Website-Sicherheit prüfen:
Header, Zertifikat, alte Skripte

Was Ihr Server bei jedem Aufruf mitschickt, sieht jeder: Sicherheits-Header, Zertifikat, die Weiterleitung auf https und die Versionen von jQuery und Bootstrap. Der Scan liest das in einem Durchgang und nennt zu jeder Lücke die Zeile, die sie schließt.

Kostenlos und ohne Anmeldung ohne Kreditkarte meist unter zwei Minuten Beispielbericht ansehen

Was von außen sichtbar ist

Kein Angriff und kein Eindringen: wir lesen nur, was jeder Browser beim normalen Aufruf bekommt. Genau das sehen automatisierte Angreifer auch zuerst.

AngabeFundstelle
Strict-Transport-Security (HSTS)
Sagt dem Browser, Ihre Seite nur noch über https zu laden. Ohne den Header kann der erste Aufruf noch unverschlüsselt über http laufen. Üblicher Wert: max-age=31536000.		Sicherheit, keine Rechtsfrage
X-Content-Type-Options
Mit nosniff errät der Browser den Dateityp nicht selbst, sondern hält sich an die Angabe des Servers. So läuft eine hochgeladene Datei nicht als Skript.		Sicherheit, keine Rechtsfrage
X-Frame-Options oder frame-ancestors
Verhindert, dass eine fremde Seite Ihre in einem unsichtbaren Rahmen (iframe) einbettet und Klicks abfängt (Clickjacking). SAMEORIGIN erlaubt nur Ihre eigene Domain.		Sicherheit, keine Rechtsfrage
Zertifikat und Weiterleitung auf https
Ob das Zertifikat gültig ist und Browser ihm vertrauen, wann es abläuft und ob http:// auf https:// weiterleitet.		Sicherheit, keine Rechtsfrage
Veraltete JavaScript-Bibliotheken
jQuery vor 3.5.0, jQuery UI vor 1.13.2 und Bootstrap vor 3.4.1 (oder 4.0 bis 4.3.0) haben bekannte Lücken mit CVE-Nummer. Die Version lesen wir aus der geladenen Bibliothek, nicht aus dem Dateinamen.		Sicherheit, keine Rechtsfrage
Sitzungs-Cookie
Ob das Sitzungs-Cookie Ihres Systems (PHP, WooCommerce, Shopware, Magento …) Secure und HttpOnly trägt, damit es weder über http noch per Skript abgegriffen werden kann.		Sicherheit, keine Rechtsfrage

Schritt für Schritt

  1. Selbst nachsehen

    Die Startseite öffnen, Entwicklertools (F12), Reiter Netzwerk, neu laden und die erste Zeile (das Dokument) anklicken. Unter „Antwort-Header“ steht, welche Header Ihr Server setzt.

  2. Apache und die meisten Hoster

    In der .htaccess im Hauptverzeichnis ergänzen: Header always set Strict-Transport-Security "max-age=31536000", Header always set X-Content-Type-Options "nosniff" und Header always set X-Frame-Options "SAMEORIGIN". HSTS erst setzen, wenn die Seite über https vollständig funktioniert.

  3. nginx

    Im server-Block für https: add_header Strict-Transport-Security "max-age=31536000" always;, dazu dieselbe Zeile für X-Content-Type-Options und X-Frame-Options; danach nginx neu laden.

  4. WordPress und Baukästen

    In WordPress setzen auch Sicherheits-Plugins diese Header, sonst die .htaccess wie oben. Bei gehosteten Systemen wie Shopify oder Wix haben Sie auf die Header keinen direkten Zugriff; dort bleibt, Apps und eingebundene Skripte aktuell zu halten.

  5. Alte Bibliotheken ersetzen

    Meist bringt ein altes Theme oder Plugin jQuery oder Bootstrap mit. Im Quelltext (Strg+U) nach jquery oder bootstrap suchen; der Pfad nennt Theme oder Plugin. Dieses aktualisieren oder ersetzen.

  6. Nachmessen

    Die Seite neu laden und die Antwort-Header noch einmal ansehen, oder die Adresse oben erneut prüfen.

Fragen

Ist das ein Penetrationstest?

Nein. Wir lesen nur, was jeder Besucher beim normalen Aufruf bekommt, und versuchen nirgends einzudringen. Ein fehlender Header ist keine Lücke an sich, sondern ein fehlender Schutz.

Warum melden Sie keine fehlende Content-Security-Policy?

Eine CSP fehlt auf fast jeder Website und lässt sich nicht mit einer Zeile setzen: sie muss jede Quelle Ihrer Skripte kennen. Wir melden nur, was sich sofort beheben lässt. Eine vorhandene CSP mit frame-ancestors zählt statt X-Frame-Options.

Verlangt die DSGVO Security-Header?

Art. 32 DSGVO verlangt angemessene technische Maßnahmen zum Schutz personenbezogener Daten, nennt aber keine einzelnen Header. Fehlende Header stehen im Bericht deshalb gelb, als Sicherheitsthema, nicht als Rechtsfrage.

Ist die Prüfung kostenlos?

Ja, ohne Anmeldung und ohne Kreditkarte. Jeder Befund steht mit Fundort im Bericht; die Schritte zum Beheben kommen mit Ihrer E-Mail-Adresse, 14 Tage kostenlos.

Prüfen Sie auch SPF, DKIM und DMARC?

Ja, die E-Mail-Einträge Ihrer Domain stehen im selben Bericht. Nur diese gibt es auch einzeln im E-Mail-Check.

Was ein Scan davon zeigt

Er liest die Antwort der Startseite, das Zertifikat, die Weiterleitung von http auf https, die Versionen der geladenen Bibliotheken und die Cookies nach dem Besuch. Der Bericht nennt jeden fehlenden Header mit der Zeile zum Einfügen. Nur die E-Mail-Einträge Ihrer Domain: E-Mail-Check.

Website kostenlos prüfen

Stand: 27. Oktober 2026. Wir nennen die Fundstelle, damit Sie nachlesen können; eine Rechtsauskunft ist das nicht.

Weitere Ratgeber