Befunde in Textform
Kurze Einschätzung der technischen Infrastruktur und ohne technische Details▶
Die untersuchte Infrastruktur basiert auf einem modernen, gängigen Web-CMS (WordPress) und läuft auf einem etablierten Linux-Server. Die Kombination aus vielen spezialisierten Plugins deutet auf eine funktionsreiche, aber potenziell komplexe und damit auch anfälligere Anwendung hin. Grundsätzlich ist die Basis solide, aber die Komplexität und die Vielzahl an Drittanbieter-Komponenten erhöhen das Risiko erheblich.
Auflistung der wesentlichen Technologie-Ebenen▶
CMS: WordPress (Version 6.9.4)
- Einschätzung: WordPress ist ein sehr verbreitetes System. Die Version ist aktuell, was ein guter erster Punkt ist. Allerdings erfordert die hohe Plugin-Dichte eine sehr sorgfältige Wartung, da jede Erweiterung ein potenzielles Schwachstellenrisiko birgt.
Webserver & Backend: Linux (Ubuntu), Apache HTTPD, OpenSSH
- Einschätzung: Die Basis ist mit Linux und Apache solide und industrieweit Standard. OpenSSH sorgt für sicheren Remote-Zugriff, was ein Pluspunkt ist.
Plugins & Erweiterungen: (z.B. bb-plugin, yoast-seo, woocommerce, gravityforms, etc.)
- Einschätzung: Es wurden zahlreiche spezialisierte Plugins gefunden (z.B. für SEO, Formulare, Shops). Dies deutet auf eine hohe Funktionalität hin. Das Hauptrisiko liegt hier, dass diese vielen Komponenten nicht alle aktuell gehalten werden oder dass einige veraltete oder unsichere Funktionen enthalten.
Positive Punkte▶
- Aktuelle Basis: Die Verwendung von Ubuntu als Betriebssystem und einer relativ aktuellen WordPress-Version ist ein guter Ausgangspunkt für die Sicherheit.
- Sicherer Zugriff: Der Einsatz von OpenSSH deutet auf ein Bewusstsein für sichere Fernwartungspraktiken hin.
- Funktionsvielfalt: Die Kombination der Tools ermöglicht eine sehr umfangreiche und anpassbare Webseite.
Kritische Punkte▶
- Hohe Komplexität und Plugin-Dichte: Dies ist der größte Kritikpunkt. Jedes zusätzliche Plugin (insbesondere solche, die nicht direkt zu den Hauptfunktionen gehören) erhöht die Angriffsfläche. Jedes dieser Plugins muss einzeln auf Sicherheit und Aktualität überprüft werden.
- Abhängigkeiten: Die vielen Plugins arbeiten zusammen und können Konflikte verursachen oder durch eine fehlerhafte Interaktion eine Sicherheitslücke öffnen.
- Wartungsaufwand: Die Menge der installierten Komponenten erfordert einen extrem hohen, kontinuierlichen Wartungsaufwand, um sicherzustellen, dass alle Komponenten aktuell und frei von bekannten Schwachstellen sind.
- Theme-Abhängigkeiten: Die Verwendung von spezifischen Themes und Child-Themes kann zu veralteten oder nicht mehr unterstützten Code-Teilen führen, was ein Risiko darstellt.
Warnungen (Optional)▶
- Plugin-Duplizierung: Es wurden mehrere Einträge für ähnliche oder identische Plugins (z.B. `bbpowerpack` mehrfach, `gAppointments` zweimal) gefunden. Dies deutet auf unübersichtliche Installationen hin und kann zu unnötigen Konflikten oder unnötiger Komplexität führen.
Die Adresse ist in keiner Missbrauchs- oder Schadcode-Datenbank verzeichnet. Es bestehen somit grundsätzlich keine Bedenken für die Nutzung der Web-Adresse.
Diagnose und Bewertung in Kürze und ohne technische Details▶
Insgesamt weist die Domain einige wichtige Sicherheits- und Zuverlässigkeitslücken auf, insbesondere im Bereich der E-Mail-Zuverlässigkeit und des modernen E-Mail-Schutzes. Während einige grundlegende Punkte (wie die Verfügbarkeit von Nameservern) stimmen, sind die Einstellungen für E-Mail-Authentifizierung (SPF, DKIM, DMARC) noch nicht auf höchstem Niveau. Es besteht ein erhöhtes Risiko, dass E-Mails als Spam eingestuft oder sogar verloren gehen, wenn nichtige Sendestellen beteiligt sind.
