Software-Stand

Software-Stand: Was Ihre Website über sich verrät

Veraltete Software ist die häufigste Einbruchsursache im Web — und eine Website verrät von außen mehr über ihren Stand, als den meisten Betreibern bewusst ist. Wir werten aus, was Ihre Seite selbst preisgibt: eingesetztes System, Erweiterungen, Frontend-Bibliotheken und Versions-Signaturen. Ohne Zugangsdaten, ohne Scan, ohne einen einzigen zusätzlichen Abruf.

Regelwerk software-v1 — rein passivUmfang und Regelwerk stehen im Bericht — nachzählbar.
Menschliche PrüfungKlare Entscheidungen statt Werkzeug-Schätzungen — beim Gold-Standard.
NachvollziehbarJeder Befund mit Begründung, Quelle und Fundstelle.
Öffentlich verifizierbarÜber Prüf-ID, QR-Code und eine offene Verifikationsseite.

Was konkret geprüft wird

Erkanntes System und Version (WordPress, Joomla, Drupal, TYPO3, Contao, Shopware, Magento, PrestaShop, OXID, OpenCart, phpBB, Moodle u. a.)
Erweiterungen und Themes samt Version, soweit sie in Asset-Pfaden sichtbar werden
Frontend-Bibliotheken mit veröffentlichtem Wartungsende (etwa jQuery 1.x/2.x, AngularJS, Bootstrap 3/4, Vue 2)
Versions-Signaturen in Antwort-Headern (Server, X-Powered-By und Verwandte)
Gehostete Baukästen (Shopify, Wix, Squarespace, Webflow, Jimdo) werden als anbietergewartet erkannt und nicht bemängelt

So entsteht Ihr Teilsiegel

Domain nachweisenDNS-TXT-Eintrag oder Datei im .well-known-Pfad.
Umfang wählen10, 30, 80 oder bis zu 150 Seiten.
Automatische PrüfungAlles technisch Entscheidbare wird gemessen.
Prüfer-UrteilStrittige Fälle beurteilt ein Mensch — nur beim Gold-Standard.
TeilsiegelAb 90 von 100 Punkten in diesem Prüfbereich.

Warum wir keine Zugangsdaten wollen — und was das für die Aussage bedeutet

Andere Anbieter verlangen FTP- oder Datenbank-Zugang, um eine Vollinventur zu erstellen. Wir tun das bewusst nicht: Unsere Prüfordnung sagt zu, ausschließlich passiv und lesend zu arbeiten. Ein Prüfer, der Server-Zugangsdaten sammelt, ist selbst ein Risiko — und ein Siegel, das auf Innenzugriff beruht, könnte niemand von außen nachvollziehen.

Der Preis dieser Haltung ist Ehrlichkeit über die Grenze: Von außen erkennbar ist immer nur ein Teil der installierten Software. Ein Ergebnis von 100 heißt deshalb „von außen ist nichts Nachteiliges erkennbar" — nicht „die Installation ist sicher". Wer eine Vollinventur braucht, installiert dafür besser ein eigenes Werkzeug in seiner Umgebung, statt Zugangsdaten aus der Hand zu geben.

Das Ergebnis: ein nachprüfbares Teilsiegel

Besteht Ihre Website in diesem Prüfbereich, erhalten Sie ein Teilsiegel mit eigener Prüf-ID und einer öffentlichen Verifikationsseite mit Ergebnis, Prüfdatum und Gültigkeit. Wie die Prüfung abläuft, steht im Prüfverfahren, die Konditionen unter Preise.

Häufige Fragen

Ist das ein Sicherheits-Scan oder Penetrationstest?

Nein, ausdrücklich nicht. Wir probieren keine Pfade durch, suchen keine Konfigurations- oder Backup-Dateien, versuchen keine Anmeldung und prüfen keine Schwachstellen. Ausgewertet wird nur, was die Seite beim normalen Abruf ohnehin ausliefert.

Sagt ihr mir, ob meine Website angreifbar ist?

Nein — und wer das aus der Ferne behauptet, überschreitet seine Datenlage. Wir melden zwei Dinge: dass eine eingebundene Bibliothek vom Hersteller nicht mehr gepflegt wird (eine belegbare Tatsache) und dass Versionen nach außen sichtbar sind (was Angreifern die Zuordnung erleichtert). Ob eine konkrete Installation verwundbar ist, klärt nur ein Blick von innen.

Warum ist eine sichtbare Versionsnummer überhaupt ein Problem?

Sie ist kein Loch, aber eine Einladung: Angreifer durchsuchen das Web massenhaft nach Seiten, die eine bestimmte verwundbare Version melden. Wer seine Version nicht nennt, taucht in diesen Listen nicht auf. Das ersetzt keine Aktualisierung — es verkleinert die Angriffsfläche.

Was, wenn ihr nichts erkennt?

Dann sagen wir genau das: „kein System erkennbar" — und ausdrücklich, dass dies kein Nachweis eines aktuellen Standes ist. Eine leere Prüfung gilt bei uns nie als Freibrief.

Belastet dieser Prüfbereich meinen Server zusätzlich?

Nein. Sie wertet dieselbe Auslieferung aus, die für die Indexierungs-Prüfung ohnehin abgerufen wird — kein einziger zusätzlicher Zugriff.

Themen im Einzelnen

10 Seiten entlang der Leitlinien des Regelwerks — je mit den zugehörigen Prüfpunkten und eigenen Fragen.

Website prüfen lassen

Wie ein Ergebnis aussieht

Jedes Kriterium bekommt genau eines von drei Urteilen. Ein Kriterium gilt nie allein deshalb als erfüllt, weil die Messung nichts gefunden hat.

Bestanden — nachweislich erfüllt — mit Beleg
Nicht entscheidbar — wartet auf ein Prüfer-Urteil
Verstoß — Fundstelle und Regel benannt

Ein Teilsiegel entsteht ab 90 von 100 Punkten in diesem Prüfbereich.

Unsere eigene Website erreicht hier derzeit 80 von 100.

Gut zu wissen

Rein passiv: kein Scan, kein Zugriff, kein zusätzlicher Abruf.
Wir melden fehlende Herstellerpflege und sichtbare Versionen — nicht Verwundbarkeit.
Wird nichts erkannt, heißt das ausdrücklich „kein Nachweis" — kein Freibrief.