Kostenloser Website-Scan
Ein passiver Scan prüft Security-Header, TLS, Consent, technisches SEO, Core Web Vitals und deine Sichtbarkeit in KI-Systemen. Du bekommst einen Report mit Bewertung, technischen Belegen, Prioritäten und konkreten nächsten Schritten.
Ein kostenloser Scan je Domain innerhalb von 24 Stunden.
Kein Konto nötig · Passiver Scan · Kein Eingriff in deine Website
Kein Plugin, kein Agent, keine Installation. Der Scan verhält sich wie ein Crawler: lesende Aufrufe auf bis zu 8 Seiten, dazu DNS-Einträge und das TLS-Zertifikat. Er weist sich im User-Agent als WebSecureAudit aus, führt keine Angriffe aus und rät keine Zugangsdaten. 17 Prüfbereiche, Ergebnis in wenigen Minuten als PDF per E-Mail.
Der Report zeigt nicht nur, was auffällig ist, sondern auch, wie relevant ein Befund ist, warum er wichtig ist, wie er sich beheben lässt, was zuerst dran ist und welchen Aufwand die Behebung ungefähr verursacht.
Eine Gesamtnote von 0 bis 100 mit Freigabeurteil: freigegeben, Prüfung nötig oder blockiert. Jeder Befund trägt eine Schwere von Blocker bis Info und einen Nachweisgrad – technisch beobachtet, Selbstauskunft oder Dokument hinterlegt.
Jeder Befund landet in genau einer Umsetzungsphase, von Sofortmaßnahme bis Ausbau. Du arbeitest die Liste von oben nach unten ab, statt zu raten, was zuerst dran ist.
Zu jedem Befund ein technischer Beleg – die Header-Zeile, der HTTP-Status, die URL – dazu Empfehlung, Aufwandsspanne und die Norm, auf die er sich bezieht: DSGVO Art. 32, OWASP Top 10, § 25 TDDDG, BFSG, AI Act.
Der Beispiel-Report zeigt dir den vollständigen Aufbau einer Prüfung – Bewertung, Befunde, Belege, Prioritäten und Maßnahmen. Geprüft wurde ein absichtlich schlecht konfigurierter Beispielshop, damit alle Befundarten vorkommen.
16 von 100 · Note E Freigabe blockiert · 15 Blocker · 34 hohe Befunde · Auszug aus dem Beispiel-Report
Blocker
Produktive Geheimnisse bzw. Quellcode sind öffentlich abrufbar; Zugangsdaten müssen rotiert werden.
/.env → HTTP 200 (49 Bytes)17 Prüfbereiche, gruppiert nach dem, was sie dir sagen. Jeder Befund kommt mit dem Beleg, an dem er hängt.
HSTS, Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer- und Permissions-Policy. Cookie-Flags Secure, HttpOnly und SameSite, CORS-Wildcards, Mixed Content, Formulare ohne CSRF-Token oder über HTTP. Dazu TLS-Protokolle, Zertifikatskette und Restlaufzeit.
Was auf dem Server liegt, aber niemanden etwas angeht: .env, .git, phpinfo.php, Debug-Logs, Backup-Archive, vergessene wp-config-Sicherungen, offene Verzeichnislisten. Der häufigste Blocker im Report.
Erkennung der Consent-Lösung, Tracking vor der Einwilligung, vorangekreuzte Kästchen, fehlender Ablehnen- oder Widerrufsweg, nicht klassifizierte Cookies. Dazu Impressum, Datenschutzerklärung, AGB und Widerruf auf Vollständigkeit – als technische Indikatoren zu DSGVO und § 25 TDDDG.
Title und Meta-Description nach Länge und Dubletten, H1, Canonical, robots.txt und XML-Sitemap, ungewolltes noindex, Redirect-Ketten, Soft-404, defekte interne und externe Links, Bild-Alt-Texte, www-/non-www-Dubletten, Open Graph, Twitter Card, hreflang und html lang.
