Ich arbeite nach fester Reihenfolge: zuerst die Fehler, die am häufigsten vorkommen und am meisten Schaden anrichten. Jeder Fund wird verständlich erklärt — was er bedeutet, was passieren kann und wie er behoben wird.
In über 80 % der Fälle liegt das Problem in einem dieser vier Punkte. Sie kommen deshalb immer zuerst dran.
Was es ist: Die Datenbank steht offen — jeder kann alle Daten lesen und ändern.
Was passieren kann: Komplette Kundendaten sind öffentlich abrufbar, ganz ohne Login.
Wie behoben wird: Zugriffsregeln pro Tabelle aktivieren, damit jeder nur noch sieht, was er sehen darf.
Was es ist: Der Generalschlüssel der Datenbank liegt sichtbar im Seitencode.
Was passieren kann: Wer ihn findet, hat Vollzugriff — jeder andere Schutz ist damit wirkungslos.
Wie behoben wird: Schlüssel sofort erneuern und künftig nur noch serverseitig verwenden.
Was es ist: Zugänge für Bezahldienste, Mailversand oder KI-Dienste liegen offen im Code oder in erreichbaren Dateien.
Was passieren kann: Jemand bewegt Geld auf deine Kosten oder versendet Mails in deinem Namen.
Wie behoben wird: Schlüssel erneuern und in die geschützte Server-Umgebung verschieben.
Was es ist: Grundlegende Schutzschilder, die der Browser von sich aus mitbringt, sind nicht aktiviert.
Was passieren kann: Die Seite wird anfällig für Clickjacking und eingeschleusten fremden Code.
Wie behoben wird: Header einmalig sauber setzen — danach schützen sie dauerhaft, ohne Aufwand.
Weniger spektakulär, aber genauso oft der Einstiegspunkt. Auch diese Punkte gehen bei jedem Check durch die Checkliste.
Interne Dateien und Quellcode lassen sich einfach über die Adresszeile abrufen. Lösung: diese Pfade ausschließen und das Verzeichnislisting abschalten.
Passwörter lassen sich unbegrenzt durchprobieren, Formulare mit Spam fluten. Lösung: Rate-Limit, Sperre nach zu vielen Versuchen und bei Bedarf ein Captcha.
Das System läuft mit Versionen, deren Lücken öffentlich bekannt sind. Lösung: Updates einspielen und ungenutzte Plugins konsequent entfernen.
Fehlermeldungen zeigen Fremden, wie die Seite innen gebaut ist. Lösung: den Debug-Modus im Live-Betrieb abschalten und neutrale Fehlerseiten ausliefern.
Der Verwaltungszugang ist frei erreichbar oder nur schwach geschützt. Lösung: starke Passwörter, Zwei-Faktor-Anmeldung und den Zugang so weit wie möglich beschränken.
Wenn deine Seite mehr kann als nur Inhalte anzeigen — Konten, Bestellungen, Uploads —, lohnen sich tiefergehende Prüfungen: ob sich fremde Daten über den einfachen Wechsel einer ID aufrufen lassen, ob sich eigener Code einschleusen lässt, ob Cloud-Speicher offen steht oder Schnittstellen ohne Prüfung antworten. Das mache ich nach Absprache und passend zu deiner Seite. Hier zählt Handarbeit und Erfahrung — kein automatischer Scanner ersetzt das, und ich behaupte auch nicht, dass er es tut.
Schreib mir kurz, um welche Seite es geht. Der erste Blick kostet dich nichts.
Erst-Scan anfragen