC-Einträge stehen im Zusammenhang mit der E-Mail-Authentifizierung, während DNSSEC bei korrekter Konfiguration zusätzlichen Integritätsschutz für die DNS-Auflösung bieten kann.

Ein Scan kann außerdem sichtbare Seitenmetadaten, Links, Verweise auf gemischte Inhalte und andere öffentliche Details untersuchen. Einige Prüfungen analysieren nur eine Stichprobe gescannter Seiten statt jede Seite der Website. Ein unauffälliges Ergebnis auf einer Seite garantiert daher nicht, dass jedes Formular, Skript, jeder Download oder jeder Bereich geprüft wurde.

Führen Sie eine Prüfung durch und interpretieren Sie das Ergebnis

1. Scannen Sie die öffentliche Domain. Verwenden Sie Prüfen Sie die Sicherheitssignale Ihrer Website., um einen Bericht auf Grundlage sichtbarer Informationen wie HTTPS, TLS, Headern, DNS-Kontext und Metadaten zu erstellen.
2. Lesen Sie die einzelnen Prüfungen. Achten Sie nicht nur auf die Gesamtbewertung, sondern auch darauf, was beobachtet wurde und welche Empfehlung dazugehört. Eine Warnung kann bedeuten, dass ein Signal fehlt, nicht verfügbar ist oder überprüft werden muss. Sie bedeutet nicht automatisch, dass die Website schädlich ist.
3. Priorisieren Sie die Auswirkungen auf Besucher. Beginnen Sie mit defektem oder fehlendem HTTPS, unsicheren Weiterleitungen und Problemen auf Seiten, die Passwörter oder vertrauliche Informationen verarbeiten. Prüfen Sie anschließend Header-, DNS- und andere Empfehlungen gemeinsam mit der für die Website verantwortlichen Person.
4. Nehmen Sie Änderungen vor und überprüfen Sie sie. Testen Sie nach der Aktualisierung der relevanten Konfiguration die betroffenen Seiten und aktualisieren Sie den Bericht. Ein neuer Scan kann zeigen, ob sich das öffentlich sichtbare Signal geändert hat.

ReadyTools-Berichte zeigen sichtbare Sicherheitssignale von Websites und praktische Ideen für Verbesserungen. Sie sind keine Zertifizierung, Garantie, rechtliche Prüfung oder vollständiger Penetrationstest. Eine hohe Bewertung ist keine Sicherheitsgarantie, und eine niedrige Bewertung beweist nicht, dass eine Website gefährlich ist.

Betrachten Sie einen Scan als Teil einer umfassenden Sicherheitsprüfung

Automatisierte öffentliche Prüfungen sind hilfreich, um Konfigurationsprobleme aufzudecken. Sie können jedoch nicht feststellen, dass eine Website keine Schwachstellen enthält oder jede Benutzerinteraktion sicher ist. Prüfen Sie die wichtigsten Seiten und Abläufe, insbesondere Anmeldungen und sensible Formulare, und untersuchen Sie Befunde, die ein einfacher externer Bericht nicht klären kann. Bei Änderungen an Sicherheitsrichtlinien oder beim Umgang mit vertraulichen Daten sollten Sie die Konfiguration von einem qualifizierten Entwickler oder Sicherheitsexperten überprüfen lassen.