Beispiel – fiktive Musterfirma

So sieht Ihr Sicherheits-Report aus

Genau diesen Report bekommen Sie für Ihre eigene Website – mit Gesamtnote, Ampel je Prüfung, verständlicher Erklärung und fertigen Lösungen zum Kopieren für Ihre IT. Klappen Sie die Befunde auf.

Meine Website kostenlos prüfen

musterbau-gmbh.de

Beispieldaten

Handlungsbedarf Note C

Zusammenfassung · geprüft am 28.10.2026, 12:59 Uhr

Solide Grundlage – ein dringender Punkt und drei Verbesserungen.

Sofort handeln: veraltete WordPress-Version sichtbar
Verbessern: Sicherheits-Header, DMARC, security.txt
8 Prüfungen ohne Befund

1 Sofort handeln 3 Verbessern 8 In Ordnung

Verschlüsselung

4 von 4 in Ordnung

Header & Cookies

1 von 2 in Ordnung

E-Mail-Schutz

1 von 2 in Ordnung

Sichtbarkeit

2 von 4 in Ordnung

Sofort handeln

Diese Punkte sollten Sie zeitnah beheben lassen.

Erkennbares CMS / sichtbare Version

Aufklärung

Ihre Website verrät eine veraltete WordPress-Version. Angreifer suchen gezielt nach solchen Seiten.

Was zu tun ist: WordPress und Plugins aktualisieren, automatische Updates einschalten, Versionsangabe entfernen.

Zuständig: WebentwicklungAufwand: gering

Fertige Lösung zum Kopieren

Wichtiger als das Verstecken: System und Erweiterungen aktuell halten (automatische Updates einschalten).

nginx

server_tokens in den http { … }-Block, die übrigen Zeilen in den server-Block.

server_tokens off;
fastcgi_hide_header X-Powered-By;
proxy_hide_header X-Powered-By;

Apache

ServerTokens geht nur in der Server-Konfiguration, nicht in der .htaccess. Zusätzlich in der php.ini: expose_php = Off

# httpd.conf / apache2.conf
ServerTokens Prod
ServerSignature Off

# .htaccess
<IfModule mod_headers.c>
  Header unset X-Powered-By
</IfModule>

IIS (web.config)

In die web.config im Hauptverzeichnis der Website, innerhalb von <configuration>.

<system.webServer>
  <security>
    <requestFiltering removeServerHeader="true" />
  </security>
  <httpProtocol>
    <customHeaders>
      <remove name="X-Powered-By" />
    </customHeaders>
  </httpProtocol>
</system.webServer>

WordPress

In die functions.php Ihres Child-Themes oder in ein kleines eigenes Plugin. Besser ist die Einstellung am Webserver (Reiter nginx/Apache), falls Sie Zugriff haben.

remove_action('wp_head', 'wp_generator');
add_filter('the_generator', '__return_empty_string');

Cloudflare

Einstellung im Cloudflare-Dashboard, kein Code nötig.

Cloudflare-Dashboard → musterbau-gmbh.de → Rules → Transform Rules → „Modify Response Header“ → Regel für alle Anfragen anlegen
Remove: X-Powered-By

Technische Details für Ihre IT (1 Befund)

Hoch WordPress 6.1 nach außen sichtbar – Version mit bekannten Sicherheitslücken

Empfehlung: Aktualisieren Sie WordPress und alle Plugins und blenden Sie die Versionsnummer aus.

<meta name="generator" content="WordPress 6.1">

Verbessern

Kein akutes Risiko – diese Punkte machen Ihre Website aber sicherer.

Sicherheits-Header

OWASP Secure Headers Absicherung

Schutz vor Schadcode (CSP) fehlt

Was zu tun ist: Eine Content-Security-Policy begrenzt, welche Skripte geladen werden dürfen – wichtiger Schutz gegen Cross-Site-Scripting.

Zuständig: Webentwicklung / HostingAufwand: gering

Fertige Lösung zum Kopieren

Die vorgeschlagene Content-Security-Policy ist eine sichere Grundstufe, die keine Skripte blockiert. Strengere Regeln (script-src) vorher in einer Testumgebung prüfen.

nginx

In den server { … }-Block der Website (Port 443), danach: sudo nginx -t && sudo systemctl reload nginx

add_header Content-Security-Policy "frame-ancestors 'self'; object-src 'none'; base-uri 'self'; upgrade-insecure-requests" always;

Apache (.htaccess)

In die Datei .htaccess im Hauptverzeichnis der Website (Modul mod_headers muss aktiv sein).

<IfModule mod_headers.c>
  Header always set Content-Security-Policy "frame-ancestors 'self'; object-src 'none'; base-uri 'self'; upgrade-insecure-requests"
</IfModule>

IIS (web.config)

In die web.config im Hauptverzeichnis der Website, innerhalb von <configuration>.

