Automationen, Website-Sicherheit und Websites

Erstgespräch anfragen Menü

Website-Sicherheit

Wir prüfen Ihre Website, beheben, was wir finden, und prüfen dann automatisch weiter

Jede Software an Ihrer Website kann morgen eine neue Lücke bekommen. Wir prüfen einmal gründlich, beheben, was wir finden, und lassen die Prüfung danach von selbst weiterlaufen.

Ihre Website kostenlos prüfen lassen: Befund innerhalb von 24 Stunden, ohne Zugangsdaten

Prüfliste mit vier Zeilen, eine davon mit Hinweis, daneben ein Kreispfeil: Prüfungen, die sich automatisch wiederholen

Was wir prüfen, mit und ohne Ihren Auftrag

Ohne schriftlichen Auftrag prüfen wir nur passiv, so wie jeder Besucher Ihre Website abruft. Aktive Tests gibt es nur mit Ihrem schriftlichen Auftrag.

ohne Auftrag

Passiv, ohne Auftrag (auch im kostenlosen Sicherheits-Check)

  • was Ihre Website beim Aufruf lädt und speichert: fremde Verbindungen, Cookies
  • wie Server und Domain geschützt sind: Sicherheits-Header, Verschlüsselung, Mail-Schutz
  • welche Software sichtbar ist und ob dafür Lücken bekannt sind
Mehr dazu
  1. Verbindungen zu fremden Domains beim Aufruf
  2. Cookies und Einträge im Speicher des Endgeräts
  3. Sicherheits-Header des Servers
  4. Zertifikat und Verschlüsselung, mit einem regulären Verbindungsaufbau
  5. Mail-Schutz der Domain (SPF, DMARC) über DNS-Abfragen
  6. sichtbare Software und Versionen, abgeglichen mit bekannten Lücken
  7. Ladezeit am Handy und Ziel der Formulare
  8. drei Standardadressen: /robots.txt, /sitemap.xml, /.well-known/security.txt

Ohne Auftrag raten wir keine Adressen, versuchen keine Logins, geben nichts in Formulare ein, lassen keinen Schwachstellen-Scanner laufen und probieren keine Verschlüsselungsverfahren durch.

mit Auftrag

Aktiv, mit Ihrem schriftlichen Auftrag (Audit und Sicherheits-Automation)

  • Verschlüsselung, Server und Programmcode im Detail, abgeglichen mit Lücken-Datenbanken
  • Formulare und Datenwege, Login- und Adminbereiche nach Absprache
  • Zugänge, Rechte und Backups
Mehr dazu
  1. Verschlüsselung im Detail: alle angebotenen Verfahren und Protokollversionen
  2. Komponenten und Versionen, abgeglichen mit Lücken-Datenbanken, zum Beispiel NVD, dem CISA-Katalog ausgenutzter Lücken und den Meldungen der Hersteller
  3. Abhängigkeiten im Programmcode, zum Beispiel mit npm audit oder composer audit
  4. Konfiguration von Server, PHP oder Node und Headern
  5. Formulare und Datenwege: was wohin gespeichert und verschickt wird
  6. Login- und Adminbereiche, nach Absprache
  7. Zugänge und Rechte, verwaiste Konten
  8. Backups: vorhanden, wo gelagert, rückspielbar

Audit mit Behebung: Wir prüfen und schließen, was wir finden

Nach dem Befund beheben wir die Funde selbst, auch an Seiten, die eine Agentur oder jemand im Haus gebaut hat, und messen nach.

  1. Auftrag und Freigabe

    Sie beauftragen uns schriftlich: Umfang, Zeitfenster, Ansprechperson. Zugänge bekommen wir nur, soweit das Audit sie braucht.

  2. Bestandsaufnahme

    Welche Software läuft in welcher Version? Daraus entsteht das Software-Inventar Ihrer Website.

  3. Prüfung

    Passive Prüfungen und aktive Tests im vereinbarten Umfang.

  4. Befund und Gespräch

    Jeder Fund mit Einordnung und Vorschlag; gemeinsam legen wir fest, was wir beheben.

  5. Behebung

    Updates, Ersatz für nicht mehr gepflegte Plugins, Server und Header, Zugänge. Wo nur der Hersteller beheben kann, sagen wir das und richten Übergangsmaßnahmen ein.

  6. Nachmessung und Übergabe

    Jeder behobene Punkt wird nachgemessen.

