Zum Inhalt

Website-Sicherheitscheck für Unternehmen

Deine Website hat möglicherweise mehr als nur eine PHP-Sicherheitslücke.

Beispiel einer Prüfung: Eine KI erstellt schnell eine Firmenwebsite mit Kontaktformular. Bei der Prüfung fallen vier Fragen auf. Werden Eingaben geprüft? Liegt ein geheimer Schlüssel offen im Browser? Ist die Datenbank vor fremdem Zugriff geschützt? Bekommt die PHP-Version noch Sicherheitsupdates?

Über uns

Wir sind zwei Informatikstudenten aus Heidelberg.

Wir haben es uns zur Aufgabe gemacht, kleine und mittlere Unternehmen in Deutschland, Österreich und der Schweiz besser vor Sicherheitsvorfällen zu schützen.

Porträt von Mikail Aslan

Mikail Aslan

Gründer und Geschäftsführer

Wir arbeiten jeden Tag mit KI und kennen die Werkzeuge, mit denen heute Websites entstehen. Deshalb wissen wir, wo schnell gebaute Websites Lücken lassen. Ältere Websites, etwa mit PHP oder WordPress, prüfen wir genauso.

Viele Firmen haben keine eigene IT-Abteilung. Ist die Website erst online, sieht oft niemand mehr nach. Da setzen wir an: verständlich, persönlich und nur mit deinem Auftrag.

Bei uns sprichst du direkt mit Mikail. Er bespricht auch deinen Bericht mit dir.

0151 2268 3564

Aus den Fachmedien

PHP war nur der Anfang: Eine veraltete Version ist längst nicht die einzige Sicherheitslücke.

Fachmedien berichten immer wieder über Lücken in PHP, angegriffene Plugins und unsicheren KI-Code. Auch deine Website kann mehr als nur eine Lücke haben.

Warum gerade jetzt

KI schreibt Code, der läuft. Er kann trotzdem Sicherheitslücken enthalten.

Mit Baukästen und KI-Werkzeugen entsteht schnell eine Website. Sie lädt und verschickt Formulare. Ob im Hintergrund Schlüssel offen liegen oder Kundendaten ungeschützt sind, siehst du ihr von außen nicht an.

Aktuell · 21. Oktober 2026

Zwei kritische PHP-Lücken geschlossen

Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Sicherheitslücken geschlossen. Ihre Kennnummern lauten CVE‑2026‑109618 und CVE‑2026‑109619. Über sie können Angreifer ohne Anmeldung Code auf dem Server ausführen.

Geschlossen sind die Lücken in den Versionen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. PHP 8.1 und älter erhalten vom PHP-Projekt keine Updates mehr. Einige Linux-Distributionen und Langzeit-Anbieter liefern aber eigene Korrekturen nach.

Mögliche Risiken

Was eine Sicherheitslücke für dein Geschäft bedeuten kann

Eine offene Lücke kann dich, deinen Ruf und deine Kunden treffen.

Prüfung

Website-Sicherheit prüfen: Das sehen wir uns an

Wir sehen uns deine Website von außen an, mit dem Blick eines Angreifers. Dabei gibt es keine Angriffe, und dein Betrieb läuft normal weiter.

Zu WordPress und PHP gibt es diese Ratgeber: WordPress-Sicherheitscheck, WordPress-Plugins sicher halten und PHP-Version prüfen.

Für deine E-Mails: SPF, DKIM und DMARC einrichten.

Weitere Grundlagen: Sicherheits-Header prüfen, HTTPS und SSL-Zertifikat prüfen, veraltete JavaScript-Bibliotheken, Website gehackt: Was tun?, OWASP Top 10 erklärt und security.txt erstellen.

Zum Überblick: Schwachstellenanalyse für Websites und IT-Sicherheitscheck für kleine Betriebe.

Der Ratgeber Sicherheitscheck oder Penetrationstest? erklärt, wann du aktive Tests brauchst.

Das Ergebnis

Ein verständlicher Bericht. Jeder Befund hat eine Priorität und eine klare Empfehlung, was zu tun ist.

