Wie kann ich meine Website auf Sicherheit prüfen?

Geben Sie oben die Adresse Ihrer Website ein. Der Check liest die Startseite und zeigt mit Ampel, was von außen erkennbar ist: HTTPS, Zertifikat, Schutz-Einstellungen im Antwortkopf, sichtbare Software-Versionen und Cookies. Das ist ein erster Blick von außen und ersetzt keine Prüfung am Server.

Ist der Website-Sicherheitscheck kostenlos?

Ja, das Werkzeug ist kostenlos, ohne Anmeldung und ohne Mailadresse. Wenn Sie möchten, sieht der Inhaber sich Ihre Seite danach selbst an und schickt Ihnen eine kurze Auswertung. Auch das kostet nichts und verpflichtet zu nichts.

Was prüft der Check, und was prüft er nicht?

Er ruft nur die Startseite auf, so wie jeder Browser, und wertet aus, was dabei sichtbar ist. Er greift nichts an und fragt keine anderen Pfade ab. Er sieht nicht, ob WordPress, Erweiterungen und Passwörter in Ordnung sind, ob die Seite schon gehackt wurde und wie der Server konfiguriert ist.

Heißt eine grüne Ampel, dass meine Website sicher ist?

Nein. Grün heißt nur, dass an diesem Punkt von außen nichts Auffälliges erkennbar ist. Ob die Website als Ganzes in Ordnung ist, lässt sich so nicht beurteilen. Dafür braucht es eine Prüfung am Server, etwa der Updates, der Zugänge und der Sicherungen.

Wird meine Adresse gespeichert?

Nein. Die Adresse wird für die Prüfung gebraucht und danach nicht gespeichert und nicht protokolliert. Für die Begrenzung auf zehn Prüfungen pro Stunde merkt sich der Server kurz Ihre Verbindungsadresse im Arbeitsspeicher. Welche Ergebnisse angezeigt werden, zählt die Webanalyse anonym, ohne die geprüfte Adresse.

Darf ich auch die Website eines anderen prüfen?

Der Check liest nur, was jeder Besucher ohnehin sieht, und greift nichts an. Trotzdem sollten Sie ihn nur für Seiten nutzen, die Sie selbst betreiben oder deren Betreiber einverstanden ist. Prüfen Sie keine Adressen, die Sie nicht betreuen.

Was kostet es, wenn Handlungsbedarf erkennbar ist?

Das hängt vom Befund ab. Die Wartung einer bestehenden WordPress-Seite kostet ab 59 € im Monat plus 149 € Einrichtung, monatlich kündbar. Eine neue Website mit wenig Angriffsfläche gibt es auf Anfrage mit festem Preis. Alle Preise sind Endpreise. Vor jedem Auftrag bekommen Sie den Preis schriftlich.

Kostenloses Werkzeug

Website-Sicherheit prüfen: kostenloser Check von außen

Adresse eingeben, und eine Ampel zeigt, was von außen erkennbar ist: verschlüsselte Verbindung, Zertifikat, Schutz-Einstellungen, sichtbare PHP- und WordPress-Versionen. Ohne Anmeldung, ohne Mailadresse. Der Check liest nur die Startseite und ersetzt keine Prüfung am Server.

Keine Anmeldung Nur die Startseite Kein Angriff, keine Tests

So lesen Sie das Ergebnis

Erkennbar in Ordnung
An diesem Punkt ist von außen nichts Auffälliges zu sehen.
Hinweis
Eine Schutz-Einstellung fehlt oder eine Angabe ist sichtbar. Meist kein Notfall.
Handlungsbedarf erkennbar
Zum Beispiel kein HTTPS, ungültiges Zertifikat oder eine PHP-Version ohne Reparatur.
Von außen nicht feststellbar
Der Punkt lässt sich ohne Zugriff auf den Server nicht beurteilen.

