Website-Sicherheit prüfen, Lücken schließen

Ein Security-Audit mit 39 aktiven Prüfpunkten in neun Kategorien — von SSL und TLS über Security-Header und Cookies bis zu DNS, Information-Disclosure und aktiven Injection-Probes. Mit konkreten Apache- und Nginx-Snippets statt bloßer Mängellisten.

Die Kategorien im Detail

Transport-Sicherheit prüft Schlüsselstärke, Cipher-Suiten, Protokoll-Versionen und Zertifikatsketten — der komplette TLS-Stack auf einen Blick. Bei den Security-Headern schauen wir auf CSP, HSTS, X-Frame-Options, Referrer-Policy und Permissions-Policy. Die Cookie-Prüfung deckt Consent-Konformität, SameSite, das Secure-Flag und Tracking-Pixel ab. Im DNS-Layer geht es um Mail-Spoofing-Schutz, DNS-Härtung, Reverse-DNS und CAA-Records.

Information-Disclosure und Injection-Probes

Wir suchen nach Server-Bannern, Versions-Leaks, exponierten .git- oder .env-Dateien und Stack-Traces im Produktivbetrieb. Dazu kommen aktive, ausschließlich lesende Probes auf gängige Injection-Vektoren; jeder Befund kommt mit Beweis-Payload und Schweregrad. Der Scan greift Ihre Website nicht an: keine Brute-Force-Versuche, keine Lasttests, kein Credential-Stuffing. Alle Probes sind mit gängigen Bug-Bounty-Regeln vereinbar.

Konkrete Lösungen statt Schlagworte

Jeder Befund kommt mit einem Apache- oder Nginx-Snippet, einer Schritt-für-Schritt-Anleitung und einer Einstufung nach Schweregrad. Das ist der Unterschied zu Werkzeugen, die Ihnen nur eine Liste mit Risikostufen hinterlassen.

Fortlaufendes Monitoring

Automatische Re-Scans täglich oder wöchentlich, je nach Projekt. Neue Befunde, Score-Verschlechterungen und Härtungs-Drift melden wir per E-Mail, Slack, Teams oder Webhook. Als Minimum empfehlen wir ein Voll-Audit pro Quartal; bei Produktivsystemen ein wöchentliches Monitoring mit Diff-Alarm auf Header- und Cookie-Änderungen.

Für Agenturen: Audits weiterverkaufen

PDF-Reports im eigenen Branding, ein Mandanten-Dashboard mit Score-Historie und Re-Scan-Monitoring je Kunde. Dazu API und Webhooks sowie die Anbindung an KI-Agenten. Sie verkaufen das Sicherheits-Audit als Teil Ihrer Dienstleistung weiter, STOREDO bleibt im Hintergrund.

Wo Ihre Daten liegen

Hosting und Backups des Portals ausschließlich in Deutschland. Unsere Server stehen in einem Rechenzentrum in Leipzig. Dienste Dritter mit Sitz außerhalb der EU (z. B. Zahlung, KI-Analysen) und ihre Garantien nennt die Datenschutzerklärung.

Unser Rechenzentrumsstandort ist nach ISO/IEC 27001 zertifiziert, der Brandschutz zusätzlich VdS-zertifiziert; Zutritt ist rund um die Uhr kontrolliert und videoüberwacht. Technisch ist doppelt ausgelegt, was ausfallen kann: Stromversorgung über USV und Dieselgeneratoren, Präzisionsklimatisierung und Netzanbindung über IPv4 und IPv6. Gesichert wird täglich, gespeichert wird auf 100 % SSD; SSL-Verschlüsselung und Web Application Firewall gehören ohne Aufpreis dazu.

Der Standort arbeitet vollständig mit Ökostrom. In unserer Agentur deckt die eigene Photovoltaik-Anlage im Sommerbetrieb über 90 % des Strombedarfs. Und wir verlassen uns nicht allein auf das Rechenzentrum: Unser eigenes Monitoring überwacht die Systeme rund um die Uhr. Ansprechpartner ist die Agentur, die Ihr Projekt kennt — keine anonyme Hotline. Zertifiziert ist dabei das Rechenzentrum, in dem unsere Server stehen.

Light-Scan kostenlos starten Vollständigen Prüfkatalog ansehen