Ein Website-Sicherheitscheck zeigt Ihnen, an welchen Stellen Ihre Website heute angreifbar ist und was davon zuerst behoben werden muss. Wir prüfen CMS, Plugins, Server, Verschlüsselung, Formulare, Zugänge und Backups, bestätigen jeden Fund von Hand und liefern einen Bericht mit Prioritäten. Auf Wunsch beheben wir die Befunde selbst und prüfen danach erneut.

Was ein Website-Sicherheitscheck prüft

Der Check deckt alles ab, was ein Angreifer von außen sehen und erreichen kann, plus die Konfiguration hinter den Kulissen, zu der Sie uns Zugang geben. Am Ende wissen Sie, welche Komponenten veraltet sind, welche Einstellungen Lücken öffnen und ob Sie nach einem Ausfall wieder online kämen.

Im Einzelnen sehen wir uns an:

  • CMS und Erweiterungen. Version von WordPress, TYPO3, Joomla oder Shopware, jedes Plugin und Theme, verwaiste und nicht mehr gepflegte Komponenten.
  • Server und Hosting. PHP-Version, offene Ports, Verzeichnislisten, Rechte im Dateisystem, Zugänge zu Hosting-Panel, SSH und Datenbank.
  • Verschlüsselung und Header. TLS-Versionen und Zertifikat, Weiterleitung auf HTTPS, Sicherheits-Header wie Content-Security-Policy und Strict-Transport-Security.
  • Login, Upload, Formulare. Begrenzung von Fehlversuchen, MFA für Admins, erlaubte Dateitypen beim Upload, Schutz von Kontaktformularen vor automatisierter Nutzung.
  • DNS und E-Mail. SPF, DKIM und DMARC der Domain, damit niemand in Ihrem Namen Rechnungen verschicken kann.
  • Backups. Wo die Kopien liegen, ob sie vom Produktivsystem getrennt sind und ob eine Wiederherstellung tatsächlich funktioniert.

Prüfmaßstab: BSI, OWASP und DSGVO

Wir messen Ihre Website an öffentlich nachlesbaren Anforderungen, damit jeder Befund einen Bezugspunkt hat und Ihr Entwickler ihn nachprüfen kann. Die wichtigsten Quellen sind der BSI-Baustein für Webanwendungen, die OWASP Top 10:2025 und Art. 32 DSGVO.

Anforderung Was sie für Ihre Website bedeutet Quelle
APP.3.1.A1 Authentisierung Geschützte Bereiche nur nach Anmeldung, Grenzwerte für fehlgeschlagene Anmeldeversuche BSI IT-Grundschutz-Kompendium, Edition 2023
APP.3.1.A4 Kontrolliertes Einbinden von Dateien Upload-Funktionen mit festgelegter Dateigröße, festen Dateitypen und festem Speicherort BSI, APP.3.1
APP.3.1.A14 Schutz vertraulicher Daten Passwörter serverseitig mit Salted-Hash-Verfahren gespeichert, Quelltexte vor Abruf geschützt BSI, APP.3.1
APP.3.1.A21 Sichere HTTP-Konfiguration Mindestens Content-Security-Policy, Strict-Transport-Security und Content-Type als Response-Header BSI, APP.3.1
A02:2025 Security Misconfiguration Standardkonten, offene Debug-Ausgaben, unnötige Dienste OWASP Top 10:2025
A03:2025 Software Supply Chain Failures Veraltete oder unsichere Plugins, Themes und Bibliotheken OWASP Top 10:2025
Art. 32 Abs. 1 lit. d DSGVO Regelmäßige Überprüfung der Wirksamkeit der Schutzmaßnahmen Verordnung (EU) 2016/679
§ 19 Abs. 4 TDDDG Anbieter digitaler Dienste sichern ihre Technik gegen unerlaubten Zugriff nach dem Stand der Technik TDDDG

Der BSI-Baustein empfiehlt außerdem unter APP.3.1.A22, Webanwendungen regelmäßig auf Sicherheitsprobleme zu überprüfen und die Ergebnisse nachvollziehbar zu dokumentieren. Genau diese Dokumentation ist der Bericht, den Sie von uns bekommen.

Schwachstellen-Scan und Prüfung von Hand

Ein automatischer Website-Schwachstellen-Scan ist der Anfang der Arbeit. Erst die Prüfung durch einen Menschen macht aus der Trefferliste einen Bericht, nach dem man handeln kann.

Scanner melden viele Treffer, die in Ihrer Konfiguration harmlos sind, und übersehen Zusammenhänge: ein Plugin, das zwar aktuell ist, aber eine Upload-Funktion ohne Prüfung des Dateityps freigibt, oder ein Admin-Konto eines früheren Dienstleisters, das niemand gelöscht hat. Wir gleichen jeden Treffer mit Ihrer tatsächlichen Installation ab, streichen Fehlalarme und ergänzen, was kein Scanner sieht. Dazu gehören Rechte im Dateisystem, alte Zugänge, Backups im öffentlichen Verzeichnis und Weiterleitungen, die ein Angreifer nutzen könnte.

