Ist meine Website sicher? So prüfen Sie es selbst in 15 Minuten

Ganz ohne Risiko ist keine Website. Die häufigsten Probleme finden Sie aber in etwa 15 Minuten selbst, mit Browser und Handy und ohne Technikwissen: ob die Verbindung verschlüsselt ist, ob es Spuren eines Hacks gibt, wer Zugang zu Ihrer Website hat, ob die Software aktuell ist und ob Kundendaten ohne Anmeldung sichtbar sind. Was ein Browser nicht zeigen kann, klärt ein fertiger Text, den Sie Ihrem Entwickler oder Ihrem KI-Werkzeug schicken.

Was „sicher“ bei einer kleinen Website bedeutet

Diese Anleitung ist für Inhaber kleiner Firmen, Selbstständige und alle, die ihre Seite mit einem Baukasten wie Wix oder Jimdo, mit WordPress oder mit einem KI-Werkzeug wie Lovable, Bolt oder Cursor gebaut haben. Um Geheimdienste geht es dabei selten, sondern um ganz praktische Fragen:

• Die Verbindung ist verschlüsselt. Was Besucher in ein Formular tippen, kann unterwegs niemand mitlesen. Das erkennen Sie an https:// vor der Adresse: HTTPS ist die verschlüsselte Form der Verbindung.
• Nur Sie kommen hinein. Niemand sonst hat Zugang zum Hosting, zum Baukasten-Konto oder zum Admin-Bereich – auch nicht die Agentur von vor drei Jahren.
• Die Software ist aktuell. Veraltete Programme und Erweiterungen, bei WordPress also Plugins und Themes, sind ein bekannter Weg, über den Angreifer in Websites gelangen.
• Kundendaten bleiben privat. Anfragen, Bestellungen und Nutzerkonten sind für Fremde nicht lesbar.
• Niemand missbraucht Ihren Namen. Weder für versteckte Spam-Seiten auf Ihrer Domain noch für gefälschte E-Mails mit Ihrer Absenderadresse.

Viele Angriffe auf kleine Websites laufen automatisch: Programme durchkämmen das Internet nach bekannten Schwachstellen. Ob Ihre Seite „interessant genug“ ist, spielt also keine Rolle. Gefunden wird, was offen steht.

Der Check: acht Schritte mit Browser und Handy

Prüfen Sie die echte Adresse Ihrer Website, nicht einen Vorschau-Link aus dem Baukasten.

