Prüfpunkt software.firewall.keine_reaktionOffene Türen und Abwehr
Wehrt Ihre Website das Abtasten nach Schwachstellen ab?
Wer eine Website angreifen will, tastet sie zuerst ab: er ruft in schneller Folge Adressen auf, unter denen oft vergessene Dateien, Anmeldemasken oder Testwerkzeuge liegen. Eine Web-Firewall erkennt dieses Muster und sperrt den Absender. Die Prüfung ruft am Ende des Laufs selbst solche Adressen ab und sieht danach nach, ob Ihr Server die Prüfadresse sperrt. Das Ergebnis steht als Hinweis im Bericht und kostet keine Punkte.
Die Sperre verschafft Zeit, das Update schließt die Lücke
Eine Web-Firewall fängt nur einen Teil der Angriffe ab. In einem großen Test des Sicherheitsanbieters Patchstack bei bekannten Hostern wurden 2025 nur 26 Prozent der Angriffe auf Schwachstellen abgewehrt. Patchstack verkauft selbst Schutz für WordPress, die Zahl ist also eine Anbieterangabe. Für Ihre Website heißt das: Eine Sperre macht das Abtasten langsamer und verschafft Ihnen Zeit. Geschlossen ist eine Lücke erst, wenn das Update eingespielt ist.
Abtasten ist der erste Schritt eines Angriffs
Programme, die das Netz nach angreifbaren Websites absuchen, laufen rund um die Uhr. Sie fragen bei jeder Website dieselben Adressen ab, etwa /.env für Zugangsdaten, /.git/HEAD für den Quelltext oder /wp-login.php für die Anmeldung von WordPress. Antwortet eine davon mit Inhalt, folgt der eigentliche Angriff. Eine Web-Firewall oder ein Ratenbegrenzer erkennt solche Serien und sperrt den Absender für eine Weile. Das verlangsamt die Suche.
Gemessen wird die Antwort nach 16 Scan-Abrufen
Ist der Prüfbereich Indexierung oder Aktualität beauftragt und die Tiefenprüfung für Ihre Website eingeschaltet, ruft der Messkern als letzten Schritt des Laufs 15 Adressen ab, die Scanner typischerweise prüfen, darunter /.env, /.git/HEAD, /wp-login.php, /xmlrpc.php und Debug-Werkzeuge wie /telescope, dazu die Methode TRACE: zusammen 16 Sonden. Die Abrufe lesen nur; verändert wird nichts. Danach ruft er Ihre Startseite erneut auf, bei unveränderter Antwort nach vier Sekunden ein zweites Mal. Nimmt der Server keine Verbindung mehr an oder antwortet er mit 403, 429 oder 503, steht im Bericht: Firewall erkannt. Antwortet er wie vorher, steht dort, dass die Abrufe ohne Reaktion blieben, mit dem Status der Startseite.
Eine erkannte Firewall ist ein gutes Zeichen
Sperrt Ihr Server die Prüfadresse, wehrt er Abtasten ab, und genau das soll er. Für die Prüfung hat das eine Folge: was nach der Sperre noch hätte gemessen werden sollen, bleibt unvollständig, und der nächste Lauf kann von Anfang an gesperrt sein. Die Adressen, von denen die Prüfung kommt, stehen auf der Seite Prüfadressen. Ihr Hoster kann sie freigeben, damit der nächste Durchgang vollständig misst; die Sperre für alle anderen bleibt dabei bestehen.
Ohne Reaktion lohnt die Frage an den Hoster
Blieben die Abrufe ohne Reaktion, sperrt der Server diese Serie zumindest für die Prüfadresse nicht. Das kann mehrere Gründe haben: manche Sperren greifen erst nach mehr Abrufen, manche nehmen bekannte Prüfdienste aus, manche sitzen vor einer anderen Adresse der Website. Die Messung zeigt nur, was bei diesen 16 Abrufen geschah. Fragen Sie Ihren Hoster, ob eine Web-Firewall oder ein Ratenbegrenzer läuft, etwa ModSecurity mit dem OWASP Core Rule Set oder fail2ban, und ob er Serien von Scan-Abrufen erkennt.
So gehen Sie es an
- Lesen Sie im Bericht, ob eine Firewall erkannt wurde oder die Abrufe ohne Reaktion blieben.
- Bei erkannter Firewall: lassen Sie die Prüfadressen von der Seite Prüfadressen bei Ihrem Hoster freigeben, damit der nächste Durchgang vollständig misst.
- Ohne Reaktion: fragen Sie Ihren Hoster, ob eine Web-Firewall oder ein Ratenbegrenzer läuft und wie er auf Serien von Scan-Abrufen reagiert.
- Achten Sie im selben Bericht auf die Befunde zu offenen Dateien und Anmeldemasken; sie zeigen, ob die abgerufenen Adressen tatsächlich etwas preisgeben.
- Halten Sie im Wartungsvertrag fest, wer die Firewall betreut und wer Freigaben einträgt.
Tipps aus der Praxis
- Fragen Sie Ihren Hoster, wie lange eine Sperre hält und ab wie vielen Abrufen sie greift. Das Programm fail2ban etwa sperrt Absender für eine einstellbare Zeit; eine kurze Sperre bremst ein Suchprogramm nur kurz.
- Lassen Sie sich die Antwort schriftlich geben. Die Musterbedingungen der deutschen Cyberversicherer nennen für Server im Internet einen zusätzlichen Schutz, etwa eine Firewall.
- Testen Sie nach jeder neuen Firewall-Regel Bestellformular und Anmeldung. Eine zu strenge Regel sperrt auch echte Kunden aus; die Anleitung des Core Rule Set nennt solche Fehlalarme ausdrücklich.
Mehr zu diesem Thema
Weiter in der Cybersicherheit
- Verändert KI die Angriffe auf meine Website?Was Behörden und Lageberichte 2025 und 2026 über KI bei Angriffen messen, was Umfragen nur vermuten, und was sich an der Abwehr einer kleinen Website ändert.
- Was kostet ein Cyberangriff mein Unternehmen?Stillstand, verlorene Kunden, Benachrichtigungen, Sichtbarkeit in der Suche: was ein Angriff ein kleines Unternehmen in Österreich und Deutschland kostet.
- Warum brauchen auch Fehlerseite und Skripte die Sicherheitskopfzeilen?Sicherheitskopfzeilen schützen nur die Antworten, die sie enthalten. Die Prüfung vergleicht Startseite, Fehlerseite und Skripte Ihrer Website.
- Wie schützen Sie Anmeldung und Schnittstellen Ihres CMS vor automatisierten Angriffen?Anmeldemaske, xmlrpc.php und readme.html sind bei vielen Websites für jeden erreichbar. Die Prüfung nennt, welche davon offen sind.
Dieser Prüfpunkt gehört zur Cybersicherheit, Unterthema Offene Türen und Abwehr. Gemessen wird er im Prüfbereich Aktualität. Was die Prüfung insgesamt leistet, zeigt die Leistungsseite; wie ein Ergebnis zustande kommt, erklärt das Prüfverfahren.
