# Website-Sicherheit prüfen: Security-Header kostenlos checken

> Website-Sicherheit kostenlos prüfen: Security-Header (HSTS, X-Frame-Options, nosniff), Zertifikat, https-Weiterleitung und veraltete JavaScript-Bibliotheken.

Source: https://konformia.at/website-sicherheit-pruefen

# Website-Sicherheit prüfen: Header, Zertifikat, alte Skripte

Was Ihr Server bei jedem Aufruf mitschickt, sieht jeder: Sicherheits-Header, Zertifikat, die Weiterleitung auf https und die Versionen von jQuery und Bootstrap. Der Scan liest das in einem Durchgang und nennt zu jeder Lücke die Zeile, die sie schließt.

Kostenlos und ohne Anmeldung · ohne Kreditkarte · meist unter zwei Minuten · [Beispielbericht ansehen](https://konformia.at/beispiel)

## Was von außen sichtbar ist

Kein Angriff und kein Eindringen: wir lesen nur, was jeder Browser beim normalen Aufruf bekommt. Genau das sehen automatisierte Angreifer auch zuerst.

| Angabe | Fundstelle |
| --- | --- |
| **Strict-Transport-Security (HSTS)** Sagt dem Browser, Ihre Seite nur noch über https zu laden. Ohne den Header kann der erste Aufruf noch unverschlüsselt über http laufen. Üblicher Wert: max-age=31536000. | Sicherheit, keine Rechtsfrage |
| **X-Content-Type-Options** Mit nosniff errät der Browser den Dateityp nicht selbst, sondern hält sich an die Angabe des Servers. So läuft eine hochgeladene Datei nicht als Skript. | Sicherheit, keine Rechtsfrage |
| **X-Frame-Options oder frame-ancestors** Verhindert, dass eine fremde Seite Ihre in einem unsichtbaren Rahmen (iframe) einbettet und Klicks abfängt (Clickjacking). SAMEORIGIN erlaubt nur Ihre eigene Domain. | Sicherheit, keine Rechtsfrage |
| **Zertifikat und Weiterleitung auf https** Ob das Zertifikat gültig ist und Browser ihm vertrauen, wann es abläuft und ob http:// auf https:// weiterleitet. | Sicherheit, keine Rechtsfrage |
| **Veraltete JavaScript-Bibliotheken** jQuery vor 3.5.0, jQuery UI vor 1.13.2 und Bootstrap vor 3.4.1 (oder 4.0 bis 4.3.0) haben bekannte Lücken mit CVE-Nummer. Die Version lesen wir aus der geladenen Bibliothek, nicht aus dem Dateinamen. | Sicherheit, keine Rechtsfrage |
| **Sitzungs-Cookie** Ob das Sitzungs-Cookie Ihres Systems (PHP, WooCommerce, Shopware, Magento …) Secure und HttpOnly trägt, damit es weder über http noch per Skript abgegriffen werden kann. | Sicherheit, keine Rechtsfrage |

## Schritt für Schritt

### Selbst nachsehen

Die Startseite öffnen, Entwicklertools (F12), Reiter Netzwerk, neu laden und die erste Zeile (das Dokument) anklicken. Unter „Antwort-Header“ steht, welche Header Ihr Server setzt.

### Apache und die meisten Hoster

In der .htaccess im Hauptverzeichnis ergänzen: `Header always set Strict-Transport-Security "max-age=31536000"`, `Header always set X-Content-Type-Options "nosniff"` und `Header always set X-Frame-Options "SAMEORIGIN"`. HSTS erst setzen, wenn die Seite über https vollständig funktioniert.

### nginx

Im server-Block für https: `add_header Strict-Transport-Security "max-age=31536000" always;`, dazu dieselbe Zeile für X-Content-Type-Options und X-Frame-Options; danach nginx neu laden.

### WordPress und Baukästen

In WordPress setzen auch Sicherheits-Plugins diese Header, sonst die .htaccess wie oben. Bei gehosteten Systemen wie Shopify oder Wix haben Sie auf die Header keinen direkten Zugriff; dort bleibt, Apps und eingebundene Skripte aktuell zu halten.

### Alte Bibliotheken ersetzen

Meist bringt ein altes Theme oder Plugin jQuery oder Bootstrap mit. Im Quelltext (Strg+U) nach jquery oder bootstrap suchen; der Pfad nennt Theme oder Plugin. Dieses aktualisieren oder ersetzen.

