Website-Sicherheit prüfen, Lücken schließen

Ein Security-Audit in sechs Kategorien — von SSL und TLS über Security-Header und Cookies bis zu DNS, Information-Disclosure und aktiven Injection-Probes. Mit konkreten Apache- und Nginx-Snippets statt bloßer Mängellisten.

Sechs Kategorien im Detail

Transport-Sicherheit prüft Schlüsselstärke, Cipher-Suiten, Protokoll-Versionen und Zertifikatsketten — der komplette TLS-Stack auf einen Blick. Bei den Security-Headern schauen wir auf CSP, HSTS, X-Frame-Options, Referrer-Policy und Permissions-Policy. Die Cookie-Prüfung deckt Consent-Konformität, SameSite, das Secure-Flag und Tracking-Pixel ab. Im DNS-Layer geht es um Mail-Spoofing-Schutz, DNS-Härtung, Reverse-DNS und CAA-Records.

Information-Disclosure und Injection-Probes

Wir suchen nach Server-Bannern, Versions-Leaks, exponierten .git- oder .env-Dateien und Stack-Traces im Produktivbetrieb. Dazu kommen aktive, ausschließlich lesende Probes auf gängige Injection-Vektoren; jeder Befund kommt mit Beweis-Payload und Schweregrad. Der Scan greift Ihre Website nicht an: keine Brute-Force-Versuche, keine Lasttests, kein Credential-Stuffing. Alle Probes sind mit gängigen Bug-Bounty-Regeln vereinbar.

Konkrete Lösungen statt Schlagworte

Jeder Befund kommt mit einem Apache- oder Nginx-Snippet, einer Schritt-für-Schritt-Anleitung und einer Einstufung nach Schweregrad. Das ist der Unterschied zu Werkzeugen, die Ihnen nur eine Liste mit Risikostufen hinterlassen.

Fortlaufendes Monitoring

Automatische Re-Scans täglich, stündlich oder im Agentur-Takt. Neue Befunde, Score-Verschlechterungen und Härtungs-Drift melden wir per E-Mail, Slack, Teams oder Webhook. Als Minimum empfehlen wir ein Voll-Audit pro Quartal; bei Produktivsystemen ein wöchentliches Monitoring mit Diff-Alarm auf Header- und Cookie-Änderungen.

Für Agenturen: Audits weiterverkaufen

PDF-Reports im eigenen Branding, ein Mandanten-Dashboard mit Score-Historie und Re-Scan-Monitoring je Kunde. Dazu API und Webhooks sowie die Anbindung an KI-Agenten. Sie verkaufen das Sicherheits-Audit als Teil Ihrer Dienstleistung weiter, STOREDO bleibt im Hintergrund.

Wo Ihre Daten liegen

Betrieb, Verarbeitung und Backups ausschließlich in Deutschland. Unsere Server stehen in einem Rechenzentrum in Leipzig — Ihre Daten verlassen die EU nicht. Kein Drittlandtransfer, keine Standardvertragsklauseln, die Sie dokumentieren müssten.

Unser Rechenzentrumsstandort ist nach ISO/IEC 27001 zertifiziert, der Brandschutz zusätzlich VdS-zertifiziert; Zutritt ist rund um die Uhr kontrolliert und videoüberwacht. Technisch ist doppelt ausgelegt, was ausfallen kann: Stromversorgung über USV und Dieselgeneratoren, Präzisionsklimatisierung und Netzanbindung über IPv4 und IPv6. Gesichert wird täglich, gespeichert wird auf 100 % SSD; SSL-Verschlüsselung und Web Application Firewall gehören ohne Aufpreis dazu.

Der Standort arbeitet vollständig mit Ökostrom. In unserer Agentur deckt die eigene Photovoltaik-Anlage im Sommerbetrieb über 90 % des Strombedarfs. Und wir verlassen uns nicht allein auf das Rechenzentrum: Unser eigenes Monitoring überwacht die Systeme rund um die Uhr. Ansprechpartner ist die Agentur, die Ihr Projekt kennt — keine anonyme Hotline. Zertifiziert ist dabei das Rechenzentrum, in dem unsere Server stehen.

Light-Scan kostenlos starten Vollständigen Prüfkatalog ansehen