Website-Sicherheit prüfen: 8 kostenlose Checks, die Sie selbst machen können

„Ist meine Website eigentlich sicher?“ Diese Frage lässt sich nicht mit einem einzigen Klick beantworten. Mit acht kostenlosen Checks kommen Sie in etwa einer halben Stunde aber ziemlich weit: Sie sehen, ob Ihre Software veraltet ist, ob Google vor Ihrer Website warnt, ob HTTPS sauber eingerichtet ist und ob sichtbare Schadsoftware auf der Seite steckt.

Dieser Artikel zeigt die Checks in der Reihenfolge, in der wir sie selbst machen, wie Sie die Ergebnisse lesen und was diese Checks nicht sehen können.

Das Wichtigste in Kürze

• Am wichtigsten: veraltete Software. Unser kostenloser PHP-Check liest PHP-Version und WordPress-Version von außen aus.
• Google-Warnung? Im Google-Transparenzbericht sehen Sie, ob Google Ihre Website als gefährlich einstuft.
• HTTPS, Header, Malware: SSL Labs, Mozilla HTTP Observatory und Sucuri SiteCheck, alle kostenlos und ohne Anmeldung.
• Grenzen: Online-Checks sehen nur, was ein Besucher sieht. Passwörter, Backups und Dateien auf dem Server prüfen sie nicht.

Übersicht: 8 kostenlose Checks

#	Was Sie prüfen	Werkzeug	Dauer
1	PHP-Version und Software	zybee.ai PHP-Check	1 Minute
2	Warnt Google vor Ihrer Website?	Google-Transparenzbericht	1 Minute
3	Fremde Seiten in Google	Google-Suche site:ihre-domain.de	2 Minuten
4	Sicherheitsprobleme laut Google	Google Search Console	5 Minuten (einmalig einrichten)
5	HTTPS und Zertifikat	SSL Labs	2 Minuten
6	Security-Header	Mozilla HTTP Observatory	1 Minute
7	Sichtbare Schadsoftware, Sperrlisten	Sucuri SiteCheck, VirusTotal	2 Minuten
8	WordPress von innen	Werkzeuge → Website-Zustand	10 Minuten

Prüfen Sie nur Websites, die Ihnen gehören oder für die Sie zuständig sind. Alle Checks hier rufen nur öffentliche Seiten auf, wie ein Besucher.

1. PHP-Version und Software

Veraltete Software ist das häufigste Einfallstor bei kleinen Websites. Angreifer scannen automatisch Millionen Websites nach Versionen mit bekannten Lücken.

Unser kostenloser PHP-Check ruft Ihre Startseite einmal auf und liest die Server-Header und die WordPress-Version, die Ihre Seite nennt. Er erklärt in einfachen Worten, ob Ihre PHP-Version noch sicher ist.

So lesen Sie das Ergebnis:

• PHP 8.4 oder 8.5: gut. PHP 8.3 bekommt noch bis Ende 2027 Sicherheitsupdates.
• PHP 8.2: Die Sicherheitsupdates enden am 31. Dezember 2026. Planen Sie den Wechsel jetzt, sonst verlangen manche Hoster danach eine monatliche Gebühr.
• PHP 8.1 oder älter: keine Sicherheitsupdates mehr. Wechseln Sie so bald wie möglich.
• Version nicht sichtbar: gute Praxis. Prüfen Sie die Version dann in WordPress (Check 8) oder im Kundenmenü Ihres Hosters.

2. Warnt Google vor Ihrer Website?

Google prüft Websites laufend auf Schadsoftware und Phishing („Safe Browsing“). Steht Ihre Website auf der Liste, warnen Chrome, Firefox und Safari Ihre Besucher mit einer roten Seite, und viele kommen gar nicht erst an.

Geben Sie Ihre Domain im Google-Transparenzbericht ein. Gewünscht ist das Ergebnis, dass keine unsicheren Inhalte gefunden wurden. Steht dort etwas anderes, lesen Sie unseren Leitfaden Website gehackt: Was tun?.

3. Fremde Seiten in Google

Suchen Sie bei Google nach site:ihre-domain.de. Sie sehen dann die Seiten, die Google von Ihrer Website kennt. Achten Sie auf:

• Seiten, die Sie nie angelegt haben, etwa mit Pharma-, Casino- oder Kreditbegriffen,
• Titel oder Beschreibungen in fremden Sprachen, häufig Japanisch,
• ungewöhnlich viele Seiten für eine kleine Website.

Das sind typische Spuren eingeschleuster Spam-Seiten. Diese Seiten sehen Sie selbst beim normalen Aufruf Ihrer Website oft nicht, weil sie nur Google gezeigt werden.

4. Google Search Console einrichten

Die Google Search Console ist kostenlos und der wichtigste Frühwarnmelder: Findet Google auf Ihrer Website Schadsoftware oder gehackte Inhalte, steht das im Bericht Sicherheitsprobleme, und Sie bekommen eine E-Mail. Die Einrichtung dauert einmalig ein paar Minuten; Sie bestätigen die Website über einen DNS-Eintrag oder eine Datei.

Meldet der Bericht keine Probleme, ist alles in Ordnung.

5. HTTPS und SSL-Zertifikat

Ein abgelaufenes Zertifikat ist kein Hack, aber Browser zeigen Ihren Besuchern dann eine Warnung, und das sieht genauso schlimm aus.

Testen Sie Ihre Domain bei SSL Labs. Der Test dauert ein bis zwei Minuten und vergibt eine Note von A+ bis F.