1. Schloss und HTTPS prüfen. Öffnen Sie Ihre Seite in Chrome, Safari, Edge oder Firefox und schauen Sie links neben die Adresse. Steht dort „Nicht sicher“ oder erscheint eine ganze Warnseite, fehlt die Verschlüsselung oder das Zertifikat ist abgelaufen. Ursachen und Lösung finden Sie unter Website wird als „Nicht sicher“ angezeigt. Tippen Sie außerdem Ihre Adresse mit http:// (ohne „s“) ein und klicken Sie danach in die Adresszeile, damit der Anfang der Adresse sichtbar wird: Dort sollte jetzt https:// stehen.
2. Nach Spuren eines Hacks suchen. Geben Sie bei Google site:ihre-domain.de ein, mit Ihrer eigenen Domain. Sie sehen dann, welche Seiten Ihrer Website Google kennt. Tauchen Seiten auf, die Sie nie angelegt haben – Casino, Medikamente, fremde Sprachen –, ist das ein typisches Zeichen für einen Hack. Prüfen Sie zusätzlich bei Google Safe Browsing, ob Google Ihre Website derzeit als gefährlich einstuft. Wenn Sie die Google Search Console nutzen, schauen Sie dort außerdem in den Bericht „Sicherheitsprobleme“.
3. Die Seite wie ein Fremder ansehen. Öffnen Sie sie in einem privaten Fenster: in Chrome „Neues Inkognitofenster“, in Safari und Firefox „Neues privates Fenster“, in Edge „Neues InPrivate-Fenster“. Dort sind Sie nirgends angemeldet. Hat Ihre Seite einen Kundenbereich, ein Dashboard oder einen Admin-Bereich? Tippen Sie die Adresse einer Seite ein, die nur angemeldete Nutzer sehen sollen. Sie sollten auf der Anmeldeseite landen. Sehen Sie stattdessen Daten, ist das ein ernstes Problem. Achten Sie dabei auch auf den Cookie-Banner: Ob er Google Analytics und andere Tracker wirklich zurückhält, zeigt die Anleitung Cookie-Banner prüfen.
4. Auf dem Handy über mobile Daten testen. Schalten Sie das WLAN aus und öffnen Sie die Seite. Werden Sie irgendwohin weitergeleitet, erscheint fremde Werbung, öffnen sich unbekannte Pop-ups? Manche Hacks zeigen sich nur Besuchern, die nicht angemeldet sind oder über Google kommen. Außerdem zeigt ein fremdes Gerät Zertifikatswarnungen, die Sie auf Ihrem Computer vielleicht schon einmal weggeklickt haben.
5. Zugänge aufräumen. Machen Sie eine Liste: Domain, Hosting, Baukasten oder WordPress, E-Mail, bei KI-Apps auch Lovable, Supabase oder Vercel. Wer hat dort ein Konto? Löschen Sie Zugänge ehemaliger Mitarbeiter, Agenturen und Freelancer. Schalten Sie überall die Zwei-Faktor-Authentifizierung ein, also Passwort plus Code aus einer App oder per SMS. Das BSI empfiehlt sie, sobald ein Dienst sie anbietet. Prüfen Sie bei der Gelegenheit, ob sich die Domain automatisch verlängert und die hinterlegte Zahlungsart noch gilt.
6. Geleakte Passwörter prüfen. Geben Sie die E-Mail-Adresse, mit der Sie sich bei Hosting und Admin-Bereich anmelden, beim Identity Leak Checker des Hasso-Plattner-Instituts ein. Taucht sie in einem Datenleck auf, ändern Sie die Passwörter der betroffenen Zugänge – und nutzen Sie für jeden Dienst ein eigenes Passwort.
7. Updates nachsehen. Bei WordPress: Dashboard → „Aktualisierungen“. Wartet dort etwas seit Monaten? Gibt es Plugins, die Sie gar nicht mehr nutzen? Die gehören gelöscht, nicht nur deaktiviert. Bei Baukästen wie Wix oder Jimdo kümmert sich der Anbieter um die Software; dieser Schritt entfällt.
8. Sicherheits-Header testen. Header sind kurze Anweisungen, die Ihr Server mit jeder Seite an den Browser schickt, zum Beispiel „lade mich nur verschlüsselt“ oder „lass mich nicht in fremde Seiten einbetten“. Geben Sie Ihre Adresse beim HTTP Observatory von Mozilla ein. Sie bekommen eine Note von A+ bis F. Eine schlechte Note ist kein Grund zur Panik, meist fehlt nur eine kleine Einstellung beim Hosting. Eine gute Note heißt umgekehrt nicht, dass die Website sicher ist. Sie ist ein Hinweis unter mehreren.

Sieht alles gut aus, haben Sie die sichtbarsten Probleme ausgeschlossen. Das ist ein guter Anfang, aber noch nicht alles.

Was Sie nicht selbst sehen können

Einiges liegt unter der Oberfläche. Dafür braucht es jemanden, der in den Code, die Datenbank oder die Einstellungen schaut:

• Geheime Schlüssel im Code. Viele Apps sprechen mit Diensten wie OpenAI, Stripe oder Supabase. Dafür gibt es Schlüssel, eine Art Passwort für diese Dienste. Landet ein geheimer Schlüssel im Code, den jeder Besucher herunterlädt, kann ihn jeder kopieren und auf Ihre Rechnung nutzen.
• Offene Datenbanken. Bei Apps mit Supabase entscheidet eine Einstellung namens „Row Level Security“, wer welche Daten lesen darf. Ist sie aus, kann unter Umständen jeder die Tabellen lesen.
• Sicherungen. Gibt es eine Kopie Ihrer Website und Ihrer Daten, wo liegt sie, und hat schon einmal jemand sie zurückgespielt? Ein Backup, das nie getestet wurde, ist eine Hoffnung, keine Sicherung.