Wir prüfen nur Systeme, deren Eigentümer den Scope Letter unterschrieben hat. Liegt Ihre Website bei einem Hoster oder einer Agentur, klären wir vorher, ob deren Bedingungen Sicherheitstests erlauben.

Ihr Bericht und die Reihenfolge der Behebung

Sie erhalten einen Bericht, der jede bestätigte Schwachstelle beschreibt, ihre Gefährlichkeit einordnet und eine Reihenfolge festlegt. Die Geschäftsführung liest die Kurzfassung, der Entwickler arbeitet mit dem technischen Anhang.

Der Bericht enthält:

  • eine Kurzfassung in einfacher Sprache: Wie steht es um die Website, was ist dringend;
  • jeden Befund mit Beleg, betroffener Komponente und Einstufung;
  • drei Prioritäten: heute beheben, in diesem Monat beheben, später beheben;
  • konkrete Maßnahmen je Befund, so formuliert, dass Ihr Team oder Ihr Dienstleister sie umsetzen kann;
  • den Zustand der Backups mit dem Ergebnis eines Wiederherstellungstests, wenn er beauftragt ist.

Der Bericht gehört Ihnen. Sie können ihn Ihrem Datenschutzbeauftragten, Ihrem Versicherer oder einem Auftraggeber vorlegen, der einen Nachweis verlangt.

Behebung und Nachtest

Nach dem Bericht beheben wir die Befunde selbst oder gemeinsam mit Ihrem Entwickler. Danach prüfen wir dieselben Stellen erneut und bestätigen schriftlich, welche Befunde geschlossen sind.

Typische Arbeiten nach einem Check sind Updates von CMS und Plugins, das Entfernen nicht mehr gepflegter Erweiterungen, MFA für alle Admin-Konten, gesetzte Sicherheits-Header, korrigierte Dateirechte und ein Backup an einem getrennten Ort mit geprüfter Wiederherstellung. Marketing MIX entwickelt und betreut selbst Unternehmenswebsites. Wir kennen also die Stellen, an denen eine Änderung am Server ein Formular oder einen Shop-Checkout stört, und testen diese nach jedem Eingriff.

Was wir von Ihnen brauchen

Für den Check brauchen wir eine Ansprechperson, die Entscheidungen treffen kann, und die Zugänge, die der Scope Letter vorsieht.

Konkret: die Liste der Domains und Subdomains, die geprüft werden sollen; Admin-Zugang zum CMS oder ein eigenes Prüfkonto; Zugang zum Hosting-Panel oder Server, wenn wir die Konfiguration prüfen sollen; Angaben, welche Systeme unberührt bleiben müssen; und die Unterschrift unter den Scope Letter. Ohne Unterschrift beginnen wir keine Prüfung.

Grenzen des Sicherheitschecks

Der Check bewertet den technischen Zustand Ihrer Website zu einem Stichtag. Er nutzt keine Lücken aus und ist damit kein Penetrationstest. Penetrationstests sind auf Anfrage möglich.

Wir sind keine Aufsichtsbehörde und keine Zertifizierungsstelle, und der Bericht ist kein Zertifikat. Ein Rechtsgutachten zur DSGVO geben wir nicht ab; das ist Aufgabe Ihrer Rechtsberatung oder Ihres Datenschutzbeauftragten. Neue Schwachstellen in Plugins werden laufend veröffentlicht, deshalb beschreibt der Bericht den Zustand am Prüftag. Eine Garantie, dass die Website nie angegriffen wird, kann niemand seriös geben.

Risiken bei Online-Schnelltests, Chatbot-Antworten und Einzelaufträgen

Kostenlose Online-Scanner prüfen meist nur, was von außen sichtbar ist, und liefern eine Note ohne Zusammenhang. Ein Chatbot kennt weder Ihre Plugins noch Ihre Logdateien und kann eine Einstellung empfehlen, die bei Ihrem Hoster das Formular lahmlegt.

Freelancer ohne schriftlichen Umfang arbeiten oft ohne klare Freigabe des Eigentümers. Das ist ein rechtliches Risiko für beide Seiten, und ohne Nachtest bleibt offen, ob eine Lücke wirklich geschlossen ist. Wir arbeiten mit Vertrag, festem Umfang und unterschriebenem Scope Letter. Jeder Befund wird von einem Menschen geprüft, und der Nachtest ist Teil des Auftrags.

Ablauf und Kosten

Der Ablauf hat fünf Schritte: Gespräch, Scope Letter, Prüfung mit Bericht, Behebung, Nachtest. Den Preis erfahren Sie vor dem Start als Festpreis.

Er hängt von der Zahl der Websites und Server, vom CMS, von angemeldeten Bereichen und Schnittstellen sowie davon ab, ob wir die Behebung übernehmen. Sicherheitsaufträge schließt INNOVA CONSULT LTD., Ottawa, Ontario (Corporations Canada, Corporation Number 1522612).

Verwandte Seiten

Quellen (geprüft am 23.10.2026)

Maksym Stepanenko, Gründer von Marketing MIX. Zuletzt geprüft: 23. Oktober 2026.