• A oder A+: gut.
• B: Ihr Server erlaubt meist noch ältere Verschlüsselungsverfahren. Bei Shared Hosting legt das der Hoster fest; fragen Sie nach.
• T oder eine Zertifikatswarnung: Zertifikat abgelaufen oder falsch. Dringend beheben, meist im Kundenmenü des Hosters.

Achten Sie auch auf das Ablaufdatum. Kostenlose Let’s-Encrypt-Zertifikate verlängern sich in der Regel automatisch. Steht das Ablaufdatum in den nächsten Tagen, ohne dass sich etwas tut, fragen Sie Ihren Hoster.

6. Security-Header

Security-Header sind Anweisungen Ihres Servers an den Browser, etwa „diese Seite nur über HTTPS laden“ oder „nicht in fremde Seiten einbetten“. Sie schützen Ihre Besucher vor einigen Angriffen, zum Beispiel Clickjacking.

Das kostenlose Mozilla HTTP Observatory prüft die Header Ihrer Website und vergibt eine Note. Lassen Sie sich von einem D oder F nicht erschrecken: Die meisten kleinen Websites schneiden hier schlecht ab, weil die Header nie eingerichtet wurden. Wichtig sind vor allem:

• Strict-Transport-Security (HSTS): erzwingt HTTPS.
• X-Content-Type-Options und X-Frame-Options (bzw. frame-ancestors in der Content-Security-Policy): verhindern einige einfache Angriffe.

Eine strenge Content-Security-Policy ist am wirksamsten, aber auch am aufwendigsten und kann bei falscher Einrichtung Teile Ihrer Website blockieren. Das ist eher etwas für später oder für einen Fachmann.

7. Sichtbare Schadsoftware und Sperrlisten

Sucuri SiteCheck ruft Ihre Website auf und sucht im sichtbaren Quellcode nach bekannter Schadsoftware, eingeschleusten Weiterleitungen und Spam. Außerdem prüft es, ob Ihre Website auf Sperrlisten steht, und meldet erkennbar veraltete Software.

VirusTotal prüft eine Adresse gleichzeitig gegen die Listen vieler Sicherheitsanbieter. Ein einzelner Treffer eines unbekannten Anbieters kann ein Fehlalarm sein. Mehrere Treffer sollten Sie ernst nehmen.

Wichtig: Sucuri schreibt selbst, dass der Scanner nur sieht, was ein Browser sieht, und nichts auf dem Server erkennt. Ein sauberes Ergebnis heißt also nicht, dass keine Hintertür auf dem Server liegt.

8. WordPress von innen prüfen

Wenn Ihre Website mit WordPress läuft, lohnt sich zum Schluss ein Blick ins Backend:

• Werkzeuge → Website-Zustand: WordPress prüft selbst einige Punkte, etwa veraltete PHP-Versionen, fehlende HTTPS-Einrichtung oder inaktive Plugins. Unter Bericht → Server steht die PHP-Version.
• Dashboard → Aktualisierungen: Stehen Updates aus, spielen Sie sie ein (vorher sichern).
• Plugins: Löschen Sie deaktivierte Plugins und Themes, die Sie nicht brauchen. Prüfen Sie bei den übrigen im WordPress-Verzeichnis, wann sie zuletzt aktualisiert wurden. Ein Plugin ohne Update seit Jahren ist ein Risiko.
• Benutzer: Gibt es Administratoren, die Sie nicht kennen oder die nicht mehr für Sie arbeiten? Entfernen Sie sie oder stufen Sie sie herab.

Was diese Checks nicht sehen

Online-Checks sehen Ihre Website wie ein Besucher. Einige der häufigsten Ursachen für Hacks bleiben dabei unsichtbar. Beantworten Sie deshalb auch diese Fragen:

• Passwörter: Sind die Zugänge zu Hosting, FTP und WordPress stark, einmalig und mit Zwei-Faktor-Anmeldung geschützt?
• Alte Zugänge: Hat eine frühere Agentur, ein Freelancer oder ein Ex-Mitarbeiter noch Zugang?
• Backups: Gibt es Sicherungen außerhalb des Webspace, mit mehreren Ständen? Wann haben Sie zuletzt eine zurückgespielt?
• Zuständigkeit: Wer spielt Updates ein, und wer merkt, wenn etwas nicht stimmt?
• Altlasten: Liegen im selben Webspace alte Test-Installationen oder vergessene Websites? Sie teilen sich den Zugriff mit Ihrer Website.
• Dateien auf dem Server: Hintertüren in PHP-Dateien findet nur ein Scan auf dem Server selbst. Viele Hoster bieten einen Malware-Scanner im Kundenmenü an.

E-Mail: ein Bonus-Check für Ihre Domain

Angreifer können E-Mails im Namen Ihrer Domain verschicken, wenn diese nicht durch SPF und DMARC geschützt ist. Das schadet nicht Ihrer Website, aber Ihren Kunden. Der kostenlose Test auf internet.nl prüft das für Ihre Domain (auf Englisch). Fehlt DMARC, kann Ihr Hoster oder E-Mail-Anbieter es meist mit einem DNS-Eintrag nachrüsten.

Fazit

Mit den acht Checks finden Sie in einer halben Stunde die offensichtlichen Probleme: veraltete Software, Google-Warnungen, ein kaputtes Zertifikat, eingeschleuste Inhalte. Fangen Sie mit Check 1 und Check 2 an, das sind zwei Minuten. Für alles, was von außen nicht zu sehen ist, brauchen Sie einen Blick auf den Server und Ihre Abläufe.

Sie möchten wissen, was Ihre Website sonst noch preisgibt, geprüft von einem Menschen statt einem Scanner?