Kein Sicherheitsscan: was dieser Prüfbereich bewusst auslässt
Dieser Prüfbereich ist kein Sicherheitsscan. Er sucht keine Schwachstellen, klopft keine Pfade ab, versucht keine Anmeldung und testet keine Eingaben. Er wertet aus, was die Seite von sich aus über ihre Software preisgibt — mehr nicht.
Was dazu geprüft wird
4 Prüfpunkte aus dem Software-Stand-Regelwerk des Prüfdienstes — die Liste stammt aus dem Messkern, nicht aus diesem Text.
- Keine Bibliothek ohne Herstellerpflege eingebunden · lib-gepflegt
- System nennt seine Version nicht öffentlich · system-version-verborgen
- Erweiterungen nennen ihre Version nicht öffentlich · erweiterung-version-verborgen
- Antwort-Header nennen keine Software-Versionen · server-signatur-verborgen
Jeder dieser Punkte steht mit Erklärung in der vollständigen Prüfpunktliste.
Worauf es in der Praxis ankommt
Die Grenze folgt aus der Passivitätszusage der Prüfordnung. Sie ist keine technische Beschränkung, sondern eine Entscheidung: Ein Prüfdienst, der fremde Systeme abklopft, wird selbst zum Risiko — und braucht eine Beauftragung, die weit über eine Website-Prüfung hinausgeht.
Was dieser Prüfbereich dafür leisten kann: eine belastbare, belegte Bestandsaufnahme dessen, was von außen erkennbar ist. Das ist die Grundlage für eine Entscheidung, ob eine tiefere Untersuchung nötig ist.
Wer einen echten Sicherheitstest braucht, braucht eine gesonderte Beauftragung mit Zugang, Zeitfenster und schriftlicher Erlaubnis. Das ist eine andere Leistung, und wir tun nicht so, als ersetzte diese Prüfung sie.
Häufige Fragen
Ersetzt dieser Prüfbereich einen Sicherheitstest?
Nein, und er behauptet es auch nicht. Er stellt fest, was von außen erkennbar ist. Ein Sicherheitstest braucht Zugang, Erlaubnis und ein ganz anderes Vorgehen.
Warum bietet ihr keinen Scan an?
Weil die Passivitätszusage der Prüfordnung für alle Prüfungen gilt. Sie ist der Grund, warum Betreiber uns ohne Vorbereitung prüfen lassen können.
Weitere Themen aus Software-Stand
- Bibliotheken ohne Herstellerpflege: der einzige schwere Befund
- Die Versionsnummer des Systems: warum sie nicht nach außen gehört
- Erweiterungen und ihre Versionen: das größere Angriffsfeld
- Antwort-Kopfzeilen: welche Software der Server von sich erzählt
- Nichts erkennbar heißt nicht sicher
- Passive Erkennung: kein einziger zusätzlicher Abruf
- Welche Systeme erkannt werden — und woran
- Warum dieser Prüfbereich nie „kritisch" meldet
- Die Gewichtung: warum eine Regel doppelt so viel zählt wie die anderen