Prüfpunkt software-bibliothek_wartungsendeBibliotheken
Warum ist eine Bibliothek ohne Herstellerpflege ein Risiko für Ihre Website?
Eine Bibliothek ohne Herstellerpflege erhält keine Sicherheitskorrekturen mehr — wird später eine Lücke bekannt, bleibt sie dauerhaft offen. Solche Bibliotheken sind fertige Code-Bausteine, die viele Websites für Menüs, Bildergalerien oder Eingabemasken einbinden. Der Prüfbereich Software-Stand erkennt sie im Quelltext Ihrer Seite und gleicht die gefundene Version mit den Wartungsenden ab, die die Hersteller selbst veröffentlicht haben.
Fertige Bausteine tragen Ihre Website
Kaum eine Website wird komplett neu geschrieben. Agenturen greifen zu bewährten Bausteinen: jQuery hilft bei Bedienelementen, Bootstrap liefert das Seitenraster, AngularJS und Vue steuern ganze Eingabemasken. Diese Bausteine heißen Bibliotheken. Sie stecken als Skript-Dateien in Ihrer Seite und laufen im Browser jedes Besuchers. Der Hersteller einer Bibliothek pflegt sie über Jahre: Er behebt Fehler und schließt Sicherheitslücken. Irgendwann beendet er die Pflege einer Versionsreihe und verweist auf die Nachfolgerin. Ab diesem Wartungsende erscheinen für die alte Reihe keine Korrekturen mehr — gleichgültig, was noch gefunden wird. Die Bibliothek läuft weiter, aber niemand repariert sie mehr.
Veröffentlichte Wartungsenden sind belegbare Tatsachen
Der Prüfbereich stützt sich ausschließlich auf Termine, die die Hersteller selbst bekannt gegeben haben. Beispiele aus dem Prüfkatalog: Die jQuery-Reihen 1 und 2 erhalten seit 2016 keine Pflege mehr. AngularJS wird seit Anfang 2022 offiziell nicht mehr gepflegt. Bootstrap 3 ist seit Mitte 2019 ohne Pflege, Bootstrap 4 wurde Anfang 2023 abgekündigt. Vue 2 hat sein Wartungsende Ende 2023 erreicht. Findet die Prüfung eine dieser Reihen auf Ihrer Seite, ist das der schwerste Befund dieses Prüfbereichs: Er kostet 40 von 100 Punkten, und das Teilsiegel ist damit außer Reichweite. Diese Gewichtung folgt dem Risiko — fehlende Herstellerpflege wiegt schwerer als jede bloß sichtbare Versionsnummer.
Die Prüfung bewertet Herstellerpflege, keine Verwundbarkeit
Die Trennung ist bewusst: Der Befund hält fest, dass der Hersteller die Bibliothek aufgegeben hat — eine nachprüfbare Tatsache. Er behauptet dagegen nie, dass Ihre Website angreifbar ist; das ließe sich von außen gar nicht seriös feststellen. Die Prüfung liest außerdem nur, was Ihre Seite selbst ausliefert: Skript-Verweise mit sichtbarer Versionsnummer. Bibliotheken, die beim Bau der Seite in ein Paket gebündelt wurden, bleiben von außen unsichtbar. Deshalb gilt: Ein leerer Befund heißt „nichts erkennbar“, nie „alles aktuell“. Diese Vorsicht ist Teil der Prüfordnung — der Prüfbereich behauptet nur, was er mit einer Belegstelle im Quelltext zeigen kann.
So gehen Sie es an
- Fragen Sie Ihre Agentur, welche Frontend-Bibliotheken auf Ihrer Website im Einsatz sind — die Liste sollte kurz und vollständig sein.
- Lassen Sie sich zu jeder Bibliothek sagen, ob der Hersteller sie noch pflegt.
- Planen Sie beim Wartungsende einer Bibliothek den Wechsel auf die gepflegte Nachfolge-Reihe ein — das ist meist ein kleiner Umbau, kein Knopfdruck.
- Vereinbaren Sie einen festen Termin im Jahr, an dem Ihre Agentur den Software-Stand der Website durchsieht und schriftlich festhält.
- Bewahren Sie die Prüfberichte auf — so sehen Sie über die Jahre, ob der Pflegezustand besser oder schlechter wird.
Weiter im Prüfbereich Software-Stand
- Warum sollte Ihre Website ihre CMS-Version verbergen?Eine sichtbare CMS-Version macht Ihre Website für versionsgezielte Angriffe sortierbar. Die Angabe lässt sich meist ohne Funktionsverlust entfernen.
- Was verraten Plugin-Versionen im Quelltext Ihrer Website?Plugins und Themes schreiben ihre Version oft in Dateipfade. So erkennt jeder veraltete Erweiterungen von außen — und so begrenzen Sie die Preisgabe.
- Was verraten Server-Header über die Software Ihrer Website?Antwort-Header wie „Server“ oder „X-Powered-By“ nennen oft Software-Versionen. Das erleichtert Angreifern die Zuordnung und lässt sich abschalten.
- Warum sollte das HTML Ihrer Website die W3C-Validierung bestehen?Der W3C-Validator prüft, ob das HTML einer Seite den Regeln des Standards folgt. Was ein Fehler bedeutet, wie die Prüfung abläuft und wer ihn behebt.
Dieser Prüfpunkt gehört zum Prüfbereich Software-Stand; dort stehen alle Prüfpunkte im Überblick. Was die Prüfung insgesamt leistet, zeigt die Leistungsseite; wie ein Ergebnis zustande kommt, erklärt das Prüfverfahren. Alle Prüfbereiche im Überblick: Wissensbasis.
Foto: Greg Rakozy, CC0
.jpg){kind=link}