Question 1

"Wie überprüfe ich, ob meine Website HTTPS verwendet?"

Accepted Answer

"Öffnen Sie Ihre Website in einem Browser und sehen Sie in die Adresszeile. Wenn Sie ein geschlossenes Schloss-Symbol sehen und die URL mit https:// beginnt, lädt Ihre Seite sicher über HTTPS. Wenn „Nicht sicher« angezeigt wird oder das Schloss fehlt, müssen Sie ein TLS-Zertifikat installieren — kostenlose Optionen wie Let's Encrypt funktionieren gut."

Question 2

"Leitet meine Website HTTP auf HTTPS weiter?"

Accepted Answer

"Geben Sie Ihre Domain ohne https:// (nur „ihre-domain.de«) in die Adresszeile ein. Wenn Sie automatisch auf eine sichere https://-Seite mit Schloss-Symbol weitergeleitet werden, funktioniert die Weiterleitung. Bleibt die Seite auf http://, müssen Sie eine 301-Weiterleitung in Ihrer Serverkonfiguration (.htaccess, nginx oder CDN) einrichten."

Question 3

"Was ist HSTS und wie prüfe ich, ob es aktiviert ist?"

Accepted Answer

"HSTS (HTTP Strict Transport Security) zwingt Browser, immer HTTPS zu verwenden und verhindert SSL-Stripping-Angriffe. Öffnen Sie die Entwicklertools (F12), gehen Sie zum Netzwerk-Tab, laden Sie Ihre Seite neu und suchen Sie in den Response Headers nach 'Strict-Transport-Security'. Der Wert sollte 'max-age=31536000' enthalten."

Question 4

"Welche Security Header sollte meine Website haben?"

Accepted Answer

"Mindestens X-Frame-Options (verhindert Clickjacking), X-Content-Type-Options: nosniff (verhindert MIME-Typ-Angriffe) und eine Content-Security-Policy (verhindert XSS). Überprüfen Sie die Response Headers in den Browser-Entwicklertools. Bereits 2 von 3 Headern sind ein guter Anfang für kleine Unternehmenswebsites."

Question 5

"Wie erkenne ich, ob meine Admin-Login-Seite öffentlich zugänglich ist?"

Accepted Answer

"Rufen Sie /admin, /wp-admin und /login auf Ihrer Domain im Browser auf. Zeigt eine davon ein Login-Formular, ist Ihr Admin-Panel öffentlich auffindbar — ein Ziel für Brute-Force-Angriffe. Ein 404- oder 403-Fehler ist gut. Falls sichtbar, beschränken Sie den Zugriff nach IP-Adresse oder fügen Sie zusätzliche Authentifizierung hinzu."

Question 6

"Wie schütze ich meine Domain vor E-Mail-Spoofing?"

Accepted Answer

"Konfigurieren Sie SPF- und DMARC-DNS-Einträge für Ihre Domain. SPF listet autorisierte E-Mail-Absender auf, DMARC weist empfangende Server an, wie sie mit unautorisierten Nachrichten umgehen sollen. Beginnen Sie mit einem SPF-TXT-Eintrag und einem DMARC-Eintrag mit p=none für das Monitoring."

Question 7

"Brauche ich eine Datenschutzerklärung und ein Impressum auf meiner Website?"

Accepted Answer

"Ja. Eine Datenschutzerklärung ist in den meisten Rechtsordnungen gesetzlich vorgeschrieben (DSGVO in Europa). Sie muss beschreiben, welche Daten Sie erheben und wie Sie diese nutzen — generische Platzhaltertexte reichen nicht aus. Geschäftliche Websites in Deutschland, Österreich und der Schweiz benötigen zudem ein Impressum mit vollständigen Unternehmensdaten."

Kostenloser Website-Vertrauensscore in 5 Minuten — SAB Security

Website-Vertrauensscore-Checker

Punkteverteilung

Prioritäre Maßnahmen

Wenn Ihr Ergebnis Risiken zeigt

So funktioniert dieses Tool

Selbstgeführt

Sofortiger Score

Privat & Kostenlos

Ihr Score ist unter 70? Das können Sie tun.

Kritisch — jetzt handeln

Verbesserungswürdig

Gut — weiter so