Machen Sie aus einem Scan einen Compliance-Nachweis
Ein Sicherheitsscan ist nur nützlich, wenn Sie danach handeln können. Jeder Befund hier ist einer Bedenkenkategorie zugeordnet und mit den relevanten SOC-2- und DSGVO-Kontrollen verknüpft.
Kostenloses Sicherheitsaudit startenWas der Scan abdeckt
Header & Transport
CSP, HSTS (mit Live-Abgleich gegen die HSTS-Preload-Liste der Browser), X-Frame-Options sowie TLS-/Zertifikatskonfiguration.
Offenlegung
Offengelegte Geheimnisse, sensible Dateien sowie versehentlich in robots.txt preisgegebene Admin-/Backup-Pfade.
Cookies & CORS
Fehlende Secure-/HttpOnly-Cookie-Flags und zu freizügige CORS-Konfiguration.
Referenz-Zuordnung
Jeder Befund mit einer CWE-Kennung und einer OWASP-Top-10-(2021)-Kategorie versehen, plus PCI-Relevanz, wo zutreffend.
Zuordnung von Bedenkenkategorie zu Kontrolle
| Bedenken | SOC 2 | DSGVO |
|---|---|---|
| Offengelegte Geheimnisse | CC6.1, C1.1 | Art. 32 |
| Transportverschlüsselung | CC6.7 | Art. 32 |
| Zugriffskontrolle | CC6.1 | Art. 25 |
| Injection-Risiko | CC6.8 | Art. 32 |
| Schwachstellen in Abhängigkeiten | CC6.8 | Art. 32 |
| Offenlegung von Informationen | C1.1 | Art. 5(1)(f) |
| Lücken bei der Überwachung | CC7.2 | Art. 33 |
| Härtung der Konfiguration | CC6.6 | Art. 25 |
So funktioniert es
Von Rohbefunden zu kategorisierten, zugeordneten Nachweisen.
URL einfügen
Keine Agent-Installation, kein Codezugriff - ein externer Scan Ihrer Live-Website, dieselbe Sicht, die auch ein Angreifer hätte.
Befunde, kategorisiert
Jedes Problem wird einer Bedenkenkategorie zugeordnet (Geheimnisse, Transportverschlüsselung, Zugriffskontrolle und mehr), statt als flache Liste stehen zu bleiben.
Kontrollen zugeordnet
Jede Bedenkenkategorie wird relevanten SOC-2-Trust-Services-Kriterien und DSGVO-Artikeln zugeordnet - als Ausgangspunkt für Audit-Nachweise.
Häufig gestellte Fragen
Nein, und das machen wir im Produkt selbst explizit deutlich: Dies ist eine heuristische Kategoriezuordnung, keine zertifizierte Bewertung. Ein Scanner-Befund ist ein für eine Kontrolle relevanter Nachweis, kein Beweis, dass die Kontrolle erfüllt ist - SOC-2- und DSGVO-Compliance erfordern auch nicht-technische Kontrollen (Richtlinien, Zugriffsprüfungen, Lieferantenmanagement), die dieser Scan nicht bewerten kann. Nutzen Sie ihn als nützlichen Ausgangspunkt für die Nachweissammlung, nicht als Ersatz für ein echtes Audit.
Die Security-Headers-Prüfung geht bei einer Sache in die Tiefe - HTTP-Security-Header, mit vollständiger CSP-Direktivenanalyse und HSTS-Preload-Verifizierung. Dieses Audit nimmt den breiteren Scan (Header plus Geheimnisse, Cookies, CORS und mehr) und ordnet ihn Compliance-relevanten Bedenkenkategorien und deren zugeordneten Kontrollen zu.
Die Befunde des Scans werden mehreren Common Criteria zugeordnet (CC6.1 Logical Access, CC6.6 Network Security Configuration, CC6.7 Transmission Confidentiality, CC6.8 Malicious Code Prevention, CC7.2 System Monitoring) sowie dem Confidentiality-Kriterium (C1.1) - den Kriterien, die am direktesten mit dem verknüpft sind, was ein externer Website-Scan tatsächlich beobachten kann.
In erster Linie Artikel 32 (Sicherheit der Verarbeitung), Artikel 25 (Datenschutz durch Technikgestaltung) und Artikel 5 Abs. 1 lit. f (Integrität und Vertraulichkeit) - die Artikel, die technische Sicherheitsmaßnahmen betreffen, wozu ein externer Scan tatsächlich Aussagen treffen kann.
Verwandte Audits
Website-Audit
Führen Sie einen kostenlosen Sofort-Audit für Performance, SEO, Barrierefreiheit und Best Practices durch.
SEO-Audit
Prüft Crawlbarkeit, Metadaten, strukturierte Daten und Auffindbarkeit durch KI-Agenten.
Performance-Audit
Ein vollständiges Performance-Labor-Audit für Desktop und Mobil, mit Framework-spezifischen Korrekturen.
