Der ShieldWave-Scanner und der Ausschluss einer Domain

Version vom 22. Oktober 2026

1. Was der Scanner ist und wer ihn betreibt

ShieldWave (https://shieldwave.io) prüft die Sicherheit von Websites von außen. Es wird betrieben von Radosław Fedorczuk, der unter der Firma ENSOMEDIA Radosław Fedorczuk tätig ist, ul. Chorwacka 33/42, 51-107 Wrocław, Polen, Steuernummer (NIP) 8952195742, EU-Umsatzsteuer-Identifikationsnummer PL8952195742, Unternehmensregisternummer (REGON) 381626230, eingetragen im polnischen Zentralregister und Informationssystem zur Wirtschaftstätigkeit (CEIDG), nachfolgend „ENSOMEDIA“ oder „wir“.

2. Wie sich der Scanner zu erkennen gibt

Der Scanner verwendet den User-Agent ShieldWave-Scanner/1.0 (+https://shieldwave.io/bot).

Jede Anfrage trägt diese Kennung. Der Headless-Browser, der die Seite wie ein Besucher lädt, sendet einen Chrome-User-Agent, an dessen Ende ShieldWave-Scanner/1.0 (+https://shieldwave.io/bot) angehängt ist. Lehnt eine Website den Scanner ab, wird die Prüfung als nicht bewertet gemeldet, und keine Anfrage wird unter einer anderen Identität wiederholt. Das Sperren der Kennung stoppt eine laufende Prüfung nicht: Ihre Anfragen werden abgelehnt, und die Teile, die Antworten der Website brauchen, werden als nicht bewertet gemeldet. Wie Sie Ihre Domain von allen Prüfungen ausschließen lassen, steht in Abschnitt 5.

Jeder kann diese Kennung kopieren; im Zweifel senden Sie uns die Zeit, die IP-Adresse und die Log-Zeile, und wir sagen Ihnen, ob die Anfrage von uns kam.

3. Was eine Prüfung mit einer Website macht

Eine Prüfung liest, was der Server zurückgibt (Seiten, Sicherheits-Header, Zertifikat, Cookies, Caching), und fragt typische Adressen vergessener Dateien ab. Je nach Plattform prüft sie auch die WordPress-Konfiguration. Formulare, Weiterleitungen und bekannte Sicherheitslücken werden nur vom vollen Satz geprüft, der unten beschrieben ist.

Eine aus einem Konto beauftragte Prüfung sendet Testeingaben an Formulare und Adressen nur, wenn der Kunde die Kontrolle über die Domain bestätigt hat (ein DNS-Eintrag, eine Datei, ein Meta-Tag oder ein verbundenes WordPress-Plugin). Das ist mehr als Lesen. Ohne diese Bestätigung läuft der kürzere Satz und bricht ab, wenn die Website ihn abweist. Die Demonstrationsprüfung und die vier kostenlosen Tools, die jedem ohne Konto offenstehen, führen einen kürzeren Satz aus: Sie lesen, was der Server zurückgibt, und senden keine Testeingaben an Formulare; die Demonstrationsprüfung fragt außerdem eine kurze Liste von Adressen vergessener Dateien ab.

Der volle Satz fragt außerdem dreimal hintereinander nach der Startseite, um zu prüfen, ob Suchmaschinen anderen Inhalt sehen als Besucher (versteckter Spam, Cloaking). Die erste Anfrage ist die gewöhnliche, mit dem in Abschnitt 2 beschriebenen Chrome-User-Agent. Die zweite ist dieselbe Anfrage mit dem Header Referer: https://www.google.com/, als käme der Besucher aus der Google-Suche. Die dritte trägt den User-Agent Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html) ShieldWave-Scanner/1.0 (+https://shieldwave.io/bot). Diese Anfrage stammt nicht von Google. Sie erkennen sie am Teil ShieldWave-Scanner/1.0 am Ende des User-Agent, den der Crawler von Google nie sendet, und an der Adresse: Der Crawler von Google kommt von Adressen, die Google veröffentlicht und die bei einer umgekehrten DNS-Abfrage auf googlebot.com oder google.com zurückführen. Für diese Prüfung wird keine andere Seite abgerufen; Weiterleitungen innerhalb Ihrer eigenen Domain werden höchstens dreimal verfolgt.

