Website-Scanner:
Domain kostenlos auf Sicherheit scannen
Starte einen kostenlosen Sicherheits-Scan für jede Website in ~15 Sekunden. Dieser Website-Scanner ist zugleich ein Domain-Scanner: SSL, HTTP-Header, DMARC/SPF, DNS-Records und offene Ports — ein Website-Scan, ein klarer Bericht.
kostenlos · kein account nötig · ergebnis in ~15 sek
Was prüft der Website-Scanner?
Ein vollständiger Website-Scan ist mehr als ein einzelner Test. Der Scanner führt alle folgenden Prüfungen gleichzeitig gegen deine Domain aus und fasst sie zu einem Security-Check mit Note A bis F zusammen. Du brauchst nur einen Aspekt? Für jeden Bereich gibt es auch ein eigenes Tool.
SSL/TLS-Zertifikat, Restlaufzeit, Cipher.
SPF, DMARC, DKIM und MX-Records.
HSTS, CSP, X-Frame-Options & Co.
A, AAAA, MX, NS, TXT, CAA, SOA.
Registrar, Ablaufdatum, Status, Nameserver.
20 gängige TCP-Ports, kritische rot markiert.
Set-Cookie-Header, Flags, Tracking-Erkennung.
SSL/TLS-Zertifikat
Der Scanner ruft dein TLS-Zertifikat ab und prüft Aussteller, Restlaufzeit, Protokollversion und Cipher. Ein abgelaufenes Zertifikat oder aktives TLS 1.0/1.1 löst eine ganzseitige Browser-Warnung aus — Besucher springen ab, bevor sie deine Seite sehen. Einzeln testen: SSL-Check.
HTTP-Security-Header
Die HTTP-Antwort wird auf die sechs wichtigsten Security-Header untersucht — von HSTS bis zur Content-Security-Policy. Fehlende Header öffnen Clickjacking, XSS und Downgrade-Angriffen die Tür. Eigenes Tool: Security-Header-Check.
E-Mail-Schutz (SPF, DKIM, DMARC)
Per DNS liest der Scan SPF, DKIM und DMARC aus — die drei Einträge, die entscheiden, ob deine Domain für Phishing missbraucht werden kann. Ohne durchsetzende DMARC-Policy kann praktisch jeder in deinem Namen senden. Eigenes Tool: DMARC-Lookup.
DNS-Records
Alle relevanten Record-Typen (A, AAAA, MX, NS, TXT, SOA) werden ausgelesen, inklusive CAA-Record und DNSSEC-Status. Fehlerhaftes DNS ist der Klassiker hinter unerreichbaren Seiten und verschwundenen E-Mails. Eigenes Tool: DNS-Lookup.
Offene Ports
20 gängige TCP-Ports werden auf Erreichbarkeit getestet. Kritische Admin- und Datenbank-Ports — SSH, RDP, MySQL, Redis, MongoDB — markiert der Report rot, denn offen im Internet sind sie ein direktes Einfallstor. Eigenes Tool: Port-Scan.
Cookies & DSGVO
Der Scan liest alle beim ersten Aufruf gesetzten Cookies aus, prüft die Schutz-Flags Secure, HttpOnly und SameSite und erkennt Tracking-Cookies, die schon vor der Einwilligung laden — der häufigste DSGVO-Stolperstein. Eigenes Tool: Cookie-Check.
Domain-Daten & Software
Die Whois-/RDAP-Abfrage zeigt Registrar, Status und Ablaufdatum der Domain — läuft sie unbemerkt aus, kann sie jemand anderes übernehmen. Zusätzlich erkennt der Scanner die eingesetzte Software (CMS, Server) und gleicht Versionen mit bekannten Schwachstellen (CVEs) ab.
So liest du dein Scan-Ergebnis
Jeder Website-Scan erzeugt einen Bericht: oben ein Score von 0 bis 100 mit Note A bis F, darunter die einzelnen Findings. Jedes Finding trägt einen Schweregrad — Critical und High heißen sofort handeln (abgelaufenes Zertifikat, offener Datenbank-Port), Medium ist eine echte Lücke ohne akute Gefahr (fehlender Security-Header), Low und Info sind Härtungs-Tipps und Kontext.
Priorisieren musst du nicht selbst: Der Bericht hebt Quick Wins hervor — Findings mit dem besten Verhältnis aus Aufwand und Score-Wirkung — und zu jedem Finding gibt es eine konkrete Schritt-für-Schritt-Anleitung samt geschätztem Aufwand und, wo sinnvoll, fertiger Konfiguration zum Einfügen. Mit einem kostenlosen Account lädst du den ganzen Bericht als PDF herunter und kannst später erneut scannen, um die Verbesserung zu sehen.
