Software-Stand · Prüfpunkt
Warum ist eine Bibliothek ohne Herstellerpflege ein Risiko für Ihre Website?
Eine Bibliothek ohne Herstellerpflege erhält keine Sicherheitskorrekturen mehr — wird später eine Lücke bekannt, bleibt sie dauerhaft offen. Solche Bibliotheken sind fertige Code-Bausteine, die viele Websites für Menüs, Bildergalerien oder Eingabemasken einbinden. Der Prüfbereich Software-Stand erkennt sie im Quelltext Ihrer Seite und gleicht die gefundene Version mit den Wartungsenden ab, die die Hersteller selbst veröffentlicht haben.
Fertige Bausteine tragen Ihre Website
Kaum eine Website wird komplett neu geschrieben. Agenturen greifen zu bewährten Bausteinen: jQuery hilft bei Bedienelementen, Bootstrap liefert das Seitenraster, AngularJS und Vue steuern ganze Eingabemasken. Diese Bausteine heißen Bibliotheken. Sie stecken als Skript-Dateien in Ihrer Seite und laufen im Browser jedes Besuchers. Der Hersteller einer Bibliothek pflegt sie über Jahre: Er behebt Fehler und schließt Sicherheitslücken. Irgendwann beendet er die Pflege einer Versionsreihe und verweist auf die Nachfolgerin. Ab diesem Wartungsende erscheinen für die alte Reihe keine Korrekturen mehr — gleichgültig, was noch gefunden wird. Die Bibliothek läuft weiter, aber niemand repariert sie mehr.
Veröffentlichte Wartungsenden sind belegbare Tatsachen
Der Prüfbereich stützt sich ausschließlich auf Termine, die die Hersteller selbst bekannt gegeben haben. Beispiele aus dem Prüfkatalog: Die jQuery-Reihen 1 und 2 erhalten seit 2016 keine Pflege mehr. AngularJS wird seit Anfang 2022 offiziell nicht mehr gepflegt. Bootstrap 3 ist seit Mitte 2019 ohne Pflege, Bootstrap 4 wurde Anfang 2023 abgekündigt. Vue 2 hat sein Wartungsende Ende 2023 erreicht. Findet die Prüfung eine dieser Reihen auf Ihrer Seite, ist das der schwerste Befund dieses Prüfbereichs: Er kostet 40 von 100 Punkten, und das Teilsiegel ist damit außer Reichweite. Diese Gewichtung folgt dem Risiko — fehlende Herstellerpflege wiegt schwerer als jede bloß sichtbare Versionsnummer.
Die Prüfung bewertet Herstellerpflege, keine Verwundbarkeit
Die Trennung ist bewusst: Der Befund hält fest, dass der Hersteller die Bibliothek aufgegeben hat — eine nachprüfbare Tatsache. Er behauptet dagegen nie, dass Ihre Website angreifbar ist; das ließe sich von außen gar nicht seriös feststellen. Die Prüfung liest außerdem nur, was Ihre Seite selbst ausliefert: Skript-Verweise mit sichtbarer Versionsnummer. Bibliotheken, die beim Bau der Seite in ein Paket gebündelt wurden, bleiben von außen unsichtbar. Deshalb gilt: Ein leerer Befund heißt „nichts erkennbar“, nie „alles aktuell“. Diese Vorsicht ist Teil der Prüfordnung — der Prüfbereich behauptet nur, was er mit einer Belegstelle im Quelltext zeigen kann.
So gehen Sie es an
- Fragen Sie Ihre Agentur, welche Frontend-Bibliotheken auf Ihrer Website im Einsatz sind — die Liste sollte kurz und vollständig sein.
- Lassen Sie sich zu jeder Bibliothek sagen, ob der Hersteller sie noch pflegt.
- Planen Sie beim Wartungsende einer Bibliothek den Wechsel auf die gepflegte Nachfolge-Reihe ein — das ist meist ein kleiner Umbau, kein Knopfdruck.
- Vereinbaren Sie einen festen Termin im Jahr, an dem Ihre Agentur den Software-Stand der Website durchsieht und schriftlich festhält.
- Bewahren Sie die Prüfberichte auf — so sehen Sie über die Jahre, ob der Pflegezustand besser oder schlechter wird.
Häufige Fragen
Was bedeutet Wartungsende bei Software?
Der Hersteller erklärt öffentlich, dass er eine Versionsreihe seiner Software nicht weiter pflegt. Ab diesem Termin erscheinen keine Fehlerkorrekturen und keine Sicherheitskorrekturen mehr. Die Software läuft zwar weiter, aber jede Lücke, die danach bekannt wird, bleibt offen. Der übliche Ausweg ist der Wechsel auf die gepflegte Nachfolge-Reihe, den der Hersteller beim Wartungsende benennt.
Ist meine Website unsicher, wenn eine Bibliothek ihr Wartungsende erreicht hat?
Das sagt der Befund ausdrücklich nicht. Er hält eine Tatsache fest: Der Hersteller pflegt die Bibliothek nicht mehr, künftig bekannt werdende Lücken bleiben deshalb offen. Ob Ihre konkrete Website angreifbar ist, hängt von vielen Umständen ab und lässt sich von außen nicht feststellen. Der Befund ist ein Arbeitsauftrag mit klarer Richtung, keine Einbruchsdiagnose.
Kann ich eine Bibliothek ohne Herstellerpflege einfach weiter verwenden?
Technisch läuft sie weiter, und oft merkt jahrelang niemand etwas. Das Risiko wächst trotzdem: Für nicht mehr gepflegte Software erscheinen keine Sicherheitskorrekturen, bekannt werdende Lücken bleiben offen. Der Wechsel auf eine gepflegte Reihe ist die einzige dauerhafte Lösung. Je länger er aufgeschoben wird, desto größer wird meist der Umbau.
Erkennt die Prüfung jede Bibliothek auf meiner Website?
Nein, und sie behauptet das auch nicht. Erkennbar ist nur, was die Seite mit sichtbarer Versionsnummer einbindet. Bibliotheken, die beim Bau der Website in ein gemeinsames Paket gebündelt wurden, sind von außen unsichtbar. Ein leerer Befund bedeutet deshalb „nichts erkennbar“ — er ist kein Nachweis, dass alle Bausteine aktuell sind.
Weiter im Prüfbereich Software-Stand
- Warum sollte Ihre Website ihre CMS-Version verbergen?Eine sichtbare CMS-Version macht Ihre Website für versionsgezielte Angriffe sortierbar. Die Angabe lässt sich meist ohne Funktionsverlust entfernen.
- Was verraten Plugin-Versionen im Quelltext Ihrer Website?Plugins und Themes schreiben ihre Version oft in Dateipfade. So erkennt jeder veraltete Erweiterungen von außen — und so begrenzen Sie die Preisgabe.
- Was verraten Server-Header über die Software Ihrer Website?Antwort-Header wie „Server“ oder „X-Powered-By“ nennen oft Software-Versionen. Das erleichtert Angreifern die Zuordnung und lässt sich abschalten.
Dieser Prüfpunkt gehört zum Prüfbereich Software-Stand — dort stehen alle Prüfpunkte im Überblick. Was die Prüfung insgesamt leistet, zeigt die Leistungsseite; wie ein Ergebnis zustande kommt, erklärt das Prüfverfahren. Alle Prüfbereiche im Überblick: Wissensbasis.