Software-Stand · Prüfpunkt
Warum sollte Ihre Website ihre CMS-Version verbergen?
Eine öffentlich sichtbare CMS-Version macht Ihre Website für Angreifer sortierbar: Wer massenhaft nach Seiten mit einer bestimmten Version sucht, findet Ihre Seite ohne jede Mühe. Das CMS ist das Redaktionssystem, mit dem Ihre Inhalte gepflegt werden — etwa WordPress, Joomla oder TYPO3. Der Prüfbereich Software-Stand liest den Quelltext und die Antwort Ihrer Seite und meldet, wenn dort die Versionsnummer steht.
Der Quelltext Ihrer Startseite nennt oft das System samt Version
Jede Website liefert neben dem sichtbaren Inhalt einen Quelltext aus, den jeder Besucher im Browser öffnen kann. Viele Redaktionssysteme schreiben dort eine Art Visitenkarte hinein, das sogenannte Generator-Merkmal — zum Beispiel den Systemnamen samt Versionsnummer. Auch Dateipfade können die Version tragen. Für den Betrieb der Website ist diese Angabe ohne Belang; sie ist ein Überbleibsel der Standardeinstellung. Der Prüfbereich erkennt verbreitete Systeme wie WordPress, Joomla, Drupal, TYPO3 oder Shopsysteme wie Magento, Shopware und PrestaShop an ihren typischen Spuren im Quelltext und prüft, ob dabei die Version mitgeliefert wird. Jeder Befund nennt die genaue Fundstelle, damit Ihre Agentur ihn nachvollziehen kann.
Eine sichtbare Version ist Aufklärungshilfe für Angreifer
Angriffe auf Websites laufen selten von Hand. Programme durchkämmen das Netz und sortieren Seiten nach System und Version. Steht Ihre Version offen lesbar da, landet Ihre Website ohne weiteres Zutun auf der passenden Liste. Wichtig ist die Trennung: Die Prüfung stellt fest, dass die Version sichtbar ist — nie, dass Ihre Installation verwundbar ist. Das kann sie von außen nicht wissen, und sie behauptet es nicht. Sichtbarkeit ist trotzdem ein vermeidbares Geschenk an die Gegenseite. Das Entfernen der Angabe ersetzt keine Aktualisierung, verkleinert aber die Angriffsfläche. In der Bewertung zählt die verborgene System-Version 20 von 100 Punkten.
Bei Baukasten-Anbietern übernimmt der Anbieter die Pflege
Websites bei Wix, Shopify, Squarespace, Webflow oder Jimdo laufen auf Plattformen, die der Anbieter selbst aktuell hält. Für solche Seiten wertet der Prüfbereich eine erkennbare Herkunft nicht als Befund — eine „veraltete Version“ ist dort keine sinnvolle Kategorie, weil Sie keine Updates einspielen müssen. Anders bei selbst betriebenen Systemen wie WordPress, Joomla oder TYPO3: Hier verantworten Sie oder Ihre Agentur die Aktualisierung, und genau deshalb zählt hier auch die Sichtbarkeit der Version. Wenn Sie unsicher sind, zu welcher Gruppe Ihre Website gehört, beantwortet der Befundbericht das gleich mit — er nennt das erkannte System und seine Belegstellen.
So gehen Sie es an
- Öffnen Sie den Quelltext Ihrer Startseite (rechte Maustaste, „Seitenquelltext anzeigen“) und suchen Sie nach dem Wort „generator“.
- Bitten Sie Ihre Agentur, das Generator-Merkmal abzuschalten — bei den gängigen Systemen ist das ein kleiner, gefahrloser Eingriff.
- Klären Sie schriftlich, wer die Aktualisierung Ihres Redaktionssystems verantwortet — Sie, die Agentur oder der Hoster.
- Lassen Sie sich eingespielte Updates kurz bestätigen, damit die Pflege nachweisbar bleibt.
- Behandeln Sie das Verbergen als Zugabe: Die eigentliche Schutzmaßnahme bleibt die laufende Aktualisierung.
Häufige Fragen
Woher weiß eine Website-Prüfung, welches CMS ich benutze?
Aus dem, was Ihre Seite jedem Besucher ohnehin ausliefert: Quelltext, Dateipfade und Antwort-Kopfzeilen tragen typische Spuren des Systems. Die Prüfung liest ausschließlich diese Auslieferung. Sie probiert keine geheimen Pfade durch, versucht keine Anmeldung und führt keine Angriffe aus — sie ist eine passive, technische Untersuchung dessen, was öffentlich sichtbar ist.
Ist eine sichtbare CMS-Version gefährlich?
Sie ist eine Aufklärungshilfe, keine Sicherheitslücke. Angreifer können mit der Versionsnummer gezielt nach passenden Schwachstellen suchen, ohne Ihre Website selbst untersuchen zu müssen. Ob Ihre Installation tatsächlich verwundbar ist, sagt die sichtbare Version nicht — und die Prüfung behauptet es auch nicht. Verbergen verkleinert die Angriffsfläche, ersetzt aber keine Aktualisierung.
Wie verberge ich die Version meines Redaktionssystems?
In den gängigen Systemen lässt sich das Generator-Merkmal abschalten oder entfernen, meist ohne jede Auswirkung auf die Website. Der Handgriff gehört in die Hände Ihrer Agentur oder Ihres Administrators und ist schnell erledigt. Wichtig bleibt die Reihenfolge: erst die Aktualisierung sicherstellen, dann die Version verbergen — nicht umgekehrt.
Muss ich mich bei Wix oder Shopify um Updates kümmern?
Um die Plattform selbst nicht — der Anbieter aktualisiert sie zentral für alle Kunden. Deshalb wertet der Prüfbereich eine erkennbare Baukasten-Herkunft nicht als Befund. Ihre Verantwortung bleibt bei den Inhalten und bei allem, was Sie selbst einbinden, zum Beispiel fremde Skripte oder Zusatzfunktionen aus App-Katalogen des Anbieters.
Weiter im Prüfbereich Software-Stand
- Was verraten Plugin-Versionen im Quelltext Ihrer Website?Plugins und Themes schreiben ihre Version oft in Dateipfade. So erkennt jeder veraltete Erweiterungen von außen — und so begrenzen Sie die Preisgabe.
- Was verraten Server-Header über die Software Ihrer Website?Antwort-Header wie „Server“ oder „X-Powered-By“ nennen oft Software-Versionen. Das erleichtert Angreifern die Zuordnung und lässt sich abschalten.
- Warum ist eine Bibliothek ohne Herstellerpflege ein Risiko für Ihre Website?Eine Bibliothek ohne Herstellerpflege erhält keine Sicherheitskorrekturen mehr. Was das Wartungsende bedeutet und wie Sie den Wechsel anstoßen.
Dieser Prüfpunkt gehört zum Prüfbereich Software-Stand — dort stehen alle Prüfpunkte im Überblick. Was die Prüfung insgesamt leistet, zeigt die Leistungsseite; wie ein Ergebnis zustande kommt, erklärt das Prüfverfahren. Alle Prüfbereiche im Überblick: Wissensbasis.