Befunde in Textform
Kurze Einschätzung der technischen Infrastruktur und ohne technische Details▶
Die Infrastruktur basiert auf einer gängigen und etablierten Kombination aus Linux-Servern und WordPress. Solche Setups sind flexibel und ermöglichen eine breite Palette an Funktionen (z.B. Blog, Buchungen, Shops). Allerdings ist die Komplexität durch die Vielzahl an installierten Plugins und Funktionen erhöht, was potenziell die Angriffsfläche vergrößert und die Wartung erschwert. Ein kontinuierliches Patch-Management ist daher essenziell.
Auflistung der wesentlichen Technologie-Ebenen (CMS, Webserver & Datenbank, Plugins)▶
Content Management System (CMS):
Die Basis bildet WordPress. Es ist ein sehr bekanntes und weit verbreitetes System, was bedeutet, dass viele Sicherheitslücken bereits bekannt sind und von Angreifern ausgenutzt werden könnten.
Webserver & Backend:
Der Webserver basiert auf Apache HTTPD auf einem Linux-Betriebssystem (Ubuntu). Dies ist ein industrieller Standard und bietet eine solide Grundlage, vorausgesetzt, er wird korrekt und regelmäßig gepatcht. OpenSSH sichert den Zugriff auf das Backend.
Plugins & Erweiterungen:
Es wurde eine große Anzahl an spezialisierter Plugins identifiziert (u.a. bb-plugin, gravityforms, woocommerce, gAppointments). Dies deutet auf eine sehr funktionsreiche Webseite hin, aber auch auf eine hohe Komplexität. Jedes Plugin ist ein potenzieller Schwachpunkt, der einzeln geprüft und aktuell gehalten werden muss.
Positive Punkte▶
- Standardisierte Basis: Die Nutzung von Linux (Ubuntu) und Apache HTTPD ist ein industriell etablierter und gut dokumentierter Technologie-Stack. Das bedeutet, es gibt viele Experten, die bei Problemen helfen können.
- Spezialisierte Funktionen: Die Kombination von WordPress mit Plugins wie WooCommerce (für Shops) und gAppointments (für Buchungen) ermöglicht eine sehr hohe Funktionalität für den Endnutzer.
- Sicherheitsservices: Die Implementierung von OpenSSH deutet auf einen bewussten Versuch hin, den administrativen Zugriff über sichere Protokolle zu sichern.
Kritische Punkte▶
- Hohe Komplexität und Angriffsfläche: Die große Menge an installierten Plugins (mehrere Nennungen von bbpowerpack, gAppointments etc.) erhöht die Komplexität des Systems exponentiell. Jeder zusätzliche Plugin ist ein potenzieller Schwachpunkt, der Sicherheitslücken darstellen kann, wenn nicht regelmäßig aktualisiert wird.
- Verwaltungsaufwand (Maintenance Overhead): Die Vielzahl an Komponenten macht das System anfällig für Konfigurationsfehler. Die Verwaltung und das regelmäßige Patchen aller Komponenten (WordPress Core, alle Plugins, Themes, Server-Software) ist sehr aufwendig und fehleranfällig.
- Sicherheitslücken im Ökosystem: Da WordPress ein extrem beliebtes System ist, ist es ein Hauptziel für Angreifer. Die Abhängigkeit von Drittanbieter-Plugins birgt ein hohes Risiko, falls diese nicht von den Entwicklern gepflegt werden.
- Overkill an Funktionen: Es scheint, dass viele Funktionen hinzugefügt wurden, was auf einen "Feature Creep" hindeutet. Jede nicht benötigte Funktion oder jedes Plugin erhöht unnötig die Komplexität und das Risiko.
- Potenzielle Redundanz: Die mehrfache Nennung von Plugins (z.B. bbpowerpack) deutet auf eine mangelnde Übersichtlichkeit der Implementierung hin und kann auf unsaubere Wartungspraktiken hindeuten.
Die Adresse ist in keiner Missbrauchs- oder Schadcode-Datenbank verzeichnet. Es bestehen somit grundsätzlich keine Bedenken für die Nutzung der Web-Adresse.
Diagnose und Bewertung in Kürze und ohne technische Details▶
Insgesamt weist die Domain einige wichtige Sicherheits- und Zuverlässigkeitslücken auf, insbesondere im Bereich der E-Mail-Zuverlässigkeit und des modernen E-Mail-Schutzes. Während einige grundlegende Punkte (wie die Verfügbarkeit von Nameservern) stimmen, sind die Einstellungen für E-Mail-Authentifizierung (SPF, DKIM, DMARC) noch nicht auf höchstem Niveau. Es besteht ein erhöhtes Risiko, dass E-Mails als Spam eingestuft oder sogar verloren gehen, wenn nichtige Sendestellen beteiligt sind.