Ob llms.txt existiert und ob GPTBot, ClaudeBot, PerplexityBot, OAI-SearchBot, Google-Extended und Applebot-Extended durchkommen oder in der robots.txt blockiert sind. Dazu strukturierte Daten nach Schema.org als JSON-LD, ob deine Inhalte ohne JavaScript lesbar sind, und wie zitierfähig die Seite für generative Suche ist.
LCP, INP und CLS aus dem Chrome UX Report – die Felddaten echter Besucher, nach denen Google rankt – neben dem Lighthouse-Laborwert. Dazu TTFB, render-blockierende Ressourcen, fehlende Kompression, Cache-Header, Third-Party-Skripte, Bildformate, Bildmaße und Lazy Loading.
SPF, DKIM und DMARC im DNS, dazu die MX-Einträge. Fehlt oder taugt einer davon nichts, landen Bestellbestätigungen und Newsletter im Spam – oder jemand verschickt Mails in deinem Namen.
Überschriftenreihenfolge, Formularlabels, Landmarks, Skip-Link, tabindex und die Erklärung zur Barrierefreiheit (BFSG). Mobil: Viewport, gesperrter Zoom, zu kleine Schrift, feste Breiten, falscher Tastaturtyp im Formular.
Erkanntes System und erkannte Bibliotheken samt Versionsstand, Server-Kennungen, Authentifizierung und Sitzungsbehandlung. Was hinter der Anmeldung liegt, sieht erst der Backend-Audit.
Jeder Befund sagt dazu, worauf er beruht. Technisch beobachtet heißt: Der Scan hat es selbst gemessen und legt den Beleg bei. Andere Punkte lassen sich nur organisatorisch belegen – ein Löschkonzept, ein Verzeichnis der Verarbeitungstätigkeiten, ein Auftragsverarbeitungsvertrag; dort weist der Report aus, welcher Nachweis fehlt, statt ihn zu bewerten. Rechtliche Einordnungen sind technische Indikatoren und ersetzen keine Rechtsberatung.
Die Ladezeit wird nicht geschätzt, sondern bei Google gemessen – über dieselbe Schnittstelle, aus der PageSpeed Insights seine Werte bezieht. Der Bericht zeigt beides getrennt: den Laborwert, der unter genormten Bedingungen entsteht und Vergleiche erlaubt, und die Felddaten echter Besucher der letzten 28 Tage – den Wert, nach dem Google tatsächlich rankt. Weichen beide auseinander, gilt das Feld.
Du gibst deine Website und deine E-Mail-Adresse ein.
Der Crawler liest bis zu 8 Seiten, Header, Zertifikat und DNS. Meist unter einer Minute.
Als PDF per E-Mail: Note, Freigabeurteil, Einzelbefunde mit Beleg, Phasenplan und Kostenindikation.
Nach dem Deploy erneut scannen. Der Report zeigt, welcher Befund weg ist – und welcher neu dazugekommen ist.
Ein Scan reicht dir? Dann brauchst du kein Konto. Domain und E-Mail-Adresse eingeben, der Report kommt als PDF. Wir speichern nichts von dir außer der Adresse, an die er geht.
Gut für die einmalige Bestandsaufnahme – vor einem Relaunch, nach einer Übergabe oder wenn du wissen willst, wo eine Website gerade steht.
Audit StartEin einzelner Scan ist eine Momentaufnahme. Deployments, Plugin-Updates, ein neues Tracking-Skript, ein abgelaufenes Zertifikat – jede Änderung kann einen Befund zurückbringen, den du längst behoben hattest. Mit einem kostenlosen Konto siehst du das, statt es beim nächsten Zufallsscan zu erfahren.
Viele technische Befunde lassen sich direkt in strukturierte Aufgaben für Claude überführen. Neben dem Report steht ein Ordner claude-fixes/ mit Projektinformationen, fertigen Prompts, Dateihinweisen und einer run.sh – die Grundlage für die Umsetzung, nicht die Umsetzung selbst. Ein fehlender Security-Header oder eine offene .env ist damit eine Aufgabe von Minuten statt eine Recherche.
