Wie sicher wirkt Ihre Website von außen?
Der kostenlose Kurz-Check bewertet öffentlich sichtbare Schutzmaßnahmen:
HTTPS, Security-Header, Cookies, Formulare, gemischte Inhalte und
security.txt. Passiv, nachvollziehbar und ohne Registrierung.
Kein Penetrationstest: Der Check verwendet keine Exploits, Login-Versuche, Wortlisten, Portscans oder Belastungstests. Ein gutes Ergebnis ist weder Zertifikat noch Garantie für vollständige oder absolute Sicherheit.
Kurzen Gratis-Scan starten
Geprüft wird die öffentlich erreichbare Website-Antwort. Die Analyse dauert in der Regel nur wenige Sekunden.
Was der Kurz-Check wirklich prüft
Wir analysieren wenige, klar begrenzte öffentliche Antworten. Jeder Befund enthält eine verständliche Beobachtung und eine konkrete Empfehlung – ohne Sicherheitslücken zu behaupten, die der Scan nicht nachweisen kann.
Transport
HTTPS-Nutzung, HSTS und die Weiterleitung von HTTP auf HTTPS.
Security-Header
CSP, Clickjacking-Schutz, MIME-Type-Schutz, Referrer- und Permissions-Policy.
Inhalte & Formulare
Direkt sichtbare Mixed-Content-Referenzen und eindeutig unsichere Formularziele.
Cookies
Aggregierte Prüfung der Attribute Secure, HttpOnly und SameSite – ohne Namen oder Werte auszugeben.
Offenlegung
Öffentliche Technologie-Header und eine Meldestelle nach RFC 9116 unter /.well-known/security.txt.
Bewusst nicht Teil des Gratis-Scans
Ein kurzer Außencheck kann nur einen kleinen Ausschnitt bewerten. Diese Grenze ist Teil des Ergebnisses – nicht im Kleingedruckten versteckt.
- Keine Ports, Netzwerke oder internen Systeme
- Keine Logins, Passwörter oder geschützten Bereiche
- Keine Formulareingaben, Exploits oder Schadsoftware
- Keine Datenbanken, Serverdateien oder Repositories
- Keine vollständige Plugin- oder Komponentenliste
- Kein Nachweis, dass ein beobachtetes Risiko ausnutzbar ist
Bekannte CMS-Lücken brauchen einen Inhabernachweis
WordPress- oder Joomla-Marker können öffentlich sichtbar sein. Genaue Versionen, Komponenten und passende CVE-Hinweise zeigen wir jedoch erst, nachdem Sie die Kontrolle über die Domain mit einer einmaligen Datei bestätigt haben. Der Nachweis wird unmittelbar geprüft, für genau einen Scan verbraucht und danach ungültig.
Auch dann gilt: Ein Versionsabgleich meldet eine potenzielle Betroffenheit, nicht den Beweis einer erfolgreichen Ausnutzung.
-
1
Konto und Marke anlegen
Die zu prüfende Website wird fest im Markenprofil hinterlegt.
-
2
Einmaligen Token veröffentlichen
Eine kleine Textdatei bestätigt die Kontrolle über den exakten Host.
-
3
Sofort prüfen
Nach Bestätigung startet der CMS-/CVE-Abgleich unmittelbar.
Bekannte Scanner und Datenquellen per API
Nicht jede API ist ein Schwachstellenscanner. Für einen sauber abgegrenzten, autorisierten Produktbetrieb unterscheiden sich passive Header-Prüfung, URL-Reputation, CVE-Datenfeed und aktive Anwendungstests deutlich. Die Preise sind Anbieterangaben, in US-Dollar und ohne allfällige Steuern; Stand 24. Juli 2026. Nächste Preisprüfung spätestens am 23. August 2026.
| Anbieter | Was die API liefert | Kosten laut Anbieter | Einordnung |
|---|---|---|---|
| MDN HTTP Observatory | HTTP-Header und zentrale Web-Sicherheitskonfiguration via V2-API. | Öffentlich nutzbar; keine Preisangabe veröffentlicht. Die Scan-Historie je Domain ist öffentlich. | Sehr passend für eine passive Zweitmeinung; kein CMS-, Plugin- oder Exploit-Scanner. |
| Google Web Risk | Abgleich von URLs gegen Googles Listen für Malware, Phishing und andere unsichere Seiten. | 100.000 Lookup-Aufrufe/Monat frei, danach 0,50 $ pro 1.000 Aufrufe. | Kein Schwachstellenscanner. Ergänzt einen Scan um URL-Reputation. |
| Wordfence Intelligence V3 | Aktueller WordPress-Schwachstellenfeed für Core, Plugins und Themes. | Kostenlos für private und kommerzielle Nutzung; API-Key sowie Copyright-, Lizenz- und MITRE-Attribution beachten. | Datenfeed, kein eigenständiger Website-Scan. Erfordert eine belastbar erkannte Komponentenversion. |
| Snyk API & Web (Probely) | Aktive Web- und API-Scans mit vollwertiger API; Domain muss vor dem Scan verifiziert werden. | Free: 5 Scan-Stunden/Monat; Enterprise-Preis auf Anfrage. | Echter DAST-Anbieter. Die Domainverifikation schützt vor unautorisierten aktiven Scans. |
| HostedScan | Gebündelte Scanner wie OWASP ZAP, OpenVAS, Nuclei, Nmap und SSLyze. | Premium 109 $/Monat bei jährlicher Abrechnung mit API; Professional 189 $/Monat mit White-Label; Flex ab 3.500 $/Jahr. | Breite aktive Abdeckung; für einen öffentlichen Gratis-Button nur hinter Inhabernachweis und striktem Kontingent geeignet. |
Preis- und Leistungsangaben können sich ändern. Verbindlich sind ausschließlich die jeweils verlinkten Originalseiten und Vertragsbedingungen der Anbieter.
Empfehlung für Sichtbarkeit.cloud
Der kostenlose Kurz-Check nutzt den eigenen passiven Scanner und verursacht damit keine Anbieter- oder Per-Scan-Lizenzkosten – nur die eigene Infrastruktur. Wordfence Intelligence und Google Web Risk sind sinnvolle, günstige Ergänzungen für CVE-Daten und URL-Reputation. Aktive Tiefenscans sollten erst nach Inhabernachweis als begrenzter Pilot mit Snyk API & Web oder HostedScan starten.
Unsere Scanner-Richtlinie
Der Umfang wächst erst mit nachgewiesener Berechtigung. So bleibt ein hilfreicher Gratis-Check technisch und rechtlich klar von einem aktiven Penetrationstest getrennt.
Öffentlich: kurz und passiv
Nur begrenzte GET-Abfragen, öffentliche Antworten, Größen- und Zeitlimits sowie Schutz vor internen Netzwerkzielen.
Nachweis vor Details
CMS-Versionen und bekannte Schwachstellen erscheinen nur im unmittelbar verifizierten Scan.
Keine Angriffspayloads
Sichtbarkeit.cloud führt im Gratis-Check keine Exploits, Brute-Force-Versuche oder Belastungstests aus.
Ergebnis mit Grenzen
Jeder Report nennt Methodik, Werkzeuge, Zeitpunkt, nicht geprüfte Bereiche und den fehlenden Anspruch auf Vollständigkeit.
Mehr als die öffentliche Konfiguration prüfen?
Legen Sie Ihre Marke an, bestätigen Sie die Domain einmalig und starten Sie den CMS-/CVE-Abgleich unmittelbar nach dem Nachweis.