Barrierefreiheits-Audit
Sehen Sie genau, welche WCAG-2.1/2.2-Erfolgskriterien Ihre Website nicht erfüllt und warum.
Website-Geschwindigkeits-Audit
Wie schnell Ihre Website lädt, in einfachen Worten - eine Zahl, kein Fachjargon.
Core-Web-Vitals-Audit
Prüft LCP, CLS und INP gegen Googles Schwellenwerte, im Labor und im Feld.
Broken-Link-Checker
Durchsucht die Links einer Seite und findet die toten, bevor Ihre Nutzer es tun.
Security-Headers-Checker
CSP, HSTS und jeder andere HTTP-Sicherheitsheader - analysiert, nicht nur aufgelistet.
Open-Graph-Checker
Prüft, ob Ihre Seite die og:title-, og:description- und og:image-Tags hat, die soziale Plattformen benötigen.
Schema-Markup-Checker
Prüft, ob Ihre Seite JSON-LD-strukturierte Daten ausliefert, die Suchmaschinen und KI-Agenten lesen können.
Sitemap-Checker
Prüft, ob Ihre sitemap.xml erreichbar, gültig und frei von häufigen Fehlern ist.
Redirect-Checker
Verfolgt die Weiterleitungskette einer URL und erkennt Schleifen, überflüssige Sprünge und HTTPS-zu-HTTP-Downgrades.
SSL-Checker
Testen Sie Ihr SSL-Zertifikat in Sekunden auf Ablauf, Hostname, Vertrauenskette, TLS-Version, Schlüsselstärke und HSTS.
Farbkontrast-Checker
Berechnen Sie das WCAG-Kontrastverhältnis zweier Farben, sehen Sie AA- und AAA-Ergebnisse und eine barrierefreie Farbempfehlung.
Website-Technologie-Checker
Finden Sie heraus, mit welchem CMS, Framework, E-Commerce-System und welchen Bibliotheken eine Website gebaut ist.
robots.txt-Checker
Prüfen Sie Syntax, Sitemap-Zeilen und Größenlimits und testen Sie, ob der Googlebot oder ein anderer Crawler eine URL abrufen darf.
Canonical-Checker
Finden Sie fehlende, doppelte, relative oder widersprüchliche Canonical-Tags und prüfen Sie, ob die kanonische URL lädt.
Hreflang-Checker
Prüft Sprachcodes, x-default und Selbstverweise und bestätigt, dass jede alternative Seite zurückverweist.
Meta-Tag-Checker
Prüfen Sie Title-Tags, Meta-Beschreibungen, H1-Überschriften, Robots-, Viewport- und Open-Graph-Tags einer Seite.
HTTP-Status-Checker
Prüfen Sie bis zu 20 URLs gleichzeitig auf 200, 301, 404 und 500 sowie Weiterleitungsketten.
CSP-Evaluator
Prüft eine Content-Security-Policy auf unsafe-inline, unsafe-eval, Wildcards sowie fehlendes object-src und base-uri, per URL oder eingefügter Richtlinie.
Mixed-Content-Checker
Findet http://-Skripte, -Stylesheets, -iframes und -Bilder auf HTTPS-Seiten, die Browser blockieren oder bemängeln.
Alt-Text-Checker
Findet Bilder mit fehlendem, leerem, als Dateiname gesetztem oder zu langem Alternativtext, für Barrierefreiheit und Bilder-SEO.
API-Key-Leak-Checker
Scannt öffentliches HTML und JavaScript einer Website auf offengelegte API-Schlüssel, Tokens und Secrets.
MCP-Sicherheitsscanner
Findet nicht fixierte MCP-Server, geleakte Tokens und riskante Agent-Einstellungen im Repo.
Vibe-Coding-Sicherheit
Prüft KI-geschriebenen Code auf Secrets, Injection-Lücken und riskante Abhängigkeiten.
ADA-Compliance-Checker
Testet Ihre Website gegen die WCAG-Kriterien, auf die sich ADA-Fälle beziehen.
EAA-Checker
Prüft Ihre Website gegen die WCAG-Grundlage des European Accessibility Act.
Für Agenturen
Kundenseiten auf SEO, Tempo, Barrierefreiheit und Sicherheit prüfen, mit einem Team-Plan.
Anleitungen zur Behebung
Weiterführende Artikel
Website Security Headers Explained: The Complete Checklist
CSP, HSTS, X-Frame-Options, and every other HTTP security header your site should ship - with copy-pasteable examples.
How to Implement a Content Security Policy Without Breaking Your Site
CSP is the highest-leverage security header and the easiest one to break your own site with - a safe rollout strategy using report-only mode.
Starten Sie ein kostenloses Sicherheitsaudit
Befunde kategorisiert und SOC-2- sowie DSGVO-Kontrollen zugeordnet.
Kostenlosen Audit starten