Kostenloser IT-Sicherheitscheck: E-Mail, Website und Domain prüfen

Er liest öffentlich sichtbare Einstellungen Ihrer Domain: die DNS-Einträge für E-Mail-Absicherung (SPF, DKIM, DMARC, MTA-STS), DNSSEC und CAA, das Zertifikat und die Antwort Ihrer Startseite. Dazu kommen bis zu 16 Fragen zu dem, was von außen niemand sieht, etwa Backup und Zwei-Faktor-Anmeldung. Wo eine Frage Ihren Betrieb nicht betrifft, wählen Sie „Trifft nicht zu“.

Ja, soweit Ihre Website ihre Softwareversion zeigt. Der Check vergleicht sichtbare Versionen von PHP, nginx, Apache, WordPress und Drupal mit den betroffenen Versionen schwerer und aktiv ausgenutzter Lücken, etwa php2shell oder wp2shell. Ausprobiert wird keine Lücke. Zeigt der Server eine Linux-Distribution wie Ubuntu an, kann die Lücke dort schon geschlossen sein, ohne dass sich die Versionsnummer ändert. Dann empfiehlt der Bericht, beim Hoster nachzufragen. Verbirgt der Server seine Version, ist der Punkt nicht prüfbar.

Die Note von A bis F bewertet nur die gemessene Außenansicht. Jeder Pflichtpunkt zählt nach seiner Wichtigkeit 3, 2 oder 1 Punkte: erfüllt die vollen Punkte, teilweise erfüllt einen Anteil, fehlend keine. Freiwillige Empfehlungen wie MTA-STS, Hinweise und Punkte, die sich nicht prüfen ließen, zählen nicht. Was nicht prüfbar war, steht an der Note, dazu der Anteil der Prüfpunkte, die sich messen ließen. Unter 60 % ist das Ergebnis als Teilprüfung gekennzeichnet. Ein dringender Befund begrenzt die Note zusätzlich, etwa eine fälschbare Absenderadresse, ein ungültiges Zertifikat oder Software mit einer Lücke, die bereits ausgenutzt wird. Unter der Note können Sie jeden Punkt nachrechnen.

Die Note soll zeigen, was gemessen wurde. Ihre Antworten zur Innenansicht stehen deshalb getrennt, mit eigenen Aufgaben im Gesamtergebnis unter dem Fragebogen. Kritische Punkte wie fehlende Zwei-Faktor-Anmeldung stehen dort ganz oben.

Der CyberRisikoCheck des BSI nach DIN SPEC 27076 ist ein Interview mit einem dafür geschulten IT-Dienstleister: etwa ein bis zwei Stunden, 27 Anforderungen aus sechs Themenbereichen, mit Bericht und Empfehlungen. Ein Penetrationstest greift Ihre Systeme im Auftrag gezielt an. Dieser Check liest nur, was von außen öffentlich sichtbar ist, und ergänzt das mit Ihrer Selbstauskunft. Er eignet sich als schneller erster Blick und zur Vorbereitung auf ein Beratungsgespräch.

Nach jeder Änderung an Mail, Hosting oder Domain und sonst etwa alle drei Monate. Neue Sicherheitslücken werden laufend bekannt, eine Version ohne Befund kann später betroffen sein. Der Bericht nennt, auf welchem Stand die Lückendaten sind.

Der Check setzt keine Cookies und speichert nichts in Ihrem Browser. Nach der Prüfung steht die Domain im Link der Seite, damit Sie das Ergebnis teilen können. Die Domain geht einmalig an unseren Server, ebenso ein DKIM-Name, wenn Sie einen angeben. Das Ergebnis bleibt dort zehn Minuten im Arbeitsspeicher, damit erneutes Laden die geprüfte Website nicht belastet. Eine Liste geprüfter Domains führen wir nicht. Für den Missbrauchsschutz zählt der Server im Arbeitsspeicher mit, wie oft eine Domain und wie oft von einer Adresse aus geprüft wird, höchstens 24 Stunden lang. Die Antworten der Selbstauskunft verlassen Ihren Browser nur, wenn Sie Ergebnis und Antworten im Kontaktformular ausdrücklich beilegen. Die Vorschau dort zeigt vorher, was mitgeht.

Die Abfragen laufen über unseren Server. Für die DNSSEC-Prüfung fragt er zusätzlich den europäischen Resolver DNS4EU, der die Signaturen prüft. Die Support-Daten von PHP, CMS und Webservern stammen von endoflife.date. Bekannte Sicherheitslücken stammen aus der europäischen Schwachstellendatenbank EUVD der ENISA, der Liste aktiv ausgenutzter Lücken der US-Behörde CISA und den EPSS-Werten von FIRST. Beides liegt bei uns als Datei vor, abgerufen wird zur Laufzeit nichts.

Der Check liest nur, was jeder Mailserver und Browser ohnehin sieht. Er ruft nur ab, was ein Browser beim Öffnen der Startseite lädt, dazu zwei öffentliche Standarddateien: die security.txt und die MTA-STS-Richtlinie. Nach offenen Ports, versteckten Dateien oder Anmeldeseiten sucht er nicht. Der Bericht vermerkt, dass er auf Eingabe eines Besuchers entstand. Er ist eine Momentaufnahme und kein Gutachten.

Wir prüfen und dokumentieren unabhängig. Die Umsetzung übernehmen Sie selbst oder Ihr IT-Dienstleister, der Bericht enthält dafür die Einträge als Vorlage. Auf Wunsch vermitteln wir einen Partner. Für Microsoft 365 gibt es den Security-Check, der auch das Admin-Center prüft.