<system.webServer>
  <httpProtocol>
    <customHeaders>
      <add name="Content-Security-Policy" value="frame-ancestors 'self'; object-src 'none'; base-uri 'self'; upgrade-insecure-requests" />
    </customHeaders>
  </httpProtocol>
</system.webServer>

WordPress

In die functions.php Ihres Child-Themes oder in ein kleines eigenes Plugin. Besser ist die Einstellung am Webserver (Reiter nginx/Apache), falls Sie Zugriff haben.

add_action('send_headers', function () {
    header("Content-Security-Policy: frame-ancestors 'self'; object-src 'none'; base-uri 'self'; upgrade-insecure-requests");
});

Cloudflare

Einstellung im Cloudflare-Dashboard, kein Code nötig.

Cloudflare-Dashboard → musterbau-gmbh.de → Rules → Transform Rules → „Modify Response Header“ → Regel für alle Anfragen anlegen
Set static: Content-Security-Policy = frame-ancestors 'self'; object-src 'none'; base-uri 'self'; upgrade-insecure-requests

Technische Details für Ihre IT (2 Befunde)

Mittel Schutz vor Schadcode (CSP) fehlt

Empfehlung: Setzen Sie eine Content-Security-Policy, die nur eigene Skripte erlaubt.

Referenz: OWASP Secure Headers
Niedrig Schutz vor Einbettung in fremde Seiten (X-Frame-Options) fehlt

Empfehlung: Setzen Sie X-Frame-Options: SAMEORIGIN oder frame-ancestors in der CSP.

Referenz: OWASP Secure Headers

Fälschungsschutz für E-Mails (DMARC)

E-Mail-Sicherheit

DMARC ist nur im Beobachtungsmodus (p=none)

Was zu tun ist: Stellen Sie DMARC nach einer Testphase auf quarantine oder reject.

Zuständig: IT / HostingAufwand: gering

Fertige Lösung zum Kopieren

Ihr DMARC-Eintrag beobachtet nur. Stellen Sie ihn auf „quarantine“ oder „reject“ um.

2. Empfohlen

Im DNS-Verwaltungsbereich Ihrer Domain einen TXT-Eintrag anlegen bzw. den bestehenden ersetzen.

Typ:  TXT
Name: _dmarc.musterbau-gmbh.de
Wert: v=DMARC1; p=quarantine; rua=mailto:dmarc@musterbau-gmbh.de; fo=1

Gefälschte E-Mails landen im Spam. Nach 2–4 Wochen Beobachtung ohne Probleme setzen.

3. Streng

Im DNS-Verwaltungsbereich Ihrer Domain einen TXT-Eintrag anlegen bzw. den bestehenden ersetzen.

Typ:  TXT
Name: _dmarc.musterbau-gmbh.de
Wert: v=DMARC1; p=reject; rua=mailto:dmarc@musterbau-gmbh.de; fo=1

Gefälschte E-Mails werden abgewiesen – das Ziel, sobald alle legitimen Absender per SPF/DKIM erfasst sind.

Technische Details für Ihre IT (1 Befund)

Mittel DMARC ist nur im Beobachtungsmodus (p=none)

Empfehlung: Stellen Sie DMARC nach einer Testphase auf quarantine oder reject.

v=DMARC1; p=none;

Sicherheits-Kontakt (security.txt)

RFC 9116 Transparenz

Keine security.txt gefunden

Was zu tun ist: Hinterlegen Sie unter /.well-known/security.txt eine Kontaktadresse für Sicherheitsmeldungen.

Zuständig: WebentwicklungAufwand: gering

Fertige Lösung zum Kopieren

security.txt

Als Textdatei unter https://musterbau-gmbh.de/.well-known/security.txt ablegen (Ordner .well-known im Hauptverzeichnis der Website).

Contact: mailto:security@musterbau-gmbh.de
Expires: 2027-10-27T00:00:00Z
Preferred-Languages: de, en
Canonical: https://musterbau-gmbh.de/.well-known/security.txt

Die Kontaktadresse muss erreichbar sein. Das Ablaufdatum (Expires) spätestens nach einem Jahr erneuern.

WordPress

Inhalt siehe Reiter „security.txt“.

Datei security.txt per FTP bzw. Dateimanager des Hosters in den Ordner /.well-known/ hochladen (Ordner ggf. anlegen).

Technische Details für Ihre IT (1 Befund)

Niedrig Keine security.txt gefunden

Empfehlung: Hinterlegen Sie unter /.well-known/security.txt eine Kontaktadresse für Sicherheitsmeldungen.

Referenz: RFC 9116

Geprüft und in Ordnung (8)

Diese Prüfungen hat Ihre Website bestanden.

TLS-Zertifikat & Verschlüsselung Verschlüsselung

HTTPS erreichbar Verschlüsselung

Weiterleitung auf HTTPS Verschlüsselung

Unverschlüsselt eingebundene Inhalte Verschlüsselung

Spam-Schutz für E-Mails (SPF) E-Mail-Sicherheit

Sichere Cookies Absicherung

Sichtbare Software-Versionen Informationslecks

Interne Pfade in robots.txt Aufklärung

So sieht das für Ihre Website aus

Kostenloses Konto in einer Minute, ohne Zahlungsdaten – Ihr eigener Report ist in rund einer Minute fertig.

Website kostenlos prüfen

Alle Angaben auf dieser Seite sind Beispieldaten einer erfundenen Firma. Der Check ist eine automatisierte, passive Außenprüfung öffentlich erreichbarer Informationen – kein Penetrationstest.