Software-Stand · Prüfpunkte
Was bei „Software-Stand" genau geprüft wird
Regelwerk software-v1 — rein passiv — hier steht jeder einzelne Prüfpunkt mit Erklärung. Die Liste stammt aus dem Messkern selbst; kommt ein Prüfpunkt dazu, steht er hier.
Alle 4 Prüfpunkte im Einzelnen
Die Punktzahl gibt an, wie stark ein Prüfpunkt in die Bewertung eingeht — zusammen 100 von 100.
Keine Bibliothek ohne Herstellerpflege eingebunden
40 PunkteEingebundene Frontend-Bibliotheken, deren Wartung der Hersteller beendet hat, erhalten keine Sicherheitskorrekturen mehr. Geprüft wird gegen die veröffentlichten Wartungsenden — eine belegbare Tatsache, keine Verwundbarkeitsaussage.
lib-gepflegt
System nennt seine Version nicht öffentlich
20 PunkteEine öffentlich sichtbare CMS-Version macht die Seite für massenhafte, versionsgezielte Angriffe sortierbar. Geprüft wird, ob Generator-Angaben oder Pfade die Version preisgeben.
system-version-verborgen
Erweiterungen nennen ihre Version nicht öffentlich
20 PunkteAuch Plugins und Themes verraten ihre Version oft über Dateipfade. Geprüft wird, ob solche Angaben in der ausgelieferten Seite stehen.
erweiterung-version-verborgen
Antwort-Header nennen keine Software-Versionen
20 PunkteAntwort-Kopfzeilen wie „X-Powered-By" nennen Server- und Framework-Versionen an jeden, der fragt. Geprüft wird, ob die Antworten solche Signaturen enthalten.
server-signatur-verborgen
Was gemessen wird
Dieser Prüfbereich bewertet aus Befunden und Messwerten, nicht aus einer abzählbaren Regelmenge. Deshalb steht hier, welche Signale erhoben werden — und keine erfundene Nummerierung.
Erkanntes System
Welches CMS oder Shopsystem ausgeliefert wird und ob eine Version nach außen sichtbar ist — abgelesen an Generator-Angaben, Pfaden und Kopfzeilen.
Erweiterungen
Erkennbare Plugins und Themes samt Version, soweit sie sich aus den geladenen Dateien ergeben.
Bibliotheken ohne Herstellerpflege
Eingebundene Frontend-Bibliotheken, deren Wartung der Hersteller eingestellt hat — eine belegbare Tatsache, keine Verwundbarkeitsaussage.
Sichtbare Versionen in Kopfzeilen
Versionsangaben in HTTP-Antworten. Sie sind kein Loch, aber sie erleichtern die massenhafte Zuordnung.
Rein passiv
Kein Scan, kein Anmeldeversuch, kein zusätzlicher Abruf — ausgewertet wird nur, was die Seite ohnehin ausliefert.
Häufige Fragen zu Software-Stand
Ist das ein Sicherheits-Scan oder Penetrationstest?
Nein, ausdrücklich nicht. Wir probieren keine Pfade durch, suchen keine Konfigurations- oder Backup-Dateien, versuchen keine Anmeldung und prüfen keine Schwachstellen. Ausgewertet wird nur, was die Seite beim normalen Abruf ohnehin ausliefert.
Sagt ihr mir, ob meine Website angreifbar ist?
Nein — und wer das aus der Ferne behauptet, überschreitet seine Datenlage. Wir melden zwei Dinge: dass eine eingebundene Bibliothek vom Hersteller nicht mehr gepflegt wird (eine belegbare Tatsache) und dass Versionen nach außen sichtbar sind (was Angreifern die Zuordnung erleichtert). Ob eine konkrete Installation verwundbar ist, klärt nur ein Blick von innen.
Warum ist eine sichtbare Versionsnummer überhaupt ein Problem?
Sie ist kein Loch, aber eine Einladung: Angreifer durchsuchen das Web massenhaft nach Seiten, die eine bestimmte verwundbare Version melden. Wer seine Version nicht nennt, taucht in diesen Listen nicht auf. Das ersetzt keine Aktualisierung — es verkleinert die Angriffsfläche.
Was, wenn ihr nichts erkennt?
Dann sagen wir genau das: „kein System erkennbar" — und ausdrücklich, dass dies kein Nachweis eines aktuellen Standes ist. Eine leere Prüfung gilt bei uns nie als Freibrief.
Belastet dieser Prüfbereich meinen Server zusätzlich?
Nein. Sie wertet dieselbe Auslieferung aus, die für die Indexierungs-Prüfung ohnehin abgerufen wird — kein einziger zusätzlicher Zugriff.
Gut zu wissen
- Rein passiv: kein Scan, kein Zugriff, kein zusätzlicher Abruf.
- Wir melden fehlende Herstellerpflege und sichtbare Versionen — nicht Verwundbarkeit.
- Wird nichts erkannt, heißt das ausdrücklich „kein Nachweis" — kein Freibrief.