Positive Punkte▶
- Verfügbarkeit der Nameserver: Es gibt mindestens zwei Nameserver hinterlegt, was die grundlegende Ausfallsicherheit gewährleistet und die Domain bei einem Ausfall eines Servers gut absichert.
- IPv4-Erreichbarkeit: Die Domain ist über die grundlegende Internetverbindung (IPv4) erreichbar.
Kritische Punkte▶
- E-Mail-Verfügbarkeit (Single Point of Failure): Es gibt nur einen einzigen primären Eintrag für E-Mail-Servereinstellungen (MX-Eintrag). Fällt dieser Server aus, gehen alle eingehenden E-Mails verloren. Hier muss dringend eine Redundanz eingerichtet werden.
- E-Mail-Authentifizierung (SPF/DKIM/DMARC): Die E-Mail-Sicherheit ist unvollständig eingerichtet. Die Mechanismen, die beweisen, dass eine E-Mail wirklich von Ihnen stammt, sind nicht optimal konfiguriert. Dies erhöht das Risiko, dass Spamfilter die E-Mails blockieren oder der Absender als unseriös eingestuft wird.
- IPv6-Unterstützung fehlt: Die Domain ist derzeit nur über die ältere Internetverbindung (IPv4) erreichbar und unterstützt die modernere IPv6-Verbindung nicht.
Warnungen / optionale Punkte▶
- Sicherheitsverschärfung des E-Mail-Schutzes: Die aktuellen Einstellungen erlauben es, dass verdächtige E-Mails zwar markiert, aber trotzdem zugestellt werden (statt blockiert zu werden). Dies sollte schrittweise auf ein härteres Verbot erhöht werden, um den Schutz zu maximieren.
- Domain-Sicherheit (CAA-Record): Es fehlt eine zusätzliche Schutzmaßnahme, die verhindert, dass jemand leicht ein Zertifikat für Ihre Domain erstellt, auch wenn Sie dies nicht möchten.
- DNS-Sicherheit (DNSSEC): Die Verifizierung der höchsten Ebene der DNS-Sicherheit (DNSSEC) konnte nicht bestätigt werden, was ein theoretisches Risiko bei der Übertragung von DNS-Daten darstellt.
---
Hinweis: Die Diagnose basiert nur auf den abgefragten Daten und kann nicht garantieren, dass alle relevanten Einträge existieren.
Bewertung
Die grundlegende Sicherheit der Webseite scheint solide, aber es gibt einige kleinere Punkte, die verbessert werden könnten, um sie noch robuster zu machen. Im Großen und Ganzen ist die Website gut geschützt, aber ein paar Nachbesserungen im Bereich der Verifizierungsabläufe und der Verfügbarkeit könnten die Sicherheit weiter erhöhen.
Überblick nach Bereichen
10 bekannte Sicherheitslücken in eingesetzter Backend-Software.
10 bekannte Schwachstellen gefunden.
3 von 9 Plugins haben bekannte Sicherheitslücken oder eine unbekannte Version.
6 Sicherheitshinweise bei Formularen (z.B. fehlender Spam-Schutz).
Ihre Domain ist gegen E-Mail-Missbrauch geschützt (SPF & DMARC aktiv).
Score 88/100 — Ihre Seite ist für die meisten Nutzer gut zugänglich.
Keine Web Application Firewall erkannt. Automatisierte Angriffe sind ungeschützt.
Server-Software aktualisieren lassen — aktiv ausgenutzte Lücken schließen.
Priorität hoch — empfohlener Zeitraum: sofort10 Web-Schwachstelle(n) prüfen und ggf. Software aktualisieren.
Priorität mittel — empfohlener Zeitraum: innerhalb eines Monats3 Plugin(s) mit unbekannter Version prüfen und ggf. aktualisieren.
Priorität mittel — empfohlener Zeitraum: innerhalb eines MonatsFormularsicherheit verbessern: Spam-Schutz und Datenschutz-Einwilligung prüfen.
Priorität mittel — empfohlener Zeitraum: innerhalb eines MonatsWeb Application Firewall (WAF) einrichten — schützt vor automatisierten Angriffen.
Priorität mittel — empfohlener Zeitraum: nächste 3 MonateWeitere empfohlene Prüfungen
Führen Sie von Zeit zu Zeit einen erneuten Check aus, um aktuelle Ergebnisse zu erhalten.