Unsere Prüfungen betrachten nur, was jeder im Internet bereits sehen kann — genau das, was sich ein Angreifer zuerst ansieht. Kein Konto, nichts zu installieren, und nichts wird erzwungen: Die Prüfungen sind nicht-invasiv.
Ein Link ist ein Link, ob er per SMS, WhatsApp, über ein soziales Netzwerk oder per E-Mail kommt. Wir verfolgen die ersten Links bis zu ihrem echten Ziel, nachdem wir die Parameter entfernt haben, die Sie identifizieren könnten. Kein Formular wird ausgefüllt, kein Code eingegeben, keine Datei ausgeführt.
Bei jedem Link gewichten wir mehrere Signale zusammen:
Einige Wörter in der Nachricht — „abstimmen für“, „meine Nichte“, „Gewinnspiel“, „Ihr Konto wird gesperrt“ — sind ein klassischer Köder. Für sich genommen beweisen sie nichts; zusammen mit einem verdächtigen Link lösen sie Alarm aus.
Bei einer E-Mail lesen wir zusätzlich die Absenderprüfungen des empfangenden Servers (SPF, DKIM, DMARC) und die Anhänge — als Dateien gelesen, nie geöffnet.
Das Verdikt gibt ein Risikoniveau an, vom neutralsten bis zum ernstesten, bestimmt vom schlimmsten gefundenen Signal. Um wirksam zu bleiben, veröffentlichen wir die genauen Schwellenwerte nicht — das wäre für Betrüger eine Anleitung zum Durchschlüpfen.
Was wir speichern: ein Protokoll jeder Prüfung (Datum, Uhrzeit, IP-Adresse, Art) für 12 Monate; den Text der Nachricht für 30 Tage, um die Erkennung zu verbessern; und die Adressen gefährlicher Links, ohne ihre Parameter und ohne Bezug zu Ihnen. Links werden mit einer Kopie der URLhaus-Datenbank (abuse.ch) auf unseren Servern abgeglichen: Kein Link verlässt sie. Einzelheiten in unserer Datenschutzerklärung.
Rund 138 Prüfungen (204 Regeln) in 19 Kategorien messen, ob die Website und ihr E-Mail-Versand bewährte Verfahren und rechtliche Pflichten einhalten: Domain und DNS, E-Mail-Authentifizierung und -Zustellung, Zertifikat und Verschlüsselung, Sicherheits-Header und Cookies, Software ohne Herstellersupport, Land und Rechtsraum des Hostings, Impressum, DSGVO. Ab 90 ist das solide, unter 50 sehr schwach.
Sie beginnt bei 100 und verliert Punkte für jedes gefundene Missbrauchsszenario — insgesamt 15, dazu 3 Ergänzungen: online vergessene Geheimnisse (.env-Dateien, .git-Repositorys, Backups), eine aus dem Internet erreichbare Datenbank, eine verwaiste Subdomain, die jemand übernehmen könnte, eine bald ablaufende Domain, offene Admin-Oberflächen, veraltete Software, schwache Verschlüsselung, eine offene Weiterleitung … Die tiefsten davon — online vergessene Geheimnisse, eine aus dem Internet erreichbare Datenbank, offene Admin-Oberflächen — werden erst angezeigt und detailliert, nachdem der Inhaber die Domain nachgewiesen hat, und erst nach Zahlung erklärt. Je höher die Note, desto widerstandsfähiger die Website.
Wir suchen die Eingänge, nach denen ein Angreifer zuerst sucht: einige bekannte Administrationsports auf dem Server der Website (4443, 5001, 5480, 8006, 9090, 9443, 10443) und die im DNS der Domain veröffentlichten Namen, die nach einem Zugang aussehen (vpn., remote., portal., citrix., owa., vcenter., gitlab.…), nur auf Port 443. Wir lesen nur die Anmeldeseite: kein Benutzername, kein Passwort, kein Exploit.
Wir erkennen VPN-Gateways (Fortinet, Ivanti, Citrix NetScaler, Palo Alto, Cisco, Check Point, SonicWall, F5), Fernwartungswerkzeuge (ScreenConnect, SimpleHelp, MeshCentral, Guacamole, RD Web Access), Administrationskonsolen (vCenter/ESXi, Proxmox, iLO, iDRAC, Cockpit, Portainer, phpMyAdmin, Adminer, Jenkins, Kaseya) und exponierte Anwendungen (Exchange OWA, MOVEit, GoAnywhere, Confluence, Jira, GitLab, Grafana, Kibana, Synology, QNAP). Eine veröffentlichte Administrationskonsole ist schwerwiegend; ein Fernwartungswerkzeug ist ein mittleres Risiko; ein VPN-Gateway ist normal und senkt die Note nicht – entscheidend ist, es aktuell zu halten. Eine Version wird nur notiert, wenn die Seite sie anzeigt.
AnyDesk und TeamViewer laufen über die Server ihres Herstellers: Auf Seiten der Domain wird nichts veröffentlicht, daher können wir sie nicht sehen.
Antworten die DNS-Server einer Domain nicht, melden wir das als schwerwiegendes Problem: Ohne sie sind Website und E-Mail für einen Teil der Besucher nicht erreichbar.
Geschätzte Abdeckung: 60 bis 80 %. Dies ist kein Penetrationstest: kein Brute Force, kein Exploit, keine Injection.
Verstehen Sie es als eine freundliche Prüfung — ein höfliches Klopfen an der Haustür: Von außen schauen wir, ob die bekanntesten und am häufigsten empfohlenen Schutzmaßnahmen vorhanden sind, ohne je einzudringen.
Es wird nie ein Passwort ausprobiert und kein Angriff simuliert. Das Alter von Software wird anhand der Support-Enddaten der Hersteller beurteilt. Die tiefsten Prüfungen (mehr Ports und sensible Pfade) werden erst angezeigt und detailliert, wenn Sie nachgewiesen haben, dass Ihnen die Domain gehört, und erst nach Zahlung erklärt.
Der Bericht nennt die französische Impressumspflicht (LCEN), die DSGVO und den US-amerikanischen CLOUD Act. Unsere Prüfungen helfen außerdem, Teile von Art. 32 DSGVO, der Cookie-Empfehlungen der CNIL, von Art. 21 NIS2, der Absenderanforderungen von Gmail und Yahoo sowie von PCI DSS 4.0 einzuhalten — sie helfen, sie zertifizieren keine Konformität.