Claude erstellt die technische Grundlage. Prüfung, Freigabe und rechtliche Bewertung bleiben beim Menschen. Die 94 % im Beispiel sind der Anteil der Befunde, für die ein Aufgabenpaket erzeugt wird – nicht der Anteil, der sich von selbst erledigt.
Ob es gewirkt hat, sagt dir ein erneuter Scan: Er prüft gezielt nach, ob der Befund verschwunden ist.
Der Standardscan ist ein Frontend-Audit. Er sieht, was ausgeliefert wird: gerendertes Markup, Response-Header, TLS-Zertifikat, eingebundene Skripte und Third-Party-Requests – also genau das, was auch ein Crawler oder ein Besucher sieht. Serverseitiger Code, Benutzerkonten und Plugin-Stände bleiben zu. Für diese Bereiche gibt es den Backend-Audit. Dafür hinterlegst du im Portal einen Lesezugang – ein WordPress-Anwendungspasswort, ein Shopify-Admin-API-Token, Basic-Auth oder ein Session-Cookie, je nach System. Erst nach einem Domain-Nachweis per TXT-Eintrag oder Datei, damit niemand fremde Systeme prüfen lässt. Du brauchst dafür ein Konto; die Prüfung startest du dann selbst.
Der Zugang passt sich dem System an: Konto mit Leserechten, API-Token, Basic-Auth oder Session-Cookie. Leserechte genügen – es wird nichts geändert, nichts installiert, nichts gelöscht.
Noch weiter: das System-Audit auf Anfrage. Für alles, was über den Backend-Audit hinausgeht – manuelle Prüfung, Code-Analyse, eigene Webanwendungen – schreib an info@websecureaudit.de mit der Domain und dem eingesetzten System. Du bekommst einen Vorschlag über Umfang und Preis; der Zugang wird erst danach eingerichtet. Das ist eine gesonderte, kostenpflichtige Vereinbarung, kein Selbstbedienungsknopf. System-Audit anfragen
Nicht jeder Befund ist gleich wichtig. Eine offene .env ist ein anderes Problem als ein fehlender Alt-Text – aber beide stehen in derselben Liste, wenn niemand sie sortiert. Der Report ordnet Maßnahmen nach Dringlichkeit und sinnvoller Reihenfolge; jeder Befund landet in genau einer Phase mit Zeitfenster, Maßnahmenzahl und Kostenindikation. Die Fenster und Ziele stammen aus dem Werkzeug selbst, die Zahlen aus dem Beispiel-Report.
sofort
Alles, was die Freigabe verhindert: Blocker schließen, offene Scope- und Nachweisfragen klären.
11 Maßnahmen im Beispiel-Report
0–2 Wochen
Akute Risiken schließen, bevor sie ausgenutzt werden. Gefahr im Verzug.
2 Maßnahmen im Beispiel-Report
2–6 Wochen
Technische Basis auf einen wartbaren Stand bringen, Angriffsfläche dauerhaft verkleinern.
28 Maßnahmen im Beispiel-Report
6–14 Wochen
Auffindbarkeit in klassischer Suche und in KI-Systemen herstellen, Ladezeiten und Conversion verbessern.
23 Maßnahmen im Beispiel-Report
3–6 Monate
Feinschliff, Barrierefreiheit, Monitoring und ein Prozess, der den Stand hält.
1 Maßnahme im Beispiel-Report
Ein Scan je Domain und 24 Stunden ist kostenlos – mit vollem Funktionsumfang, ohne Konto, ohne Zahlungsdaten. Brauchst du im selben Zeitraum mehr, etwa während eines Relaunches, gibt es 5 weitere Prüfungen für 4,90 € – einmalig, kein Abo, keine Anmeldung.
Das Kontingent hängt an der Domain, nicht am Konto – eine bezahlte Prüfung gilt also mit und ohne Konto.
Warum überhaupt eine Grenze: Jede Prüfung erzeugt Last auf einer fremden Seite und Rechenzeit bei uns, und dieselbe Domain fünfmal am Tag zu prüfen liefert fünfmal fast dasselbe Ergebnis.