Was prüft ein Online-Sicherheitsscanner für Websites, was sieht er nicht, und wie lesen Sie die Punktzahl?

Ein Online-Sicherheitsscanner betrachtet Ihre Website so, wie jeder im Internet sie sieht. Sie geben die Adresse ein, der Scanner schickt Anfragen an die Website, liest die Antworten und vergleicht sie mit einer Liste bekannter Probleme. Er braucht kein Passwort, kein Plugin und keinen Zugang zu Ihrem Server.

Das hat zwei Seiten. Die gute: Sie bekommen in wenigen Minuten eine Antwort und müssen niemanden um Zugang bitten. Die Grenze: Der Scanner sieht nur, was die Website nach außen zeigt. Unten steht, was in diese Sicht passt, was nicht und wie Sie den Bericht lesen, damit Sie wissen, was als Nächstes zu tun ist.

Was ein Scanner von außen sieht

Ein Scanner fängt dort an, wo auch ein Angreifer anfängt. Die Bots, die jeden Tag das Internet nach leichten Zielen absuchen, haben Ihre Passwörter auch nicht. Sie lesen, was sich ohne Anmeldung lesen lässt. Ein guter Online-Scanner schaut an dieselben Stellen:

• Zertifikat und Verschlüsselung. Ob das SSL-Zertifikat gültig ist und wann es abläuft, ob der Server noch veraltete Verschlüsselung annimmt und ob jede Variante Ihrer Adresse auf https:// landet.
• Softwareversionen. Der Quelltext Ihrer Seite verrät oft die Version von WordPress, dem Theme, den Plugins und den JavaScript-Bibliotheken. Der Scanner gleicht sie mit Datenbanken bekannter Sicherheitslücken ab.
• Offen liegende Dateien. Backups mit Namen wie backup.zip, .env-Dateien, ein .git-Ordner, Logs und Datenbank-Dumps. Gibt der Server sie jedem heraus, der danach fragt, sieht der Scanner sie.
• Sicherheits-Header und Cookies. Ob der Browser die Anweisungen bekommt, die es erschweren, Ihre Website in einen Rahmen einzubetten oder ein Skript einzuschleusen, und ob Sitzungs-Cookies die richtigen Flags tragen.
• E-Mail. Die Einträge für SPF, DKIM und DMARC, die entscheiden, ob ein Fremder E-Mails senden kann, die aussehen, als kämen sie von Ihrer Domain.
• Schädlicher Code und Reputation. Ob die Domain auf Bedrohungslisten wie Google Safe Browsing steht und ob der Code der Startseite versteckte Frames oder verdächtige Weiterleitungen enthält.
• Offene Ports und vergessene Subdomains. Eine Datenbank-Verwaltungsoberfläche, die offen im Internet steht, oder eine alte Testkopie der Website unter einer Adresse wie test.ihredomain.de.

ShieldWave führt mehr als 20 solcher Prüfungen in einem Durchgang aus, in etwa 90 Sekunden. Die Prüfungen, die Testdaten an Ihre Formulare senden, laufen erst, nachdem Sie bestätigt haben, dass die Website Ihnen gehört. Ohne diese Bestätigung liest ShieldWave nur, was die Website jedem Besucher zeigt.

Was ein Online-Scanner nicht prüfen kann

Alles hinter einer Anmeldung oder in den Dateien auf Ihrem Server ist für einen Scan von außen unerreichbar:

• PHP-Dateien. Der Scanner kann keine Dateien auf dem Server öffnen und findet daher keine Hintertür, die auf der Seite keine Spur hinterlässt. Bei WordPress ist das Aufgabe eines Plugins, das von innen arbeitet, oder des Malware-Scanners in Ihrem Hosting-Panel.
• Konten und Passwörter. Er kann nicht sagen, wie viele Administratoren Sie haben, ob sich jemand mit „admin123“ anmeldet oder ob die Zwei-Faktor-Anmeldung eingeschaltet ist.
• Plugins ohne Spuren. Fügt ein Plugin dem Quelltext der Seite nichts hinzu, kann der Scanner seine Version nicht erfahren.
• Inhalt der Datenbank. Spam, der in alte Beiträge eingefügt wurde und nur auf wenigen Seiten erscheint.
• Die Logik Ihres Shops oder Ihrer Anwendung. Ob ein Kunde die Bestellung eines anderen sehen kann, indem er eine Zahl in der Adresse ändert. Das prüft ein Mensch in einem Penetrationstest: Ein Spezialist versucht mehrere Tage lang von Hand einzubrechen und kennt dabei die Abläufe Ihres Geschäfts.