Was Sie danach in der Hand haben

  • Bericht: alle Funde, was behoben ist und was mit welchem Grund offen bleibt
  • Messprotokoll vor und nach der Behebung, mit Werkzeug und Datum
  • das Software-Inventar und die Liste unserer Änderungen

Sicherheits-Automation: Die Prüfung läuft weiter, ohne dass jemand daran denken muss

Nach dem Audit oder direkt nach dem kostenlosen Check richten wir einen Prüfablauf ein. Er läuft in n8n auf unserem Server bei Hetzner in Deutschland, braucht keine Software auf Ihrem Server und funktioniert auch für Seiten, die wir nicht gebaut haben.

Sicherheits-Automation in vier Schritten: Einrichten, Prüfen, Melden, Beheben; danach wird automatisch wieder geprüft

  • Jeden Tag

    Erreichbarkeit, Zertifikat und Ablaufdatum, Sicherheits-Header, neue Verbindungen zu fremden Domains.

  • Jede Woche

    Die vollständige Prüfung aus dem Audit, soweit sie ohne Eingriff in Ihre Website möglich ist.

  • Abgleich mit neuen Lücken

    Der Prüfablauf kennt das Software-Inventar Ihrer Website. Erscheint eine neue Lücke, gleicht er sie damit ab. Am 21. Oktober 2026 hätte die Frage gelautet: Läuft eine PHP-Version vor 8.5.12, 8.4.27, 8.3.36 oder 8.2.35?

  • Melden, beheben, berichten

    Weicht etwas ab oder betrifft eine neue Lücke Ihre Software, melden wir Ihnen das mit Befund und Vorschlag. Wir beheben im vereinbarten Rahmen und messen nach. Einmal im Monat bekommen Sie den Bericht mit allen Läufen.

Ein Prüflauf, Schritt für Schritt

So sieht ein Lauf für die erfundene Werkstatt Nordlicht aus: prüfen, markieren, was zu klären ist, beheben, nachmessen.

Sicherheits-Scan Demo · erfundene Daten

Geprüfte Adresse: werkstatt-nordlicht.example

Von außen geprüft, wie ein Besucher, ohne Zugangsdaten

Vor der Behebung

  1. Erreichbarkeit und Zertifikat

    Erreichbar über HTTPS, Zertifikat gültig, http leitet auf https weiter.

    in Ordnung

  2. Verbindungen zu fremden Domains

    3 fremde Domains beim Aufruf: fonts.schriftdienst.example (Schriften), tiles.kartendienst.example (Karte), stats.analysedienst.example (Analyse).

    Hinweis

  3. Cookies vor der Zustimmung

    2 Cookies, gesetzt vom Analysedienst, bevor jemand zugestimmt hat.

    zu klären

  4. Sicherheits-Header

    4 von 9 gesetzt. Es fehlen CSP, HSTS, Permissions-Policy, COOP und Referrer-Policy.

    zu klären

  5. Software-Inventar

    PHP 8.3.34 im Header sichtbar. Die Lücke CVE-2026-109618 ist ab 8.3.36 behoben. Quelle: php.net, 21.10.2026

    Hinweis

  6. Mail-Schutz der Domain

    SPF vorhanden, DMARC fehlt.

    Hinweis

  7. Formularziel

    Anfragen gehen an die eigene Domain.

    in Ordnung

2 in Ordnung · 3 Hinweise · 2 zu klären

Nach der Behebung · nachgemessen am 27.10.

  1. Erreichbarkeit und Zertifikat

    Erreichbar über HTTPS, Zertifikat gültig, http leitet auf https weiter.

    in Ordnung

  2. Verbindungen zu fremden Domains

    Schriften liegen auf der eigenen Domain, die Karte lädt erst nach Klick, die Analyse ist entfernt: 0 fremde Domains.

    behoben

  3. Cookies vor der Zustimmung

    0 Cookies vor der Zustimmung.

    behoben

  4. Sicherheits-Header

    9 von 9 gesetzt.

    behoben

  5. Software-Inventar

    PHP 8.3.36 eingespielt, die Versionsangabe steht nicht mehr im Header.

    behoben

  6. Mail-Schutz der Domain

    DMARC eingetragen, SPF unverändert.

    behoben

  7. Formularziel

    Anfragen gehen an die eigene Domain.

    in Ordnung

2 in Ordnung · 5 behoben · nachgemessen am 27.10.