Der Check macht keine Aussage, ob Ihre Website insgesamt in Ordnung ist. Er zeigt, was jeder Besucher beim Aufruf sehen kann. Updates, Zugänge, Sicherungen und die Server-Einstellungen sieht nur eine Prüfung am Server.

Was prüft der Website-Sicherheitscheck?

Zwölf Punkte, jeweils in Alltagssprache erklärt. Welche davon bei Ihnen eine Rolle spielen, zeigt das Ergebnis oben.

Was ist HTTPS, und warum soll http auf https umleiten?

HTTPS verschlüsselt die Verbindung zwischen Besucher und Website, sodass Eingaben unterwegs nicht mitgelesen werden. Eine Weiterleitung von http auf https sorgt dafür, dass auch Besucher, die die alte Adresse tippen, auf der verschlüsselten Seite landen. Ohne HTTPS zeigen Browser eine Warnung, das wirkt auf Kunden abschreckend.

Wofür braucht meine Website ein Sicherheitszertifikat?

Das Zertifikat belegt dem Browser, dass die Adresse wirklich zu dieser Website gehört, und ermöglicht die Verschlüsselung. Es hat ein Ablaufdatum, meist wenige Wochen bis Monate. Läuft es ab, erscheint für Besucher eine Warnseite. Der Check zeigt, ob es gültig ist und wie lange es noch läuft.

Was ist HSTS?

HSTS ist ein Antwortkopf, mit dem die Website dem Browser sagt: Künftig nur noch verschlüsselt aufrufen. Der Browser merkt sich das für die angegebene Zeit und lässt keine unverschlüsselte Verbindung mehr zu. Ohne HSTS bleibt beim allerersten Aufruf eine kleine Lücke, etwa in einem fremden WLAN.

Was ist eine Content-Security-Policy?

Die Content-Security-Policy legt fest, aus welchen Quellen Ihre Seite Skripte, Bilder und Schriften laden darf. Wird fremder Code eingeschleust, kann der Browser ihn dann blockieren. Sie ist eine der wirksamsten Schutzschichten, aber aufwendig einzurichten, weil jede genutzte Quelle eingetragen werden muss. Eine lockere Regel schützt nur begrenzt.

Was bewirkt X-Content-Type-Options?

Mit dem Wert nosniff verbietet die Website dem Browser, Dateien nach Gutdünken anders zu deuten, als der Server sie ausgibt. Ohne ihn könnte eine hochgeladene Datei, die wie ein Bild aussieht, als Skript ausgeführt werden. Es ist eine Ein-Zeilen-Einstellung beim Server und gehört zu den einfachsten Schutzmaßnahmen.

Was schützen X-Frame-Options und frame-ancestors?

Beide Einstellungen regeln, ob fremde Seiten Ihre Website in einem Rahmen einbetten dürfen. Ohne Regel kann jemand Ihre Seite unsichtbar über eine eigene legen und Besucher zu Klicks verleiten (Clickjacking). Es genügt eine der beiden Angaben, frame-ancestors ist die neuere und steht in der Content-Security-Policy.

Wozu dient die Referrer-Policy?

Folgt ein Besucher einem Link von Ihrer Seite zu einer anderen, schickt der Browser mit, woher er kommt. Die Referrer-Policy legt fest, wie viel von Ihrer Adresse dabei weitergegeben wird. Eine Regel wie strict-origin-when-cross-origin gibt nur die Domain preis, nicht den vollen Pfad mit möglichen Parametern.

Was ist die Permissions-Policy?

Die Permissions-Policy schaltet Browser-Funktionen für Ihre Seite ab, die sie nicht braucht, zum Beispiel Kamera, Mikrofon oder Standort. Das begrenzt den Schaden, falls ein eingebundenes Fremdskript solche Funktionen ansprechen will. Eine Website, die keine davon nutzt, kann sie ohne Nachteil für Besucher sperren.

Warum ist es ein Hinweis, wenn der Server seine Version nennt?