### Nachmessen

Die Seite neu laden und die Antwort-Header noch einmal ansehen, oder die Adresse oben erneut prüfen.

## Fragen

### Ist das ein Penetrationstest?

Nein. Wir lesen nur, was jeder Besucher beim normalen Aufruf bekommt, und versuchen nirgends einzudringen. Ein fehlender Header ist keine Lücke an sich, sondern ein fehlender Schutz.

### Warum melden Sie keine fehlende Content-Security-Policy?

Eine CSP fehlt auf fast jeder Website und lässt sich nicht mit einer Zeile setzen: sie muss jede Quelle Ihrer Skripte kennen. Wir melden nur, was sich sofort beheben lässt. Eine vorhandene CSP mit frame-ancestors zählt statt X-Frame-Options.

### Verlangt die DSGVO Security-Header?

Art. 32 DSGVO verlangt angemessene technische Maßnahmen zum Schutz personenbezogener Daten, nennt aber keine einzelnen Header. Fehlende Header stehen im Bericht deshalb gelb, als Sicherheitsthema, nicht als Rechtsfrage.

### Ist die Prüfung kostenlos?

Ja, ohne Anmeldung und ohne Kreditkarte. Jeder Befund steht mit Fundort im Bericht; die Schritte zum Beheben kommen mit Ihrer E-Mail-Adresse, 14 Tage kostenlos.

### Prüfen Sie auch SPF, DKIM und DMARC?

Ja, die E-Mail-Einträge Ihrer Domain stehen im selben Bericht. Nur diese gibt es auch einzeln im E-Mail-Check.

## Was ein Scan davon zeigt

Er liest die Antwort der Startseite, das Zertifikat, die Weiterleitung von http auf https, die Versionen der geladenen Bibliotheken und die Cookies nach dem Besuch. Der Bericht nennt jeden fehlenden Header mit der Zeile zum Einfügen. Nur die E-Mail-Einträge Ihrer Domain: [E-Mail-Check](https://konformia.at/e-mail-check).

Website kostenlos prüfen

Stand: 27. Oktober 2026. Wir nennen die Fundstelle, damit Sie
nachlesen können; eine Rechtsauskunft ist das nicht.

## Weitere Ratgeber

- [Cookies vor der Einwilligung: was ePrivacy verlangt](https://konformia.at/cookies-vor-einwilligung)
- [Preisangaben im Webshop: Grundpreis und Versandkosten](https://konformia.at/preisangaben-produktseite)
- [Barrierefreiheit-Test für Onlineshops: WCAG, BFSG, BaFG](https://konformia.at/barrierefreiheit-webshop)
- [Cookiebot blockiert nicht?](https://konformia.at/cookiebot-blockiert-nicht)
- [Usercentrics blockiert nicht?](https://konformia.at/usercentrics-blockiert-nicht)
- [Borlabs Cookie blockiert nicht?](https://konformia.at/borlabs-cookie-blockiert-nicht)
- [Real Cookie Banner blockiert nicht?](https://konformia.at/real-cookie-banner-blockiert-nicht)
- [Complianz blockiert nicht?](https://konformia.at/complianz-blockiert-nicht)
- [Cookie-Banner selbst prüfen: in drei Schritten](https://konformia.at/cookie-banner-selbst-pruefen)
- [Google Fonts lokal einbinden: welches Plugin lädt sie noch?](https://konformia.at/google-fonts-quelle-finden)
- [Dark Patterns im Onlineshop: fünf Muster und die Lösung](https://konformia.at/dark-patterns-onlineshop)
- [Widerrufsbutton 2026: Pflicht, Shopify und WooCommerce](https://konformia.at/widerrufsbutton)
- [Grundpreis und „zahlungspflichtig bestellen“ im Webshop](https://konformia.at/grundpreis-zahlungspflichtig-bestellen)
- [GPSR: Herstellerangaben im Webshop richtig zeigen](https://konformia.at/gpsr-herstellerangaben)
- [Google Consent Mode v2 Checker: prüfen und einrichten](https://konformia.at/google-consent-mode-v2)
- [Cookie Checker für Websites: kostenlos, mit Ablehnen-Test](https://konformia.at/cookie-check)