Tech-Stack-Checker

Was die Technik-Erkennung zeigt

Aus dem ausgelieferten HTML und den Antwortkopfzeilen wird abgeleitet, was hinter einer Website steckt:

• Redaktions- oder Shopsystem
• Frontend-Bibliotheken
• Tracking- und Analysewerkzeuge
• Server und CDN

Die Erkennung arbeitet mit Signaturen — Pfaden, Klassennamen, Kopfzeilen, die typisch für ein System sind. Was gefunden wird, ist deshalb belastbar; was nicht gefunden wird, ist kein Beweis für Abwesenheit. Ein System hinter einem Proxy oder mit entfernten Hinweisen bleibt unsichtbar.

Nützlich ist das vor allem im Vergleich: bei einem Relaunch zu sehen, was ein Wettbewerber einsetzt, oder bei einer geerbten Website herauszufinden, worauf sie überhaupt läuft, bevor jemand daran arbeitet.

Was das Werkzeug kennt und was nicht

Die Erkennung ist eine Liste fester Muster. Bei den Redaktions- und Shopsystemen sind das WordPress, WooCommerce, Shopify, Wix, Squarespace, Webflow, Joomla, Drupal, Magento und PrestaShop. Bei den Bibliotheken sind es Next.js, React, Vue.js, Angular, jQuery, Bootstrap und Tailwind, bei der Messung Google Analytics, Tag Manager, Google Ads, der Meta-Pixel, Hotjar und Matomo. CDN und Hoster erkennt es an typischen Kopfzeilen von Cloudflare, Vercel, Netlify, CloudFront und Fastly.

Was nicht auf der Liste steht, bleibt leer, auch wenn es da ist. Für Tirol ist das keine Kleinigkeit. Bei meiner Messung vom 03.10.2026 trugen von 131 erreichbaren Tiroler Websites 29 das Generator-Kennzeichen von TYPO3, 7 liefen auf Contao und 4 auf Jimdo. Keines davon kennt dieses Werkzeug bisher. WordPress fand ich bei 22. Ebenfalls unsichtbar bleiben datensparsame Messwerkzeuge wie Umami oder Plausible.

Das Ergebnis lesen

Ein Treffer ist ein Beleg: Das Muster steht im Quelltext oder in der Antwort. Ein leeres Feld ist eine offene Frage. Steht bei „CMS“ nichts, ist die Seite entweder statisch gebaut, läuft auf einem System außerhalb der Liste, oder jemand hat die Hinweise entfernt. Den Unterschied sieht man oft im Quelltext der Seite selbst (Strg+U) im <meta name="generator">-Tag oder an Pfaden wie /typo3conf/ oder /wp-content/.

Bei WordPress lohnt der zweite Blick auf die Version. Steht sie im Generator-Tag, verrät die Seite allen, wie alt sie ist. Welche Version aktuell ist und welche Reihen noch Korrekturen bekommen, steht in Aktuelle WordPress-Version. Wie man eine fremde Seite vor einem Kauf oder einer Übernahme gründlicher ansieht, zeigt Fremde Website prüfen.

Nächste Schritte

Hast du eine Website geerbt und weißt nicht, worauf sie läuft, ist das Ergebnis der Anfang einer Bestandsaufnahme: System, Hoster, eingebundene Dienste. Danach folgen die Fragen, die kein Werkzeug von außen beantwortet. Wer hat die Zugänge? Wann gab es das letzte Update? Gibt es eine Sicherung? Läuft die Seite auf WordPress und soll das so bleiben, übernimmt die WordPress-Wartung für 49 € im Monat genau diese Fragen.

Was ein Angreifer daraus liest

Dieselben Hinweise sieht jeder, auch automatisierte Angriffswerkzeuge. Die probieren bekannte Lücken aber ohnehin durch, ohne vorher nachzusehen. Verstecken hilft deshalb wenig, aktuell halten viel. Eine Ausnahme sind Versionsnummern in Kopfzeilen wie Server: Apache/2.4.41. Sie nützen niemandem außer dem, der nach einer bestimmten alten Version sucht. Bei 11 der 131 Tiroler Websites aus meiner Messung stand die Versionsnummer des Webservers in der Antwort. Abschalten lässt sie sich in einer Zeile der Server-Konfiguration; welche, zeigt der Security-Scan beim Befund „Server-Header gibt Software preis“. Bei Apache ist es ServerTokens Prod, bei nginx server_tokens off;. Auf geteiltem Hosting muss das oft der Hoster umstellen. Welche Einstellungen eine kleine Website darüber hinaus absichern, von Schutz-Headern bis zu Updates, fasst Cybersecurity für kleine Betriebe zusammen.