  • HTTPS und Verschlüsselung

    Wir prüfen Zertifikat, Verschlüsselung der Verbindung (TLS) und Weiterleitungen.

  • Schutz-Header und Cookies

    Wir prüfen, welche Schutzregeln dein Server mitschickt, wie Cookies gesichert sind und ob Einträge wie „X-Powered-By“ deine Technik verraten.

  • Software und Versionen

    Wir gleichen dein System (etwa WordPress), Plugins und die PHP-Version mit bekannten Lücken ab.

  • Offene Dateien und Zugänge

    Wir suchen Sicherungskopien, Einstellungsdateien und Admin-Zugänge, die offen im Netz liegen können.

  • Formulare

    Wir sehen nach, ob deine Formulare Eingaben filtern, Spam abwehren und E-Mails sicher verschicken.

  • Geheime Schlüssel im Code

    Wir suchen Zugangsdaten und API-Schlüssel, die offen im Browser-Code stehen.

  • Schutz deiner Datenbank

    Bei Baukasten-Datenbanken wie Supabase oder Firebase prüfen wir die Zugriffsregeln, wenn du uns dafür Zugang gibst.

  • Schutz vor gefälschten E-Mails

    Wir prüfen die Einträge deiner Domain gegen gefälschte Absender: SPF, DKIM und DMARC.

Sicher für deinen laufenden Betrieb

Deine Website bleibt während der Prüfung normal erreichbar. Wir führen keine echten Angriffe (Penetrationstests) und keine Lasttests durch. Eine Garantie für vollständige Sicherheit kann keine Prüfung geben.

Musterbericht

So kann dein Bericht aussehen

Der Bericht ordnet jeden Punkt ein: Was wurde gesehen, was kann es bedeuten und was ist als Nächstes sinnvoll?

Nur ein synthetisches Beispiel

Alle hier genannten Befunde sind erfunden. Es gab keinen echten Scan und keinen echten Kunden.

Prüfbericht

Musterbetrieb Beispielwerk (fiktiv)

musterbetrieb.example

Synthetisches Beispiel

Erstellt als Muster durch AO Conversions. Die Befunde sind keine Aussage über eine reale Website oder ein Unternehmen.

  1. Content-Security-Policy-Header fehlt

    Befund
    In diesem erfundenen Beispiel sendet die Website keine CSP. Das ist eine Schutzregel für den Browser.
    Mögliche Auswirkung
    Ohne diese Regel kann der Browser fremden Code schlechter bremsen.
    Nächster Schritt
    Die CSP erst nur im Prüfmodus setzen. Dann die Meldungen lesen und die Regel enger stellen.
    Einordnung
    Eine CSP hilft, ersetzt aber keinen sauberen Code. Welche Regel passt, hängt von Skripten und Formularen ab.
  2. Veraltete Komponente im Beispiel

    Befund
    Im Beispiel nutzt die Seite einen Baustein, den der Hersteller nicht mehr pflegt.
    Mögliche Auswirkung
    Alte Bausteine bekommen keine Updates mehr. So können bekannte Lücken offen bleiben.
    Nächster Schritt
    Eine gepflegte Version wählen, sie testen und dann den alten Baustein tauschen.
    Einordnung
    Das Beispiel nennt mit Absicht keine Version und keine Lücke. Es gibt diese Website nicht.
  3. SPF-/DMARC-Konfiguration im Beispiel

    Befund
    Im Beispiel lässt SPF zu viele Absender zu. DMARC steht auf p=none und schaut nur zu.
    Mögliche Auswirkung
    Gefälschte Mails mit dem Namen der Firma kommen so noch durch.
    Nächster Schritt
    SPF auf die echten Mail-Dienste kürzen und DKIM prüfen. Dann DMARC nach und nach strenger stellen.
    Einordnung
    SPF und DMARC schützen nicht jede Mail. Was richtig ist, hängt davon ab, wie die Firma Mails verschickt.

Ablauf

So läuft die Prüfung ab

  1. Anfrage

    Du schickst uns die Adresse deiner Website. Wir melden uns innerhalb von 24 Stunden (werktags).

