Prüfpunkt software-version_oeffentlichVersionen bleiben verborgen
Warum sollte Ihre Website ihre CMS-Version verbergen?
Eine öffentlich sichtbare CMS-Version macht Ihre Website für Angreifer sortierbar: Wer massenhaft nach Seiten mit einer bestimmten Version sucht, findet Ihre Seite ohne jede Mühe. Das CMS ist das Redaktionssystem, mit dem Ihre Inhalte gepflegt werden — etwa WordPress, Joomla oder TYPO3. Der Prüfbereich Software-Stand liest den Quelltext und die Antwort Ihrer Seite und meldet, wenn dort die Versionsnummer steht.
Der Quelltext Ihrer Startseite nennt oft das System samt Version
Jede Website liefert neben dem sichtbaren Inhalt einen Quelltext aus, den jeder Besucher im Browser öffnen kann. Viele Redaktionssysteme schreiben dort eine Art Visitenkarte hinein, das sogenannte Generator-Merkmal — zum Beispiel den Systemnamen samt Versionsnummer. Auch Dateipfade können die Version tragen. Für den Betrieb der Website ist diese Angabe ohne Belang; sie ist ein Überbleibsel der Standardeinstellung. Der Prüfbereich erkennt verbreitete Systeme wie WordPress, Joomla, Drupal, TYPO3 oder Shopsysteme wie Magento, Shopware und PrestaShop an ihren typischen Spuren im Quelltext und prüft, ob dabei die Version mitgeliefert wird. Jeder Befund nennt die genaue Fundstelle, damit Ihre Agentur ihn nachvollziehen kann.
Eine sichtbare Version ist Aufklärungshilfe für Angreifer
Angriffe auf Websites laufen selten von Hand. Programme durchkämmen das Netz und sortieren Seiten nach System und Version. Steht Ihre Version offen lesbar da, landet Ihre Website ohne weiteres Zutun auf der passenden Liste. Wichtig ist die Trennung: Die Prüfung stellt fest, dass die Version sichtbar ist — nie, dass Ihre Installation verwundbar ist. Das kann sie von außen nicht wissen, und sie behauptet es nicht. Sichtbarkeit ist trotzdem ein vermeidbares Geschenk an die Gegenseite. Das Entfernen der Angabe ersetzt keine Aktualisierung, verkleinert aber die Angriffsfläche. In der Bewertung zählt die verborgene System-Version 20 von 100 Punkten.
Bei Baukasten-Anbietern übernimmt der Anbieter die Pflege
Websites bei Wix, Shopify, Squarespace, Webflow oder Jimdo laufen auf Plattformen, die der Anbieter selbst aktuell hält. Für solche Seiten wertet der Prüfbereich eine erkennbare Herkunft nicht als Befund — eine „veraltete Version“ ist dort keine sinnvolle Kategorie, weil Sie keine Updates einspielen müssen. Anders bei selbst betriebenen Systemen wie WordPress, Joomla oder TYPO3: Hier verantworten Sie oder Ihre Agentur die Aktualisierung, und genau deshalb zählt hier auch die Sichtbarkeit der Version. Wenn Sie unsicher sind, zu welcher Gruppe Ihre Website gehört, beantwortet der Befundbericht das gleich mit — er nennt das erkannte System und seine Belegstellen.
So gehen Sie es an
- Öffnen Sie den Quelltext Ihrer Startseite (rechte Maustaste, „Seitenquelltext anzeigen“) und suchen Sie nach dem Wort „generator“.
- Bitten Sie Ihre Agentur, das Generator-Merkmal abzuschalten — bei den gängigen Systemen ist das ein kleiner, gefahrloser Eingriff.
- Klären Sie schriftlich, wer die Aktualisierung Ihres Redaktionssystems verantwortet — Sie, die Agentur oder der Hoster.
- Lassen Sie sich eingespielte Updates kurz bestätigen, damit die Pflege nachweisbar bleibt.
- Behandeln Sie das Verbergen als Zugabe: Die eigentliche Schutzmaßnahme bleibt die laufende Aktualisierung.
Weiter im Prüfbereich Software-Stand
- Was verraten Plugin-Versionen im Quelltext Ihrer Website?Plugins und Themes schreiben ihre Version oft in Dateipfade. So erkennt jeder veraltete Erweiterungen von außen — und so begrenzen Sie die Preisgabe.
- Was verraten Server-Header über die Software Ihrer Website?Antwort-Header wie „Server“ oder „X-Powered-By“ nennen oft Software-Versionen. Das erleichtert Angreifern die Zuordnung und lässt sich abschalten.
- Warum sollte das HTML Ihrer Website die W3C-Validierung bestehen?Der W3C-Validator prüft, ob das HTML einer Seite den Regeln des Standards folgt. Was ein Fehler bedeutet, wie die Prüfung abläuft und wer ihn behebt.
- Warum ist eine Bibliothek ohne Herstellerpflege ein Risiko für Ihre Website?Eine Bibliothek ohne Herstellerpflege erhält keine Sicherheitskorrekturen mehr. Was das Wartungsende bedeutet und wie Sie den Wechsel anstoßen.
Dieser Prüfpunkt gehört zum Prüfbereich Software-Stand; dort stehen alle Prüfpunkte im Überblick. Was die Prüfung insgesamt leistet, zeigt die Leistungsseite; wie ein Ergebnis zustande kommt, erklärt das Prüfverfahren. Alle Prüfbereiche im Überblick: Wissensbasis.
Foto: Kelly Sikkema, CC0
.jpg){kind=link}