Dazu kommt Ihre E-Mail: Ohne zwei bestimmte Einträge in den Domain-Einstellungen (sie heißen SPF und DMARC) kann jeder E-Mails verschicken, die so aussehen, als kämen sie von Ihrer Domain – etwa eine gefälschte Rechnung an Ihre Kunden.

Prüfen Sie auf keinen Fall fremde Websites mit Hacker-Werkzeugen, und Ihre eigene nur nach Absprache mit Ihrem Hoster. Für eine echte Tiefenprüfung, einen sogenannten Penetrationstest, beauftragen Sie eine darauf spezialisierte Firma.

Text für Ihren Entwickler oder Ihre KI

Schicken Sie diesen Text an die Person, die Ihre Website betreut, oder fügen Sie ihn in Lovable, Bolt, Cursor oder ChatGPT ein. Er fragt nach Ja oder Nein, damit Sie die Antwort verstehen:

Bitte prüfe meine Website https://ihre-domain.de und beantworte jeden
Punkt in einfachen Worten: Ja oder Nein und ein Satz dazu. Ändere noch
nichts, sag mir zuerst, was du gefunden hast.

- Läuft jede Seite über https://, und leitet http:// auf https:// weiter?
- Steht ein geheimer Schlüssel (Zahlungen, KI, E-Mail-Versand, Supabase
  service_role) im Code, der im Browser der Besucher läuft? Wenn ja:
  welcher und wo?
- Kann ein nicht angemeldeter Besucher oder ein Kunde Daten lesen, die
  jemand anderem gehören? Ist bei allen Supabase-Tabellen Row Level
  Security aktiv? Wie hast du das getestet?
- Welche Sicherheits-Header sendet der Server, und welche fehlen?
- Hat die Domain SPF- und DMARC-Einträge?
- Sind WordPress, Theme und alle Plugins aktuell? Welche Plugins werden
  nicht genutzt und können weg?
- Ist die Zwei-Faktor-Authentifizierung für Hosting, Domain, Datenbank
  und Code-Konten eingeschaltet?
- Gibt es ein Backup von Website und Daten, und hat schon einmal jemand
  getestet, ob es sich zurückspielen lässt?
- Verlängern sich Domain und SSL-Zertifikat automatisch?

Haben Sie den Verdacht, dass Ihre Seite gehackt wurde (Schritt 2 oder 4), wenden Sie sich zuerst an Ihren Hoster. Ändern Sie alle Passwörter, aber löschen Sie nichts auf eigene Faust: Die Spuren helfen herauszufinden, wie der Angreifer hereingekommen ist.

Was Sie zuerst beheben sollten

Haben Sie mehrere Probleme gefunden, ist diese Reihenfolge sinnvoll – von „kostet heute Kunden oder Geld“ bis „sollte diesen Monat erledigt sein“:

• Eine Warnseite oder „Nicht sicher“. Besucher sehen das, bevor sie Ihr Angebot sehen.
• Ein geheimer Schlüssel im öffentlichen Code. Jeder kann ihn kopieren und auf Ihre Kosten nutzen oder damit Daten lesen. Der Schlüssel muss gesperrt und ersetzt werden; ihn nur zu verstecken reicht nicht.
• Kundendaten, die Fremde sehen können. Daraus kann eine Datenpanne werden, die Sie nach der DSGVO unter Umständen innerhalb von 72 Stunden der Datenschutzaufsicht melden müssen. Das ist keine Rechtsberatung; im Zweifel fragen Sie Ihre Datenschutzberatung.
• Zugänge ohne Zwei-Faktor-Authentifizierung und veraltete Plugins. Ein einziges geleaktes Passwort oder eine bekannte Lücke reicht, um die Website zu verlieren.
• Fehlende Header und Cookie-Einstellungen. Meist eine kurze Änderung, die ganze Arten von Angriffen verhindert.

