Website prüfen: ist sie seriös? Was von außen sichtbar ist

Woran erkennst du, ob du einer Website trauen kannst, die du nicht kennst? An dem, was sie nicht verschweigen kann. Alles, was eine Website über sich selbst sagt, hat jemand hingeschrieben: das Impressum, die Selbstbeschreibung, die Gütesiegel im Fußbereich, die Jahreszahl „seit 2009“. Das kann stimmen. Es ist trotzdem eine Behauptung, keine Feststellung, und wer betrügen will, schreibt dort das Passende hin.

Alles, was beim Laden der Seite tatsächlich passiert, kann sie dagegen nicht verschweigen: welcher Server antwortet, seit wann die Domain existiert, welches Zertifikat ausgestellt wurde, welche Schutz-Header der Server sendet, welche fremden Dienste schon vor der Einwilligung geladen werden, mit welchem System die Seite gebaut ist. Das ist kein Text, das ist Verhalten, und Verhalten lässt sich nicht so leicht frisieren wie ein Absatz.

Die Regel für den Shop aus der Werbeanzeige, den Link in der Mail und den Dienstleister, der gleich Zugang zum Server bekommen soll, ist deshalb dieselbe: Nimm das Geschriebene als Hypothese und prüf sie gegen das Unvermeidliche. Ein Impressum mit Wiener Adresse, während die Domain vor drei Wochen anonym registriert wurde und der Server in einem Rechenzentrum ohne Bezug dazu steht, ist nicht automatisch Betrug. Es ist ein Widerspruch, und Widersprüche sind das, wonach du suchst.

Die vier Fragen, in der Reihenfolge, in der sie sich lohnen#

Nicht alles auf einmal. Die Reihenfolge spart Arbeit, weil jede Antwort die nächste Frage schärft.

1. Wer steht dahinter?#

Die teuerste Frage zuerst, weil sie am häufigsten die Antwort auf alles andere ist. Eine Domain, die vorgestern registriert wurde und deren Halter sich hinter einem Datenschutzdienst verbirgt, braucht bei einem Shop mit Vorkasse keine weitere Prüfung.

Das Registrierungsdatum liefert eine RDAP-Abfrage beim Registrar oder der Registry, und es ist eines der wenigen Signale, die sich nicht fälschen lassen; wie man es abfragt, steht in Wann wurde eine Domain registriert?. Den Halter geben die Register seit der DSGVO meist nicht mehr preis, was bleibt, sind Registrar, Nameserver und bei .de ein Auskunftsantrag mit berechtigtem Interesse (Wem gehört eine Website?). Das Impressum ist dann die Gegenprobe: Firmenwortlaut, Firmenbuch- oder Handelsregisternummer und eine ladungsfähige Anschrift müssen sich im jeweiligen Register wiederfinden lassen (Impressum prüfen).

2. Ist sie sicher, und in welchem Sinn?#

„Sicher“ ist drei Fragen in einer: Kann jemand mitlesen, geht die Seite anständig mit Daten um, ist sie selbst in fremder Hand? Das Schloss in der Adresszeile beantwortet nur die erste, und auch die nur zur Hälfte.

Die technische Seite davon prüft der Security-Scan für eine beliebige Adresse: HTTPS-Konfiguration, Schutz-Header, offene Ports. Einen einzelnen Verweis liest man an seiner Adresse, vor dem Klick, nicht danach.

3. Was macht sie mit ihren Besuchern?#

Die aussagekräftige Zahl ist nicht, wie viele Dienste eine Seite lädt, sondern wie viele sie lädt, bevor jemand zugestimmt hat. Danach ist es eine Entscheidung des Besuchers, davor eine des Betreibers. Der Datenschutz-Check zeigt diesen Zeitpunkt. Die Frage lohnt sich auch für Betreiber, die nachsehen wollen, was Dienstleister in ihre eigene Seite eingebaut haben.

4. Womit ist sie gebaut?#

Die Frage mit dem geringsten Misstrauensanteil und dem größten praktischen Nutzen: beim Wettbewerb ansehen, was funktioniert, oder bei einem Angebot einschätzen, was da eigentlich geliefert wurde. Was Kopfzeilen und Quelltext über den Unterbau verraten, das CMS eingeschlossen, liest der Tech-Stack-Checker in einem Durchgang aus. Wer den Server stellt, steht in den DNS-Einträgen; bei einem CDN davor sagt das weniger als früher (DNS-Eintrag prüfen).

Was so ein Blick liefert, zeigt der Datenschutz-Check an einer eigenen Seite, www.bitinformer.com am 03.10.2026: keine Cookies vom Server, Reichweitenmessung ohne Cookies, Impressum und Datenschutzerklärung verlinkt. Und er sagt dazu, was er nicht sieht: Cookies, die erst ein Skript setzt.

Was 131 Startseiten von sich preisgeben#

Wie viel das Unvermeidliche verrät, lässt sich zählen. In eigener Sache: Am 03.10.2026 habe ich die Startseiten von 140 Tiroler Domains aus meiner Akquise-Liste (Betriebe und Tourismusverbände) einmal per curl abgerufen, wie ein Browser es tut, und nur gelesen, was der Server von sich aus mitschickt. 131 antworteten. Gezählt ist, was im ausgelieferten HTML und in den Headern steht; was Skripte später nachladen, fehlt. Nur Summen, keine Namen.