  2. Auftrag

    Du bestätigst den Auftrag schriftlich. Mit einem kurzen Eintrag in deiner Domain oder einer Datei zeigst du, dass die Website dir gehört.

  3. Prüfung

    Wir prüfen deine Website von außen und halten jeden Befund fest.

  4. Bericht

    Du bekommst einen verständlichen Bericht, nach Dringlichkeit sortiert und mit einer Empfehlung zu jedem Befund.

  5. Dranbleiben

    Auf Wunsch schließen wir die Lücken für dich, mit eigenem Angebot. Mit der laufenden Prüfung sehen wir nach dem Check jeden Monat wieder nach.

Preis

Was dein Website-Sicherheitscheck kostet

Erst prüfen wir deine Website einmal von außen. Danach kannst du sie für 19 € im Monat weiter prüfen lassen.

Website-Sicherheitscheck

200 €

einmalig, zzgl. USt.

Nur für Unternehmen (§ 14 BGB)

  • Prüfung aller Punkte aus dem Umfang
  • Verständlicher Bericht, nach Dringlichkeit sortiert
  • Klare Empfehlung zu jedem Befund
  • Bezahlung per Rechnung nach deinem Auftrag
Prüfung anfragen

Antwort innerhalb von 24 Stunden (werktags).

Nach dem Check

Laufende Prüfung

19 €

im Monat, zzgl. USt.

Ein Check zeigt den Stand von heute. Neue Lücken werden laufend bekannt, auch in Software, die bisher als sicher galt. Mit der laufenden Prüfung sehen wir jeden Monat wieder von außen nach. So kennst du jeden Monat den aktuellen Stand deiner Website.

  • Jeden Monat eine neue Prüfung von außen
  • Kurzer Bericht: was neu ist, was noch offen ist
  • Bei kritischen Befunden melden wir uns direkt
  • Monatlich per E-Mail kündbar, Zahlung per Rechnung
Mit dem Check anfragen

Prüfbericht

musterbetrieb.example

Beispiel

  • Hoch

    Die fiktive Erweiterung Formularbaustein wird im Beispiel nicht mehr gepflegt.

    Empfehlung: Sicherung erstellen, die Erweiterung in einer Testumgebung aktualisieren oder ersetzen und Funktionen prüfen.

  • Mittel

    Der Content-Security-Policy-Header fehlt im Beispiel.

    Empfehlung: Passende Schutzregeln zunächst im Report-Only-Modus testen und anschließend aktivieren.

  • Mittel

    SPF erlaubt zu viele Absender; DMARC überwacht mit p=none nur.

    Empfehlung: SPF begrenzen, DKIM-Signierung prüfen und DMARC nach Auswertung schrittweise verschärfen.

  • Manuell

    Eingabefilter und Versand des Beispielformulars bleiben ungeprüft.

    Empfehlung: Die serverseitige Verarbeitung mit schriftlicher Freigabe kontrollieren lassen.

Ausführlichen Musterbericht ansehen
Beispiel eines Prüfberichts zum Check mit vier erfundenen Befunden

Fragen

Häufige Fragen

Prüft ihr Websites auch ohne Auftrag?

Nein, nie. Wir prüfen nur mit deinem ausdrücklichen Auftrag. Dabei bestätigst du, dass dir die Website gehört oder du ihre Prüfung beauftragen darfst.

Gibt es einen kostenlosen Website-Check?

Ja. Kostenlose Tools prüfen einzelne Teile deiner Website von außen, etwa SSL und Schutz-Header. Der Webriegel-Check geht weiter: Wir prüfen auch Software-Versionen, offene Dateien, Formulare und Schlüssel im Browser-Code. Du bekommst einen Bericht mit Prioritäten und Empfehlungen. Wir prüfen nur mit deinem Auftrag.

Wie kann ich überprüfen, ob eine Website sicher ist?

Prüfe die verschlüsselte Verbindung, den Stand der Software und öffentlich erreichbare Dateien. Ein gültiges Zertifikat allein sagt noch nichts über die Sicherheit der ganzen Website aus. Beim Webriegel-Check sehen wir nach deinem Auftrag von außen nach bekannten Risiken und falschen Einstellungen. Eine Garantie für vollständige Sicherheit kann keine Prüfung geben.