Nächste Prüfung: automatisch, täglich 05:30

Nur mit Ihrem schriftlichen Auftrag: Abhängigkeiten im Code, Login- und Adminbereiche, Verschlüsselung im Detail, Backups.

Demo mit erfundener Werkstatt und erfundenen Werten. Es wird nichts abgerufen. Datum und Zeitplan der Nachmessung sind Beispiele, keine Zusage.

Demo · erfundene Werkstatt Nordlicht · läuft nur in Ihrem Browser

Nichts davon ruft eine echte Website ab. Die Adresse endet auf .example, eine für Beispiele reservierte Endung.

Was wir prüfen dürfen, und was wir nicht zusagen

  • Ohne Auftrag nur passiv: ein normaler Seitenaufruf, DNS-Abfragen, ein regulärer Verbindungsaufbau und drei Standardadressen. Aktive Tests nur mit schriftlicher Beauftragung durch den Betreiber der Website.
  • Keine Zusage, dass keine Lücke mehr existiert. Eine Prüfung findet bekannte Lücken und Fehleinstellungen.
  • Keine Zusage für Dritte. Ob Hersteller und Hoster rechtzeitig Updates liefern, liegt nicht bei uns; bis dahin richten wir Übergangsmaßnahmen ein.
  • Keine Zusage zur Reaktionszeit. Eine Reaktionszeit für Funde sagen wir nicht allgemein zu.
  • Keine Rechtsberatung. Unser Befund ist technisch; die rechtliche Bewertung machen Anwältin, Anwalt oder Datenschutzbeauftragte.

Diese Website setzt kein PHP ein, das ist aber kein Freibrief

plusento.com besteht aus fertigen HTML-Dateien, die nginx ausliefert; das Formular nimmt ein eigener Dienst in Node entgegen. Node, nginx und Astro haben eigene Sicherheitsmeldungen, die wir mit npm audit und den Release-Notes verfolgen.

Sicherheit dieser Website

Beispiel, Stand 25.10.2026

21. Oktober 2026: zwei kritische Lücken in PHP

An diesem Tag hat das PHP-Projekt PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Sie schließen CVE-2026-109618 und CVE-2026-109619, in Fachmedien „PHP2Shell“ genannt, beide mit 9,2 von 10 Punkten bewertet (CVSS 4.0). Laut php.net kann darüber ohne Anmeldung fremder Programmcode ausgeführt werden; betroffen ist jede PHP-Installation, die Webanfragen beantwortet. Ob die Lücken bereits ausgenutzt werden, war am 25.10.2026 nicht bestätigt.

Versionen 8.5.128.4.278.3.368.2.35

Was die Sicherheits-Automation daraus macht: Abgleich mit dem Software-Inventar, Meldung an Sie, Update im vereinbarten Rahmen, Nachmessung.

Der ganze Beitrag zu PHP2Shell

Quellen: php.net, Security Advisory vom 21.10.2026 und Ankündigung vom 20.10.2026; BSI, Cybersicherheitswarnung Version 1.2 vom 22.10.2026; Unit 42 (Palo Alto Networks), Threat Brief vom 23.10.2026, Rücknahme vom 25.10.2026

Häufige Fragen

Können Sie eine Website prüfen, die eine Agentur betreut?

Ja. Den kostenlosen Check machen wir ohne Zugang. Für das Audit brauchen wir Ihre schriftliche Freigabe als Betreiber; Ihre Agentur kann eingebunden bleiben.

Brauchen Sie für das Audit Zugang zu meinem Server?

Für aktive Tests und Behebung meistens ja, je nachdem, was wir beheben sollen. Welche Zugänge, legen wir vorher fest; danach können Sie sie wieder entziehen.

Brauche ich das Audit, bevor die Sicherheits-Automation startet?

Nein, sie kann direkt nach dem kostenlosen Check beginnen. Das Audit geht tiefer, weil es aktive Tests und die Behebung einschließt.

Ist meine Website danach sicher?

Die bekannten Lücken und Fehleinstellungen, die wir gefunden haben, beheben wir im vereinbarten Rahmen, und die Prüfung läuft weiter. Dass keine unbekannte Lücke existiert, kann niemand zusagen.

Erstgespräch

Welcher Ablauf kostet Sie heute die meiste Zeit?

Kostenloses Erstgespräch anfragen

Wir sagen Ihnen, welcher Ablauf sich bei Ihnen zuerst lohnt. Ohne Verpflichtung.

Kostenloses Erstgespräch anfragen