Fragen Sie bei jeder Korrektur auch, wie man prüft, ob sie wirkt. Erledigt ist sie erst, wenn diese Prüfung klappt – nicht, wenn jemand sagt, dass sie erledigt ist.

Regelmäßig prüfen, ohne alles von Hand zu machen

Ein Check wie dieser ist eine Momentaufnahme. Das nächste Update, ein neues Plugin oder ein weiterer Prompt an Ihr KI-Werkzeug kann eine Korrektur rückgängig machen, ohne dass es jemand merkt.

Den äußeren Teil dieser Liste übernimmt die kostenlose Prüfung von ScanYourSite: ohne Anmeldung, das Ergebnis kommt in etwa einer Minute. Geben Sie Ihre Adresse ein oder öffnen Sie https://scanyoursite.app/de?check=ihre-domain.de mit Ihrer Domain. Der Link trägt die Adresse nur ins Feld ein; die Prüfung starten Sie selbst. Sie sieht Ihre Seite so, wie ein Browser sie sieht, meldet sich nirgends an, schickt keine Formulare ab und probiert keine Passwörter aus. Sie prüft unter anderem:

• ob die Seite auf HTTPS weiterleitet und ob das Zertifikat gültig ist oder bald abläuft;
• welche Sicherheits-Header fehlen;
• ob in den JavaScript-Dateien Ihrer Seite geheime Schlüssel bekannter Dienste stehen (Funde zeigt sie nur gekürzt an);
• ob Ihre Domain SPF- und DMARC-Einträge gegen gefälschte E-Mails hat;
• wann die Domain selbst ausläuft, sofern die Registrierungsstelle das Datum veröffentlicht. Bei .com ist das so, bei .de, .at und .ch nicht – dort prüfen Sie die automatische Verlängerung wie in Schritt 5 bei Ihrem Anbieter;
• ob Tracker laufen, ohne dass ein bekanntes Einwilligungs-Tool erkannt wird, und ob die Seite auf eine Datenschutzerklärung und auf Impressum oder AGB verlinkt.

Den Cookie-Banner klickt sie nicht an. Ob ein Nein die Tracker wirklich stoppt, zeigt deshalb nur der Test aus Schritt 3.

Im Bericht stehen alle Funde mit ihrer Dringlichkeit. In der kostenlosen Version erklärt er die drei wichtigsten ausführlich: was sie bedeuten, wie Sie sie beheben, dazu ein Text, den Sie in Ihr KI-Werkzeug einfügen können. Pro erklärt alle.

Mit einem kostenlosen Konto wird eine Website einmal pro Woche geprüft, mit einer Zusammenfassung per E-Mail und einer Warnung, bevor das Zertifikat abläuft. Pro kostet 19 € im Monat für drei Websites: tägliche Prüfung, Erreichbarkeit alle fünf Minuten, eine Prüfung wenige Minuten nach jeder neuen Version (lädt die Seite, ist kein geheimer Schlüssel nach außen gelangt?) und eine sofortige Nachricht, wenn etwas Neues kaputtgeht.

Ob Supabase-Tabellen offen sind oder ob Dateien wie .env (dort stehen oft geheime Einstellungen) öffentlich abrufbar sind, prüft ScanYourSite nur bei Pro und erst, nachdem Sie bestätigt haben, dass die Domain Ihnen gehört. Bei den Tabellen zählt die Prüfung nur ungefähr, wie viele Zeilen ein Fremder lesen könnte; den Inhalt liest sie nicht.

Einen Penetrationstest ersetzt das nicht. Wer Zahlungen selbst abwickelt oder sensible Daten wie Gesundheitsdaten speichert, braucht eine professionelle Prüfung. Für alle anderen heißt es: Von einem Problem erfahren Sie durch eine Prüfung, nicht durch einen Kunden.