Website-Sicherheitscheck: was ein Angreifer von außen sieht, für 290 € fix
Ein Website-Sicherheitscheck beantwortet eine Frage: Was steht an deiner Website und deiner E-Mail-Domain offen, ohne dass sich jemand anmelden muss? Ich prüfe Security-Header, TLS und Zertifikate, den Stand von CMS, Plugins und Theme gegen bekannte Schwachstellen, offene Admin-Zugänge und liegen gebliebene Dateien, SPF, DKIM und DMARC, Drittdienste und DSGVO-Grundlagen. Bericht nach Dringlichkeit in drei Werktagen, 30 Minuten Besprechung, 290 € Endpreis.
Teil der Leistungen unter Cybersecurity für kleine Betriebe. Für Unternehmen in Österreich, Deutschland und der Schweiz, per Video und Telefon. Kein Penetrationstest: Ich greife nichts an und melde mich nirgends an.
- $sicherheits-check betrieb-beispiel.at
- !1. WordPress 6.2 im Quelltext, zwei Plugins mit bekannter Lücke
- !2. Sicherung backup-2025.zip im Webroot abrufbar
- !3. DMARC fehlt – Absender fälschbar
- ✓TLS 1.2 und 1.3, Zertifikat gültig bis 03/2027
- ✓HTTPS erzwungen, HSTS gesetzt
- =Sechs Befunde, zwei davon dringend
Kostenloser Website-Security-Check oder Sicherheits-Check von Hand?
Auf dieser Website gibt es beides. Die Werkzeuge beantworten eine Frage in Sekunden, der Check beantwortet die Frage dahinter: was davon dringend ist und wer es behebt.
| Merkmal | Kostenlose Werkzeuge | Sicherheits-Check (290 €) |
|---|---|---|
| Umfang | eine Adresse je Abruf | Website und E-Mail-Domain als Ganzes |
| Prüft | Security-Header, TLS, offene Ports (Security-Scan); SPF, DKIM, DMARC (E-Mail-Check) | dazu CMS-, Plugin- und Theme-Stand, offene Zugänge, liegen gebliebene Dateien, Drittdienste, DSGVO-Grundlagen |
| Ergebnis | Ampel je Prüfpunkt | Bericht nach Dringlichkeit, je Befund der nächste Schritt und wer ihn macht |
| Dauer | Sekunden | drei Werktage, dann 30 Minuten Besprechung |
| Preis | 0 €, ohne Anmeldung | 290 € Endpreis |
Fang mit dem Security-Scan und dem E-Mail-Check an. Sind beide grün, brauchst du den Check vielleicht nicht; sind sie rot, weißt du schon zwei Punkte des Berichts. Der Check lohnt sich, wenn du wissen willst, was hinter den Headern steht: welche Version dein CMS verrät, welche Plugins eine bekannte Lücke haben, welche Dateien im Webroot liegen, die dort niemand mehr vermutet.
Was im Sicherheits-Check geprüft wird
Sechs Teile, alle von außen. Das ist weniger als ein Penetrationstest und mehr als ein Fragebogen, und es deckt genau die Stellen ab, an denen die Messung unten am häufigsten Lücken zeigt.
Security-Header, TLS, Zertifikate
Welche Protokolle der Server anbietet, wie lange das Zertifikat gilt, ob HTTPS erzwungen ist, ob HSTS, Content-Security-Policy, Einbettungsschutz, Referrer-Policy und Permissions-Policy gesetzt sind und mit welchen Werten. Ein gesetzter Header mit wirkungslosem Wert zählt als fehlend.
CMS-, Plugin- und Theme-Stand
Welches System die Seite ausliefert, welche Version es im Quelltext nennt, welche Plugins und Themes erkennbar sind und ob für eine davon eine Schwachstelle veröffentlicht ist. Bei WordPress, Joomla und TYPO3 ist das der häufigste Weg hinein.
Offene Zugänge und Dateien
Anmeldeseiten ohne Schutz, Verzeichnisse, die ihren Inhalt auflisten, Sicherungen und Installationsreste im Webroot, .git-Ordner, Konfigurationsdateien. Ich rufe nur ab, was eine Suchmaschine auch abrufen würde.
E-Mail-Einträge: SPF, DKIM, DMARC
Ob jemand Rechnungen mit deiner Absenderadresse verschicken kann. Der Check stellt den Befund; die Einrichtung ist das eigene Paket E-Mail-Schutz, weil sie Wochen Beobachtung braucht.
