Schwachstellenanalyse für Websites

Was eine Schwachstellenanalyse ist

Bei einer Schwachstellenanalyse wird deine Website auf bekannte Schwächen untersucht. Dazu zählen veraltete Software, fehlende Schutzeinstellungen und offene Konfigurationsfehler. Das Ergebnis ist eine Liste von Befunden, die du nach Dringlichkeit abarbeitest.

Der Begriff ist nicht einheitlich festgelegt. Anbieter meinen damit Verschiedenes. Frage deshalb immer nach, wie geprüft wird und was nicht dazugehört.

Drei Arten der Prüfung im Vergleich

Passiver Check von außen. Er liest nur öffentlich abrufbare Informationen, etwa die HTTPS-Verbindung, Sicherheits-Header, sichtbare Versionen und öffentliche DNS-Einträge. Es gibt keine Angriffe und keine Lasttests. Der Webriegel-Check und der Kurzcheck arbeiten so. Er sieht nur, was von außen sichtbar ist.

Automatischer Schwachstellenscanner. Er schickt viele aktive Anfragen an deine Website und gleicht die Antworten mit bekannten Schwächen ab. Setze ihn nur mit Auftrag und Erlaubnis des Betreibers ein. Bedenke, dass den Server meist dein Hoster betreibt. Binde ihn deshalb vorher ein. Das BSI weist in seinem Penetrationstest-Konzept darauf hin, dass Scanner die geprüften Systeme abstürzen lassen oder anderweitig beeinträchtigen können.

Penetrationstest. Hier versuchen Fachleute gezielt, in dein System einzudringen. Sie prüfen auch Abläufe wie Login oder Bestellung und das Zusammenspiel mehrerer Schwächen. Das geht tiefer und kostet mehr Aufwand. Er braucht einen schriftlichen Auftrag mit festgelegtem Umfang. Den Unterschied zum Check erklärt der Ratgeber zu Sicherheitscheck und Penetrationstest.

Ordne die Ergebnisse ein. Ein Scanner meldet auch Treffer, die sich bei näherem Hinsehen als harmlos erweisen. Ein unauffälliger Bericht belegt nicht, dass keine Schwachstelle existiert.

Woran du einen seriösen Anbieter erkennst

Bei aktiven Scans und Penetrationstests arbeitet er nur mit einem schriftlichen Auftrag. Darin steht, welche Adressen geprüft werden und was erlaubt ist. Wird dein Hosting von einem Dritten betrieben, fragt er auch dort nach. Das BSI nennt dafür in seinem Penetrationstest-Konzept eine schriftliche Genehmigung des Betreibers.

Er nennt den Umfang vorher und sagt, was nicht geprüft wird. Du bekommst einen Bericht, in dem jeder Befund eine Priorität und eine Empfehlung hat. Er verspricht keine vollständige Sicherheit. Eine Garantie kann keine Prüfung geben.

Lass dir zeigen, wie der Anbieter Auftrag, Umfang und die Zustimmung deines Hosters regelt.

Was du als Betrieb selbst prüfen kannst

Diese Punkte kannst du selbst oder gemeinsam mit deiner Webagentur oder IT-Betreuung ohne Scanner durchgehen. Jeder Ratgeber zeigt dir, worauf du achtest.

• CMS- und Plugin-Stand: WordPress-Plugins sicher halten
• PHP-Version prüfen
• HTTPS und SSL-Zertifikat prüfen
• Sicherheits-Header prüfen
• security.txt erstellen

Für die Einordnung der Risiken hilft die Liste OWASP Top 10 erklärt. Wann ein Penetrationstest nötig ist, steht im Ratgeber Sicherheitscheck oder Penetrationstest.

Quellen und Stand

Stand: 3. November 2026. Die Anleitung stützt sich auf diese Quelle.

• BSI: Durchführungskonzept für Penetrationstests, 2003 (PDF)

So läuft dein Check ab

Du fragst mit der Adresse deiner Website an. Dann bestätigst du den Auftrag und zeigst, dass du die Prüfung beauftragen darfst. Wir prüfen von außen, ohne Angriffe und ohne Lasttests. Du bekommst einen Bericht mit Prioritäten und einer Empfehlung zu jedem Befund.

Eine Garantie für vollständige Sicherheit kann keine Prüfung geben. Die Umsetzung kannst du nach dem Bericht gesondert anfragen.