Viele Server nennen in den Antwortköpfen ihre Software samt Versionsnummer, etwa Apache oder PHP. Das ist kein Fehler, verrät aber jedem, womit die Seite läuft. Angreifer suchen gezielt nach bekannten Lücken genau dieser Version. Die Angabe lässt sich abschalten; wichtiger bleibt, dass die Software aktuell ist.

Welche PHP-Version ist aktuell und repariert?

Nach den PHP-Lücken vom 21. Oktober 2026 sind diese Ausgaben repariert: PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12 (Stand 21.10.2026). PHP 8.1 und älter bekommen keine Sicherheitsupdates mehr. Der Check liest die Version aus dem Antwortkopf, soweit der Server sie nennt. Manche Hoster verteilen Reparaturen ohne neue Nummer.

Woran erkennt der Check WordPress, und warum ist die Version sichtbar?

Der Check sucht im Quelltext der Startseite nach der Generator-Angabe und nach Pfaden wie wp-content. Steht dort eine Versionsnummer, kann jeder sehen, ob ein Update fehlt. WordPress selbst ist keine Schwäche. Wichtiger als die versteckte Nummer ist, dass WordPress, Erweiterungen und Theme aktuell sind.

Was bedeuten Secure und HttpOnly bei Cookies?

Secure sorgt dafür, dass ein Cookie nur über verschlüsselte Verbindungen übertragen wird. HttpOnly verbirgt es vor Skripten auf der Seite und erschwert so den Diebstahl von Anmelde-Cookies. Bei Sitzungs- und Anmelde-Cookies sind beide Merkmale sinnvoll, bei reinen Einstellungs-Cookies fehlen sie oft mit Absicht.

Ronni Wordel, Lauenburg an der Elbe

Ein Befund, den Sie nicht einordnen können? Schicken Sie die Adresse. Der Inhaber sieht sich die Seite selbst an.

+49 173 8364660 WhatsApp Nachricht schreiben

Erreichbar: So bis Do 08 bis 20 Uhr, Fr und Sa 09 bis 14 Uhr

Was ein Check von außen nicht sieht

Der Check kennt nur die Antwort der Startseite. Er sieht nicht, ob WordPress, Erweiterungen und Theme aktuell sind, ob Passwörter und Zugänge in Ordnung sind, ob es Sicherungen gibt und ob die Seite schon verändert wurde. Auch Sicherheitsfunde, die hinter einer Anmeldung liegen, bleiben unsichtbar. Dafür braucht es eine Prüfung am Server.

Wie Sie PHP-Version und Updates bei WordPress selbst finden, steht im Ratgeber PHP-Version prüfen. Weitere Schritte finden Sie unter Website selbst prüfen, zum aktuellen Anlass unter PHP-Sicherheitslücke Oktober 2026 und zum Zertifikat unter SSL-Zertifikat erklärt.

Und danach?

Je nach Ergebnis gibt es drei Wege. Vor jedem Auftrag bekommen Sie den Preis schriftlich.

Kostenloser Sicherheits-Check

Der Inhaber sieht sich Ihre Website selbst an und schickt Ihnen eine kurze Auswertung. Verpflichtet zu nichts.

Check anfragen

WordPress-Wartung

Sie behalten WordPress, webAION hält WordPress, Erweiterungen und PHP aktuell. ab 59 € im Monat, monatlich kündbar.

Wartung ansehen

Weniger Angriffsfläche

Vorab gebaute Websites ohne PHP und Datenbank haben möglichst wenig Angriffsfläche. Was nicht da ist, kann auf diesem Weg nicht angegriffen werden.

Sichere Website ansehen

Häufige Fragen zum Website-Sicherheitscheck

Dieser Text ist ein Hinweis und keine Sicherheitsberatung im Einzelfall. Die Liste der reparierten PHP-Versionen stammt aus dem PHP-ChangeLog, Stand 21.10.2026.

Weitere Leistungen