Drittdienste und DSGVO-Grundlagen
Welche fremden Server die Seite beim ersten Aufruf kontaktiert: Schriften, Karten, Analyse, Pixel, Formulardienste. Ob ein Cookie-Banner da ist und ob er vor dem Laden hält, was er verspricht.
Bericht und 30 Minuten
Jeder Befund mit Dringlichkeit, Begründung und nächstem Schritt, geschrieben für den Hoster, deine Agentur oder dich. In der halben Stunde klären wir, was du selbst erledigst und was nicht. Gibst du mir zusätzlich einen Lesezugang, sehe ich mir Konten und Plugin-Liste auch von innen an; nötig ist das nicht.
221 Tiroler Startseiten, am 19.10.2026 von außen gemessen
Ich habe 246 Tiroler Domains aus zwei eigenen Listen abgerufen: 131 Arzt- und Zahnarztpraxen aus den Google-Ergebnissen vom 28.09.2026 und 115 Betriebe aus meiner Akquise-Liste vom 27.09.2026, darunter Hotels, Kanzleien, Handwerk und Agenturen. Je Domain ein Abruf der Startseite über HTTPS und einer über HTTP ohne Weiterleitung, keine Unterseiten, keine Anmeldeversuche. 221 lieferten eine Startseite aus. Fast die Hälfte davon setzt keinen einzigen Security-Header. Namen stehen hier keine.
| Befund | Anzahl | Anteil |
|---|---|---|
| Keiner der sechs Security-Header gesetzt | 106 von 221 | 48 % |
| Alle sechs gesetzt | 4 von 221 | 2 % |
| Ohne HSTS | 155 von 221 | 70 % |
| Ohne Content-Security-Policy | 202 von 221 | 91 % |
| WordPress erkennbar | 79 von 221 | 36 % |
| … davon mit WordPress-Version im Quelltext | 69 von 79 | 87 % |
| PHP-Version im Antwort-Header sichtbar | 29 von 221 | 13 % |
| … davon PHP 8.0 oder älter, ohne Sicherheitsupdates | 12 von 29 | 41 % |
| Webserver mit Versionsnummer, dreimal Apache 2.2.22 | 8 von 221 | 4 % |
Skripte oder Bilder über http:// eingebunden | 24 von 221 | 11 % |
| HTTP leitet nicht auf HTTPS weiter | 45 von 239 | 19 % |
| Zertifikatsfehler beim Abruf | 10 von 246 | 4 % |
Gezählt ist, was der Server in der ersten Antwort ausliefert. Was ein Skript später nachlädt, sieht die Messung nicht; die Zahlen sind also eher zu gut als zu schlecht. Im September lag der Anteil ohne einen einzigen Header bei 131 anderen Tiroler Websites bei 37 % (Messung auf der Cybersecurity-Seite); die Praxen ziehen den Schnitt hier nach unten, dort fehlten bei 70 von 118 Startseiten alle sechs Header.
Die Hälfte ohne einen Header
Ohne Einbettungsschutz lässt sich die Seite in einer fremden Seite anzeigen und überlagern, ohne Referrer-Policy wandert die aufgerufene Adresse an jeden Drittserver, ohne HSTS reicht ein offenes WLAN für den ersten unverschlüsselten Abruf. Jeder Header ist eine Zeile Konfiguration; die Startwerte stehen in Security-Header einrichten.
PHP, das keine Updates mehr bekommt
29 Server nennen ihre PHP-Version im Header, zwölf davon 8.0 oder älter, drei sogar 5.6. Für PHP 7.4 gibt es laut php.net seit 28.11.2022 keine Sicherheitsupdates mehr, für 8.0 seit 26.11.2023. Wer die Version nennt, sagt Angreifern damit, welche Lücken offen sind. Wie du umstellst: PHP-Version bei WordPress.
WordPress mit Versionsschild
69 von 79 WordPress-Startseiten nennen ihre Version, über den generator-Tag oder die ?ver=-Anhänge der Skripte. Fünf davon stehen auf 6.2 oder älter, zwei auf 4.9 aus dem Jahr 2017. Ob die Version aktuell ist, prüfst du selbst mit WordPress-Version prüfen; der Check sagt dir dazu, welche Plugins es sind.
