Prüfpunkte

So sieht ein Befund aus

Ein Befund ist eine Stelle, an der etwas fehlt oder auffällt. Jeder Befund in der Antwort hat diese Form.

{
  "id": "code.secret.supabase_service_role",
  "sev": "warn",
  "critical": true,
  "label": "Supabase-Generalschlüssel öffentlich (service_role, 1×)",
  "why": "Mit diesem Schlüssel lässt sich die komplette Datenbank lesen, ändern und löschen. …"
}

Ein Befund bedeutet immer „möglicherweise betroffen“. Bewiesen ist damit nichts, denn wir lesen nur, was jeder Besucher sieht. Bei Schlüsseln nennen wir Art und Fundstelle und zeigen den Wert nur gekürzt, etwa sk_live_…9f2A. Den vollständigen Wert geben wir nie aus.

Gesperrter Befund

Ohne bezahlten Plan sind nur 2 Befunde vollständig. Die übrigen stehen an ihrer Stelle in der Liste, aber nur mit Stufe und locked: true. Prüfen Sie locked, bevor Ihr Code auf id verzweigt. Vollständige Berichte gibt es ab Business, siehe Gekürzte Berichte.

{
  "sev": "info",
  "label": "",
  "locked": true
}

Verschlüsselung und Zertifikat

Ob Ihre Seite verschlüsselt erreichbar ist und das Zertifikat gilt, also das Schloss im Browser. Fehlt eines davon, können Dritte mitlesen oder Besucher sehen eine Warnseite. Befunde stehen in findings.https und findings.tls.

Schutz-Einstellungen für den Browser

Hausregeln, die Ihr Server dem Browser bei jedem Aufruf mitgibt, etwa: keine fremden Skripte ausführen. Fehlen sie, führt der Browser auch eingeschleusten Code aus. Befunde stehen in findings.headers.

Schutz gegen gefälschte Mails

Ob ein Eintrag bei Ihrem Domain-Anbieter festlegt, wer Mails in Ihrem Namen senden darf. Ohne ihn kommen gefälschte Rechnungen mit Ihrer Absenderadresse leichter durch. Befunde stehen in findings.email.

Domain und DNS

Öffentliche Einträge Ihrer Domain: ob eine verwaiste Weiterleitung Fremden Ihre Adresse überlässt, wer Zertifikate ausstellen darf, ob DNSSEC aktiv ist und wohin Sicherheitsforscher Lücken melden. Befunde stehen in findings.dns.

Veraltete Software

Bausteine Ihrer Seite in Versionen, für die Sicherheitslücken öffentlich bekannt sind. Befunde stehen in findings.versions.

Quelltext und JavaScript-Dateien

Was jeder Besucher im Quelltext und in den JavaScript-Dateien Ihrer App lesen kann, zum Beispiel Schlüssel für Datenbank, KI-Dienste oder Zahlungen. Befunde stehen in findings.exposure.

Datenschutz (DSGVO)

Typische Datenschutz-Fehler, die sich von außen belegen lassen und in Deutschland oft abgemahnt werden: Google Fonts von Google-Servern, Tracking vor der Einwilligung, eingebettete Inhalte und fehlende Pflichtlinks. Keine Rechtsberatung. Befunde stehen in findings.privacy.

Cookies

Ob die Cookies Ihrer Seite vor Mitlesen und fremden Skripten geschützt sind. Befunde stehen in findings.cookies.

Zuordnung zu Standards

Jede Prüfung ist anerkannten Standards zugeordnet. So lässt sich ein Befund in Audits, für NIS2 oder gegenüber Prüfern einordnen. Die Zuordnung steht in der Tabelle oben, im PDF-Bericht bei jedem Befund und in der API im Feld standards. Sie ist unsere Einordnung und keine Zertifizierung.

• CWE (MITRE): die Art der Schwachstelle. Wir nutzen nur Kennungen, die MITRE für die Zuordnung freigibt. Gibt es keine passende, bleibt das Feld leer.
• OWASP Top 10:2025: die Kategorie ergibt sich aus der offiziellen CWE-Liste je Kategorie. Nur bei Prüfungen ohne CWE ordnen wir selbst ein, dann fast immer A02 (Fehlkonfiguration).
• OWASP ASVS 5.0.0: die Anforderung, die der Befund verletzt, etwa V3.4.1 für HSTS.
• BSI IT-Grundschutz (Kompendium Edition 2023): der Baustein, etwa APP.3.1 Webanwendungen und Webservices, dazu die Technischen Richtlinien TR-03116-4 (TLS) und TR-03108 (E-Mail-Transport).
• Recht: beim Datenschutz die Vorschrift, etwa § 25 TDDDG oder Art. 13 DSGVO. Keine Rechtsberatung.

Wir verweisen nur auf Kennungen und schreiben die Texte selbst. OWASP veröffentlicht ASVS und Top 10 unter CC BY-SA 4.0, CWE stammt von MITRE.

Was wir nie tun

Der Check bleibt an der Oberfläche. Er lädt die Seite und die JavaScript-Dateien, die sie selbst einbindet, nur von derselben Domain. Diese Dinge macht er nie, egal wie die Anfrage lautet.

• Versteckte Pfade ausprobieren oder Dateien wie .env abrufen
• Dateien laden, die Ihre Seite nicht selbst einbindet oder abruft (außer der öffentlichen Datei /.well-known/security.txt), oder Skripte von fremden Domains lesen
• Offene Ports suchen (Port-Scan)
• Formulare absenden oder Angriffs-Code schicken
• Uns anmelden oder gefundene Schlüssel benutzen
• Vollständige Werte gefundener Schlüssel anzeigen oder speichern
• Interne oder private Adressen prüfen

Mehr dazu im Hilfe-Artikel Was wir nicht prüfen.