Positive Punkte▶
- Verfügbarkeit der Nameserver: Es gibt mindestens zwei Nameserver hinterlegt, was die grundlegende Ausfallsicherheit gewährleistet und die Domain bei einem Ausfall eines Servers gut absichert.
- IPv4-Erreichbarkeit: Die Domain ist über die grundlegende Internetverbindung (IPv4) erreichbar.
Kritische Punkte▶
- E-Mail-Verfügbarkeit (Single Point of Failure): Es gibt nur einen einzigen primären Eintrag für E-Mail-Servereinstellungen (MX-Eintrag). Fällt dieser Server aus, gehen alle eingehenden E-Mails verloren. Hier muss dringend eine Redundanz eingerichtet werden.
- E-Mail-Authentifizierung (SPF/DKIM/DMARC): Die E-Mail-Sicherheit ist unvollständig eingerichtet. Die Mechanismen, die beweisen, dass eine E-Mail wirklich von Ihnen stammt, sind nicht optimal konfiguriert. Dies erhöht das Risiko, dass Spamfilter die E-Mails blockieren oder der Absender als unseriös eingestuft wird.
- IPv6-Unterstützung fehlt: Die Domain ist derzeit nur über die ältere Internetverbindung (IPv4) erreichbar und unterstützt die modernere IPv6-Verbindung nicht.
Warnungen / optionale Punkte▶
- Sicherheitsverschärfung des E-Mail-Schutzes: Die aktuellen Einstellungen erlauben es, dass verdächtige E-Mails zwar markiert, aber trotzdem zugestellt werden (statt blockiert zu werden). Dies sollte schrittweise auf ein härteres Verbot erhöht werden, um den Schutz zu maximieren.
- Domain-Sicherheit (CAA-Record): Es fehlt eine zusätzliche Schutzmaßnahme, die verhindert, dass jemand leicht ein Zertifikat für Ihre Domain erstellt, auch wenn Sie dies nicht möchten.
- DNS-Sicherheit (DNSSEC): Die Verifizierung der höchsten Ebene der DNS-Sicherheit (DNSSEC) konnte nicht bestätigt werden, was ein theoretisches Risiko bei der Übertragung von DNS-Daten darstellt.
---
Hinweis: Die Diagnose basiert nur auf den abgefragten Daten und kann nicht garantieren, dass alle relevanten Einträge existieren.
Bewertung
Die grundlegende Sicherheit der Webseite scheint solide zu sein, aber es gibt einige kleine Punkte, die verbessert werden könnten, um das Gesamtbild zu optimieren. Man könnte die Sicherheit noch etwas verfeinern, um sie noch robuster zu machen.
llms.txt)
Die Datei llms.txt ist auf dieser Website nicht erreichbar. Die Website ist nicht erreichbar.
Überblick nach Bereichen
10 bekannte Sicherheitslücken in eingesetzter Backend-Software.
10 bekannte Schwachstellen gefunden.
3 von 9 Plugins haben bekannte Sicherheitslücken oder eine unbekannte Version.
6 Sicherheitshinweise bei Formularen (z.B. fehlender Spam-Schutz).
Ihre Domain ist gegen E-Mail-Missbrauch geschützt (SPF & DMARC aktiv).
Score 89/100 — Ihre Seite ist für die meisten Nutzer gut zugänglich.
Keine Web Application Firewall erkannt. Automatisierte Angriffe sind ungeschützt.
Server-Software aktualisieren lassen — aktiv ausgenutzte Lücken schließen.
Priorität hoch — empfohlener Zeitraum: sofort10 Web-Schwachstelle(n) prüfen und ggf. Software aktualisieren.
Priorität mittel — empfohlener Zeitraum: innerhalb eines Monats3 Plugin(s) mit unbekannter Version prüfen und ggf. aktualisieren.
Priorität mittel — empfohlener Zeitraum: innerhalb eines MonatsFormularsicherheit verbessern: Spam-Schutz und Datenschutz-Einwilligung prüfen.
Priorität mittel — empfohlener Zeitraum: innerhalb eines MonatsWeb Application Firewall (WAF) einrichten — schützt vor automatisierten Angriffen.
Priorität mittel — empfohlener Zeitraum: nächste 3 Monatellms.txt anlegen — ermöglicht KI-Systemen (z. B. ChatGPT, Claude) eine strukturierte, korrekte Wahrnehmung Ihrer Website.
Priorität niedrig — empfohlener Zeitraum: bei nächster GelegenheitBefunde nach Bereichen
Weitere empfohlene Prüfungen
Führen Sie von Zeit zu Zeit einen erneuten Check aus, um aktuelle Ergebnisse zu erhalten.