Was der Sicherheits-Check nicht ist, und was andere dafür verlangen
Ein Sicherheits-Check für 290 € ist kein Penetrationstest, und ich nenne ihn auch nicht so. Ein Penetrationstest ist ein beauftragter Angriff und kostet in Österreich laut Anbieterangaben 2.000 bis 15.000 €, bei Tagessätzen von 900 bis 1.800 € netto. Automatisierte Schwachstellenscans gibt es im Abo ab 49 € im Monat, einen externen Perimeter-Check nennt ein Anbieter aus Krems ab 490 €, einen KMU-Quickcheck für 890 €. Ein Wiener Anbieter schreibt auf seiner eigenen Preisseite: Angebote unter 1.000 € sind keine Penetrationstests. Alle Quellen, gelesen am 11.10.2026, stehen in Penetrationstest oder Sicherheits-Check?
Kein Angriff
Ich probiere keine Passwörter, schicke nichts in Formulare und nutze keine Lücke aus, auch nicht zur Demonstration. Was ich sehe, sieht jede Suchmaschine auch. Wer einen echten Test braucht, bekommt von mir eine Empfehlung, wer das hauptberuflich macht, und einen Bericht, mit dem dort keine Tage für Grundlagen draufgehen.
Kein internes Netz
Firewall, Server im Büro, Telefonanlage, Arbeitsplätze: nicht Teil des Checks. Für einen Betrieb mit fünf bis dreißig Leuten, einer Website und Postfächern bei einem Anbieter ist das, was draußen offensteht, trotzdem meist der ganze Angriffsweg.
Keine Forensik
Ist die Seite schon gehackt, kommt kein Check mehr zuerst, sondern die Reihenfolge aus Cyberangriff: die ersten 24 Stunden. Bei WordPress übernehme ich die Bereinigung ab 290 €, Preis nach kostenloser Ersteinschätzung und vorab fix.
So läuft der Sicherheits-Check
- Du schickst mir die Adresse Die Website, die E-Mail-Domain, falls sie eine andere ist, und ob WordPress im Spiel ist. Zugänge brauche ich keine, einen Lesezugang nehme ich, wenn du ihn geben willst.
- Drei Werktage Messung Von außen, passiv, mit denselben Werkzeugen wie oben und von Hand nachgesehen. Finde ich etwas Dringendes, etwa eine abrufbare Sicherung, rufe ich sofort an und warte nicht auf den Bericht.
- Bericht nach Dringlichkeit Jeder Befund mit Begründung und nächstem Schritt, in einer Sprache, mit der du zum Hoster oder zu deiner Agentur gehen kannst. Oben steht, was heute erledigt gehört, unten, was warten kann.
- 30 Minuten Besprechung Per Video oder Telefon. Was du selbst machst, was ich übernehme, wofür du jemand anderen brauchst. Nichts davon ist Bedingung für den Check.
Das Paket
Sicherheits-Check Der Einstieg
290 €einmalig
Ergebnis in 3 Werktagen
- Security-Header, TLS-Konfiguration und Zertifikate
- CMS-, Plugin- und Theme-Stand mit bekannten Schwachstellen
- Offene Admin-Zugänge, liegen gebliebene Dateien, Backups im Webroot
- E-Mail-Einträge: SPF, DKIM, DMARC
- Drittdienste und DSGVO-Grundlagen: Schriften, Tracking, Cookie-Banner
- Bericht nach Dringlichkeit sortiert, 30 Minuten Besprechung
Danach: E-Mail-Schutz, 390 €
Wenn SPF, DKIM und DMARC fehlen oder auf p=none stehen: Einrichtung beim bestehenden Anbieter, schrittweise bis reject, vier Wochen Auswertung. Ablauf und Befunde
Danach: Wartung & Überwachung, 49 € im Monat
Wenn WordPress niemand pflegt: Updates vorher getestet, tägliche Sicherungen außerhalb des Servers, Überwachung von Erreichbarkeit, Zertifikat und DMARC. Was die Wartung umfasst
Schon passiert: Bereinigung ab 290 €
Bei einer gehackten WordPress-Seite zuerst die WordPress-Bereinigung, Preis nach kostenloser Ersteinschätzung. Bei anderen Systemen nach Aufwand, 60 € pro Stunde, mit abgesprochenem Rahmen.
Alle Preise sind Endpreise, inklusive aller Abgaben. Der Check ist keine Voraussetzung für die anderen Pakete, und die anderen Pakete sind keine Folge des Checks; der Bericht sagt auch, wenn nichts weiter nötig ist.