Zwei Lesarten. Für den Besucher: Ob eine Seite Tracking lädt, steht im Quelltext, bevor irgendein Banner erscheint. 45 von 131 binden Google Analytics ein, und das sieht man ohne Werkzeug mit „Seitenquelltext anzeigen“. Für den Betreiber: 17 Seiten nennen ihre PHP-Version in jeder Antwort, sechs davon eine, für die es keine Korrekturen mehr gibt. Das ist keine Frage der Seriosität, aber eine der Sorgfalt, also genau die letzte Zeile der Tabelle unten.

Die Widersprüche, auf die es ankommt#

Die Werkzeuge liefern Befunde. Ein Befund allein sagt selten etwas; erst der Widerspruch zwischen zwei Befunden sagt etwas. Die Paare, die im Alltag tragen:

Ein einzelner Punkt aus dieser Liste ist kein Urteil. Ein junges Datum hat jede neue Firma, ein Treuhänder im Register ist bei vielen Registraren die Voreinstellung. Zwei oder drei Punkte zusammen sind ein Muster.

Was von außen nicht geht#

Hier scheitern die meisten Erwartungen. Ein Blick von außen sieht, was ein Browser sieht, und nichts darüber hinaus.

Echte Besucherzahlen. Es gibt Schätzdienste; bei kleinen Seiten sind ihre Zahlen Hochrechnungen aus wenigen Datenpunkten, keine Messung.

Umsätze, Bestellungen, Kundenzahlen. Nicht ansatzweise. Wer solche Zahlen anbietet, verkauft Hochrechnungen aus Besucherschätzungen, also einen Fehler mal einen zweiten.

Ob die Seite gerade kompromittiert ist. Eine saubere Prüfung von außen schließt eine Kompromittierung nicht aus. Sie findet, was sich nach außen zeigt: eingeschleuste Skripte, Weiterleitungen, veränderte Kopfzeilen. Ein Angreifer, der nur Daten abgreift, hinterlässt davon nichts. Woran man eine übernommene Seite trotzdem erkennt, steht in WordPress gehackt: was tun, im ersten Abschnitt.

Wer wirklich dahintersteht, wenn jemand das nicht will. Ein Datenschutzdienst im Register, ein Treuhänder im Impressum, ein Server in einem Land ohne Auskunftspflicht: An dem Punkt endet die technische Prüfung, und es beginnt die Frage, ob man mit jemandem Geschäfte macht, der nicht genannt sein will.

Die inneren Seiten hinter einem Login. Was Kunden nach der Anmeldung sehen, ist von außen unsichtbar. Bewertungen über den Dienst sagen dazu mehr als jedes Werkzeug.

Der Ablauf in fünf Minuten#

Für den häufigsten Fall, einen unbekannten Anbieter, dem man Geld oder Daten geben soll:

1. Domainalter und Halter nachsehen. Jung und anonym bei einem Shop mit Vorkasse: hier kann man aufhören.
2. Impressum lesen und gegen Punkt 1 halten. Stimmt die genannte Firma mit dem überein, was das Register hergibt?
3. Verbindung und Header prüfen. Nicht wegen des Schlosses, sondern wegen der Sorgfalt: Ein Betreiber, der HSTS und Schutz-Header gesetzt hat, hat sich mit dem Thema befasst.
4. Ansehen, was vor der Einwilligung lädt. Ein Dutzend Werbedienste vor jedem Klick ist keine Sicherheitslücke, aber es sagt etwas über die Haltung.
5. Nach dem Namen suchen, außerhalb der eigenen Website. Der Schritt, den kein Werkzeug ersetzt.

Punkt 5 ist der wichtigste und der einzige, der nicht technisch ist. Alles davor findet Widersprüche; erst die Suche außerhalb findet Erfahrungen.

Wo die Grenze verläuft#

Alles auf dieser Seite liest ausschließlich öffentlich abrufbare Informationen, dasselbe, was jeder Browser und jede Suchmaschine abruft: öffentliche Register, ausgelieferte Kopfzeilen, der Quelltext, den der Server jedem schickt.

Was hier nicht steht und wozu diese Werkzeuge nicht da sind: Zugangsdaten zu erraten, nicht verlinkte Bereiche durchzuprobieren, Formulare auf Schwachstellen zu testen oder eine Seite mit Anfragen zu belasten. Das ist keine Prüfung mehr. Sobald dabei eine Zugangssicherung überwunden wird, ist es strafbar, in Deutschland nach § 202a StGB, in Österreich nach § 118a StGB, auch dann, wenn nichts kaputtgeht.

Die eigene Seite darfst du prüfen, wie du willst. Bei fremden gilt: lesen ja, anfassen nein.

Häufige Fragen#

Stand 03.10.2026. Gesetzesfundstellen an diesem Tag abgerufen; die Zählung der 131 Tiroler Startseiten stammt vom selben Tag.