Website Security Check: Website-Sicherheit prüfen

Er ruft deine Seite einmal wie ein normaler Besucher ab (Weiterleitungen werden begrenzt verfolgt) und liest, was der Server preisgibt: die Header Server und X-Powered-By, den CMS-Generator im HTML, sechs Security-Header, die Flags der Cookies, das TLS-Zertifikat, alte TLS-Versionen, die Weiterleitung auf HTTPS sowie SPF, DMARC und DKIM der Domain. Erkannte Versionen gleicht er mit den Release-Daten von endoflife.date und mit aktuellen Sicherheitswarnungen ab. Im erfundenen Beispiel meldet example.com die Version PHP 8.2.28, ist damit wahrscheinlich betroffen und bekommt die Note F.

Nein, bewusst nicht. Ein Schwachstellen-Scanner greift eine Seite aktiv an, etwa mit Testanfragen auf viele Pfade. Das ist bei fremden Servern nicht in Ordnung und gehört nicht in ein öffentliches Tool. Der Check arbeitet passiv: Er probiert keine Angriffe aus, tastet keine weiteren Pfade ab und zeigt, wo deine Seite von außen verwundbar aussieht. Für eine verlässliche Antwort nutzt du den Selbsttest auf deinem Server.

Jede Prüfung startet bei 100 Punkten und zieht je Problem gewichtete Punkte ab: Eine aktuelle Sicherheitswarnung oder ein ungültiges Zertifikat kostet viel, fehlende Security-Header kosten zusammen höchstens 8 Punkte. Ab 90 Punkten gibt es ein A, ab 80 ein B, ab 70 ein C, ab 60 ein D, ab 50 ein E, darunter ein F. Betrifft eine aktuelle Sicherheitswarnung die erkannte Version, gibt es höchstens ein D, bei Server-Software ohne Support höchstens ein C. Was von außen nicht sichtbar ist, kostet keine Punkte, deshalb ist auch ein A kein Beweis für einen sicheren Server.

Von außen siehst du nur, was ein Server freiwillig verrät. Nennt er keine Version, lautet das Urteil „nicht erkennbar“: Das Ausblenden ist gut, sagt aber nichts über den Patchstand. Und eine alte Versionsnummer kann längst gepatcht sein, denn Debian, Ubuntu und andere Distributionen übernehmen Sicherheitsfixes per Backport und behalten die alte Nummer. Der Check sagt deshalb „wahrscheinlich betroffen“, „nicht erkennbar“ oder „gepatcht“, aber nie „sicher“.

Auf dem Server mit php -v. Für Webanfragen zählt aber die Version von PHP-FPM oder Apache, nicht nur die der Kommandozeile. Der Befehl im Selbsttest zeigt alle gefundenen PHP-Installationen samt Version und den relevanten Einstellungen. Von außen nennen manche Server die Version im Header X-Powered-By, du kannst das mit expose_php=Off ausschalten.

Du führst einen kurzen, rein lesenden Befehl auf deinem Server aus und fügst die Ausgabe in das Tool ein. Der Befehl startet keine Programme, er liest nur Paketdatenbank und Konfigurationsdateien: Betriebssystem und Kernel, die Paketversionen von PHP, nginx, Apache, OpenSSL, MySQL, MariaDB, PostgreSQL, Redis und Node.js, offene Updates aus dem lokalen Cache des Paketmanagers, ob ein Neustart aussteht, die relevanten php.ini-Werte und ob die Paket-Changelogs die Korrekturen nennen. Die Auswertung läuft in deinem Browser: Die Ausgabe wird nicht gesendet und nicht gespeichert. So prüfst du auch interne Server und bewertest Backports der Distribution.

Zwei kritische Schwachstellen in PHP, vor denen das BSI am 21.10.2026 warnt. Laut Warnung sind auch ältere Versionen bis mindestens PHP 5 betroffen. Gepatcht sind 8.5.12, 8.4.27, 8.3.36 und 8.2.35, für 7.4, 8.0 und 8.1 hat das PHP-Team Backport-Patches bereitgestellt. Als Zwischenlösung nennt das BSI session.upload_progress.enabled=0, memory_limit=-1, ein niedriges post_max_size und bei PHP 8.5 fatal_error_backtraces=0. Diese Workarounds erschweren einen Angriff nur, das Update ersetzen sie nicht.

Nein. Der Website Security Check ist für Betreiber und Admins gedacht und bewertet Softwareversionen, Security-Header, TLS und E-Mail-Einträge einer Website. Ob ein Shop seriös ist, ob eine Seite Phishing betreibt oder Malware ausliefert, prüft er nicht.

Der Check ist kostenlos und braucht keine Anmeldung. Damit kein Server mit Anfragen überhäuft wird, sind höchstens 10 Checks pro Minute je IP-Adresse und 30 pro Minute je geprüftem Host möglich, ein Ergebnis wird etwa 10 Minuten zwischengespeichert. Adressen mit privater IP, localhost oder Zugangsdaten in der URL ruft der Check nicht ab, für interne Server nutzt du den Selbsttest.