Eine Prüfung meldet sich nicht an, es sei denn, der Kunde hat Anmeldedaten für den Bereich hinter der Anmeldung angegeben, und ändert keine Inhalte, doch eine Testeingabe, die an ein Formular gesendet wird, kann Sie erreichen, zum Beispiel als Nachricht eines Kontaktformulars. Wir begrenzen das Tempo der Anfragen und die Zahl der Prüfungen, die ein Konto und eine IP-Adresse beauftragen können. Prüfungen laufen nur, wenn ein Kunde sie beauftragt, nach dem Zeitplan eines Kunden oder wenn jemand die Demonstrationsprüfung nutzt.

4. Wer eine Prüfung beauftragen darf

Aus einem Konto darf ein Kunde nur eine Website prüfen, die ihm gehört oder deren Inhaber es erlaubt hat. Der Kunde erklärt das, wenn er eine Website hinzufügt oder eine Prüfung beauftragt; wir erfassen die Erklärung zusammen mit dem Konto, der Domain, der Zeit, dem Ort, an dem sie abgegeben wurde, der IP-Adresse und der Browserkennung und bewahren sie 3 Jahre ab der Erklärung auf. Der volle Satz läuft erst nach einer technischen Bestätigung der Kontrolle über die Domain (DNS-Eintrag, Datei, Meta-Tag oder verbundenes Plugin); wir können auch einen Nachweis der Erlaubnis des Inhabers verlangen.

Die Prüfung einer Website ohne Erlaubnis verstößt gegen unsere Nutzungsbedingungen und kann eine Straftat sein, etwa der unbefugte Zugang zu einem Computersystem oder die Störung seines Betriebs, nach dem polnischen Strafrecht (Artikel 267 bis 269c des polnischen Strafgesetzbuchs, Kodeks karny) und den entsprechenden Gesetzen anderer Länder.

5. Wie Sie Ihre Domain ausschließen lassen

Der Inhaber einer Website kann die Domain kostenlos und ohne Angabe von Gründen von allen ShieldWave-Prüfungen ausschließen lassen. Schreiben Sie an support@shieldwave.io von einer Adresse dieser Domain aus, Betreff „Domain exclusion“, und geben Sie an, ob Subdomains eingeschlossen sind. Von einer anderen Adresse aus fügen Sie einen weiteren Nachweis der Kontrolle bei, etwa einen DNS-Eintrag oder eine Datei mit einem Text, den wir Ihnen geben.

Wir schließen die Domain innerhalb von 2 Werktagen nach einer vollständigen Anfrage aus, bestätigen es per E-Mail und führen sie auf unserer Ausschlussliste, die die Prüfungen aller Kunden, die Demonstrationsprüfung und die kostenlosen Tools umfasst. Um den Ausschluss aufzuheben, schreiben Sie von derselben Domain aus.

6. Wie Sie Missbrauch melden

Wenn Sie glauben, dass jemand Ihre Website über ShieldWave ohne Erlaubnis geprüft hat, schreiben Sie an support@shieldwave.io mit der Domain, dem Datum und der Uhrzeit (mit Zeitzone) und, wenn Sie sie haben, der IP-Adresse und der Log-Zeile. Wir prüfen, wer die Prüfung beauftragt hat, können von ihm einen Nachweis der Erlaubnis verlangen, Prüfungen Ihrer Domain sperren und sein Konto sperren, und teilen Ihnen mit, was wir getan haben. Daten eines Kunden legen wir nur offen, wo das Gesetz es erlaubt. Melden Sie Schwachstellen in ShieldWave selbst nach der Richtlinie Meldung von Sicherheitslücken.

7. Was mit den Ergebnissen geschieht

Die Ergebnisse gehen an die Person, die die Prüfung beauftragt hat, in ihr Konto oder ihren Browser. Wir veröffentlichen keine Ergebnisse selbst.

8. Änderungsverlauf

• 22. Oktober 2026: Abschnitt 3 beschreibt die zwei zusätzlichen Anfragen der Prüfung auf Suchmaschinen-Spam (eine mit dem Googlebot-User-Agent, eine mit einem Google-Referrer) und wie man sie erkennt.
• 12. Oktober 2026: Abschnitt 2 berichtigt. Jede Anfrage trägt die Kennung des Scanners, nichts wird unter einer anderen Identität wiederholt, und eine abgelehnte Prüfung wird als nicht bewertet gemeldet.
• 29. September 2026: erste Fassung; sie ersetzt kein früheres Dokument.