Ein Scan von außen ersetzt also weder ein Plugin noch einen Penetrationstest. Er beantwortet eine andere Frage: Was sieht jeder, der auf Ihrer Website landet, Bots eingeschlossen. Zwei der häufigsten Themen auf dieser Liste haben eigene Artikel: veraltete Plugins und Sicherheits-Header.

Wie Sie eine Punktzahl von 0 bis 100 lesen

ShieldWave fasst einen Scan in einer Zahl von 0 bis 100 zusammen. Je höher sie ist, desto weniger Probleme haben die Prüfungen gefunden und desto weniger ernst sind sie. Die Zahl taugt für zwei Dinge: um Ihre Website nach Korrekturen mit sich selbst zu vergleichen und um schnell zu beantworten, ob diese Woche etwas zu tun ist.

Drei Regeln:

1. Lesen Sie die Liste, nicht nur die Zahl. Eine Website mit 70 Punkten und einem kritischen Problem braucht schneller Aufmerksamkeit als eine mit 60 Punkten und einem Dutzend kleiner Hinweise.
2. Eine hohe Punktzahl heißt nicht, dass die Website sicher ist. Sie heißt, dass die Prüfungen von außen wenig gefunden haben. Die Dinge aus dem vorigen Abschnitt können trotzdem im Argen liegen.
3. Vergleichen Sie Daten. Derselbe Scan einen Monat später zeigt, ob die Korrekturen gewirkt haben und ob etwas Neues aufgetaucht ist, etwa eine inzwischen veröffentlichte Sicherheitslücke in einem Plugin.

Die drei schwersten Befunde im kostenlosen Tarif

Der kostenlose Tarif zeigt Ihre Punktzahl und Ihre drei schwersten Probleme. Die Liste ist absichtlich kurz: Muss diese Woche etwas behoben werden, steht es darauf.

Jeder Befund sagt ohne Fachjargon, was falsch ist und was es für das Geschäft bedeutet. Oben auf der Liste stehen meist Dinge wie ein Backup, das jeder herunterladen kann, ein Plugin mit einer bekannten Sicherheitslücke oder ein Zertifikat, das bald abläuft.

Der vollständige Bericht sortiert jeden Befund in drei Zeiträume: diese Woche, diesen Monat und später. Dazu kommt eine Aufgabenbeschreibung für Ihren Entwickler mit den technischen Details, die er braucht, um die Arbeit zu kalkulieren. Wenn Sie nicht wissen, wie Sie das übergeben, lesen Sie, wie Sie mit Ihrem Entwickler über Sicherheit sprechen.

Wo moje.cert.pl ins Bild passt

Sitzt Ihr Unternehmen oder Ihre Organisation in Polen, legen Sie ein Konto bei moje.cert.pl an. Das ist ein kostenloser Dienst von CERT Polska, dem nationalen Team für die Reaktion auf Sicherheitsvorfälle, das zu NASK gehört. Sie können einen Scan Ihrer Domains anfordern, und der Dienst informiert Sie über bekannte Sicherheitslücken in der Software, die Sie nutzen, über falsch konfigurierte Domains und Subdomains und über Datenlecks, die Konten in Ihrer Domain betreffen.

Ich empfehle ihn jedem Website-Inhaber in Polen, egal was er sonst nutzt. Sie richten ihn einmal ein, und die Benachrichtigungen kommen von selbst.

ShieldWave steht daneben für den Fall, dass Sie sofort eine Antwort wollen, in einfachen Worten, mit einer Reihenfolge der Korrekturen und einer Aufgabenbeschreibung zum Weitergeben. Beide schauen von außen, die Ergebnisse überschneiden sich also teilweise.

Wie oft Sie scannen

Für die meisten kleinen Unternehmen reicht einmal im Monat. Scannen Sie öfter, wenn

• sich auf der Website etwas ändert: ein neues Plugin, ein neues Theme, ein Umzug zu einem anderen Hoster,
• eine Person oder Agentur ausscheidet, die Zugang zum Adminbereich hatte,
• Sie ein Zeichen bekommen, dass etwas nicht stimmt: eine Warnung von Google, ein Kunde, der eine seltsame Weiterleitung erwähnt, Spam, der von Ihrer Domain verschickt wird. Lesen Sie in diesem Fall auch die Anzeichen, dass Ihre Website gehackt wurde.

Prüfen Sie Ihre Website. Geben Sie Ihre Adresse auf shieldwave.io ein. Das dauert etwa 90 Sekunden und braucht weder Passwort noch Konto.