Betrifft mich die PHP-Lücke vom 21. Oktober 2026?

Möglicherweise. Das ist der Fall, wenn deine Website mit PHP läuft und dein Server noch kein Update hat. Es hängt von der PHP-Version und deinem Hoster ab. Genau das klären wir in der Prüfung, nach deinem Auftrag.

Was braucht ihr von mir?

Die Adresse deiner Website und deinen Auftrag. Vor dem Start zeigst du uns, dass die Website dir gehört. Dafür reicht ein kurzer Eintrag in deiner Domain oder eine kleine Datei auf deinem Server. Wir schicken dir dafür eine einfache Anleitung. Sollen wir auch die Zugriffsregeln einer Baukasten-Datenbank wie Supabase oder Firebase prüfen, gibst du uns dafür einen Lesezugang.

Ist meine Website nach der Prüfung vollständig sicher?

Du erfährst, welche bekannten Risiken und falschen Einstellungen von außen sichtbar sind. Eine Garantie für vollständige Sicherheit kann keine Prüfung geben. Durch spätere Updates oder neue Funktionen können neue Lücken entstehen. Deshalb gibt es die laufende Prüfung: Wir sehen jeden Monat wieder nach.

Was bringt mir die laufende Prüfung für 19 € im Monat?

Neue Lücken werden laufend bekannt, etwa in PHP, WordPress oder Plugins. Deshalb prüfen wir deine Website nach dem Check jeden Monat erneut von außen. Du bekommst einen kurzen Bericht über neue und noch offene Punkte. Bei kritischen Befunden melden wir uns direkt bei dir. Du kannst die laufende Prüfung gleich mit dem Check oder später buchen und jederzeit per E-Mail zum Monatsende kündigen.

Funktioniert das für WordPress, Lovable, Webflow und eigenen Code?

Ja. Wir prüfen jede öffentlich erreichbare Website, egal womit sie gebaut ist. Im Bericht steht, welche Punkte wir bei deinem System genauer angesehen haben.

Was kostet es, die Lücken zu schließen?

Das hängt von den Befunden ab. Nach dem Bericht bekommst du auf Wunsch ein eigenes Angebot. Du entscheidest frei, wer die Empfehlungen umsetzt.

Wie geht ihr mit meinen Daten um?

Wir nutzen deine Angaben nur, um deine Anfrage zu beantworten und den Auftrag vorzubereiten. Wenn du uns beauftragst, nutzen wir sie auch für die Prüfung und den Bericht. Alle Einzelheiten stehen in der Datenschutzerklärung.

Für wen ist das Angebot?

Für Unternehmen im Sinne von § 14 BGB, also auch für Selbstständige und Freiberufler. Wir prüfen Websites von Firmen in Deutschland, Österreich und der Schweiz. Aufträge von Privatpersonen nehmen wir nicht an.

Wie läuft die Bezahlung?

Per Rechnung nach deinem Auftrag, zahlbar innerhalb von 14 Tagen per Überweisung oder per PayPal über den Zahlungslink in der Rechnung. Der Check kostet einmalig 200 € zuzüglich Umsatzsteuer. Die laufende Prüfung kostet 19 € im Monat zuzüglich Umsatzsteuer und wird monatlich im Voraus abgerechnet.

Anfrage

Prüfung anfragen

Trag die Adresse deiner Website ein. Mit der Anfrage beauftragst du noch nichts. Wir melden uns innerhalb von 24 Stunden (werktags) und schicken dir den Auftrag zur Bestätigung.

Lieber direkt mit Mikail sprechen?

Wir nutzen deine Angaben nur, um deine Anfrage zu beantworten und den Auftrag vorzubereiten. Wenn du uns beauftragst, nutzen wir sie auch für die Prüfung und den Bericht. Mehr dazu in der Datenschutzerklärung (öffnet in neuem Tab). Für Aufträge gelten unsere AGB (öffnet in neuem Tab).