Stefan Haun, IT-Sicherheit aus Stummerberg
Softwareentwickler in Stummerberg, HTL Jenbach (Wirtschaftsingenieurwesen). Seit September 2026 messe ich Tiroler Domains von außen, zuletzt 311 für die DMARC-Studie Tirol 2026, und betreibe meine eigenen Websites mit genau den Headern und Einträgen, die ich hier prüfe. Wie sie stehen, siehst du unter Cybersecurity.
Kundenreferenzen für den Check kann ich dir noch keine zeigen, darum steht hier keine. Was ich anbiete, ist eine klar abgegrenzte Messung zum Festpreis mit einem Bericht, den du auch ohne mich umsetzen kannst.
- Ort
- Stummerberg, Tirol, Österreich
- Ausbildung
- HTL Jenbach, Wirtschaftsingenieurwesen
- Zusammenarbeit
- per Video und Telefon in Österreich, Deutschland und der Schweiz, im Bezirk Schwaz auch vor Ort
Offener Code auf GitHub
- cannibalization-checker Findet Keyword-Kannibalisierung in Search-Console-Daten
- content-decay-tracker Findet Seiten, die organischen Traffic verlieren
- topical-authority-checker Gruppiert Suchanfragen zu Themen-Clustern
Häufige Fragen zum Website-Sicherheitscheck
Was kostet ein Website-Sicherheitscheck?
Bei mir 290 € als Endpreis, Ergebnis in drei Werktagen. Die meisten Anbieter nennen für einen „Sicherheitscheck“ keinen Preis, weil das Wort alles heißen kann, vom Fragebogen bis zum mehrwöchigen Penetrationstest für 2.000 bis 15.000 €. Vergleichbar wird ein Angebot erst, wenn dabeisteht, was geprüft wird und was nicht.
Brauchst du Zugang zu meiner Website oder zum Server?
Nein. Der Check ist eine Messung von außen, so wie ein Angreifer oder eine Suchmaschine die Seite sieht. Einen Lesezugang zu WordPress nehme ich, wenn du ihn geben willst, um Konten und Plugin-Liste auch von innen zu sehen; danach entziehst du ihn wieder.
Geht das auch bei Wix, Jimdo oder einer handgebauten Seite?
Ja. Header, TLS, Drittdienste und E-Mail-Einträge gibt es bei jedem System. Der Teil zu Plugins und Versionen fällt bei Baukästen weg, weil der Anbieter die Technik pflegt; dafür steht im Bericht, was du im Baukasten selbst einstellen kannst und was nicht.
Was ist der Unterschied zum kostenlosen Security-Scan?
Der Security-Scan prüft für eine Adresse Header, TLS und offene Ports und zeigt eine Ampel. Der Check sieht sich die Website als Ganzes an, dazu CMS- und Plugin-Stand, offene Dateien und Zugänge, Drittdienste und E-Mail-Einträge, und sagt zu jedem Befund, wie dringend er ist und wer ihn behebt.
Ist der Sicherheits-Check ein Penetrationstest?
Nein. Ein Penetrationstest greift an, der Check misst. Wer einen Penetrationstest braucht, bekommt von mir eine Empfehlung, wer ihn kann, und den Bericht als Vorarbeit. Was beides kostet und wann ein Betrieb welches braucht, steht in Penetrationstest oder Sicherheits-Check?
Wie oft sollte man eine Website auf Sicherheit prüfen?
Einmal gründlich, dann nach jeder größeren Änderung: neues Theme, neuer Hoster, neues Buchungssystem. Wer das nicht im Kopf behalten will, nimmt die Wartung & Überwachung für 49 € im Monat, dort laufen Updates und Überwachung durch.
Was, wenn die Seite schon gehackt ist?
Dann kein Check, sondern zuerst Schadensbegrenzung: Zugänge sperren, Hoster informieren, Sicherung sichern. Die Reihenfolge steht in WordPress gehackt: was tun. Die Bereinigung übernehme ich ab 290 €, Preis nach kostenloser Ersteinschätzung; der Check kommt danach, damit es nicht wieder passiert.
Schick mir die Adresse deiner Website.
Ich sage dir vorab, ob die kostenlosen Werkzeuge schon reichen oder ob sich der Check lohnt. Auch wenn die Antwort nein ist.