Häufige Findings — und was du dagegen tust
- HSTS fehlt: das häufigste Finding überhaupt — und eine Zeile Server-Konfiguration behebt es. Was HSTS macht und wie du es setzt.
- Kein DMARC-Eintrag: deine Domain lässt sich für Phishing fälschen. Starte mit einer p=none-Policy, sammle Reports und ziehe dann auf quarantine oder reject an. DMARC Schritt für Schritt erklärt.
- Keine Content-Security-Policy: der stärkste Browser-seitige Schutz gegen XSS fehlt. Führe sie zuerst im Report-Only-Modus ein, damit nichts kaputtgeht. Wie eine CSP aufgebaut ist.
- Session-Cookies ohne Secure/HttpOnly: Cookies lassen sich per XSS oder auf unverschlüsselten Verbindungen leichter stehlen. Meist eine Ein-Zeilen-Änderung in der Framework-Konfiguration. Die drei Cookie-Flags erklärt.
- Zertifikat läuft bald ab: unter 30 Tagen Restlaufzeit heißt jetzt verlängern — oder besser mit Let's Encrypt automatisieren, damit dieses Finding nie wiederkommt. Wie SSL/TLS-Zertifikate funktionieren.
Was der Website-Scanner nicht ist
Der Scan ist bewusst nicht-invasiv: Er stellt normale HTTP(S)-Anfragen und DNS-Abfragen — genau wie ein Browser oder Mailserver. Keine Exploit-Versuche, kein Passwort-Raten, keine Lasttests. Deshalb ist er für jede Domain gefahrlos, aber er ist auch kein Penetrationstest: Er findet fehlende Schutzmaßnahmen in deiner Konfiguration, keine Logikfehler in deiner Anwendung.
Er ist außerdem kein Malware-Scanner — deine Dateien werden nicht auf Infektionen untersucht — und kein automatisierter Check ersetzt bei kritischen Anwendungen ein professionelles Security-Audit. Sieh ihn als technische Basis: die Dinge, die jede Website zuerst in Ordnung haben sollte.
Alles in einem Bericht? Der vollständige Webscan-Radar-Sicherheits-Scan kombiniert alle Bereiche plus DSGVO-Audit, CMS-Erkennung und CVE-Abgleich — ebenfalls kostenlos, ohne Account. Oder stöbere durch alle Einzelcheck-Tools und das Sicherheits-Lexikon.
Website-Scanner — häufige Fragen
Was prüft der Website-Scanner?
Der Website-Scan deckt dein SSL/TLS-Zertifikat, die HTTP-Security-Header (HSTS, CSP, X-Frame-Options u.a.), den E-Mail-Schutz per DMARC/SPF/DKIM, die DNS-Records, offene Ports, Cookies und bekannte CVEs in erkannter Software ab — ein vollständiger Security-Check in einem Durchgang.
Ist der Website-Scanner kostenlos?
Ja. Du kannst jede Domain kostenlos und ohne Account scannen. Eine kostenlose Registrierung per E-Mail schaltet nur den vollständigen PDF-Bericht und den Scan-Verlauf frei.
Brauche ich einen Account für den Scan?
Nein. Der Scan selbst läuft ohne jede Registrierung. Ein kostenloser Account schaltet den vollständigen PDF-Bericht, deinen Scan-Verlauf und die laufende Überwachung deiner Domains frei — Scan und Bericht am Bildschirm funktionieren aber auch ohne.
Wie lange dauert ein Website-Scan?
In der Regel 10 bis 20 Sekunden. Komplexe Domains mit vielen Subdomains oder langsamen DNS-Servern können bis zu einer Minute brauchen.
Werden meine Daten gespeichert?
Gespeichert wird nur das technische Scan-Ergebnis der Domain, damit du die Ergebnis-URL wieder aufrufen und teilen kannst. Ergebnisseiten sind nicht öffentlich gelistet und für Suchmaschinen gesperrt (noindex). Mit Account kannst du deine Scans jederzeit löschen.
Ist es ein Website-Scanner oder ein Domain-Scanner?
Beides. Du gibst eine Domain ein (z.B. beispiel.de), und der Scanner prüft die Website sowie das DNS-, Mail- und Zertifikats-Setup der Domain in einem einzigen Website-Scan.