PHP Security Check

Ist Ihre Website noch sicher?

Prüfen Sie kostenlos, ob Ihre Website veraltete PHP-Technologien verwendet und welche Sicherheitsrisiken von außen erkennbar sind.

Nur lesende Abrufe — keine Formulare, keine Eingaben
Keine Angriffe, keine Anmeldeversuche
Offizielle Daten von php.net und der NVD

Externe Prüfung — kein Penetrationstest. Ausgewertet werden die Informationen, die der Server jedem Besucher übermittelt, öffentliche DNS-Einträge und rund 20 bekannte Fundstellen (z. B. /.git, /.env), die nur gelesen werden; Inhalte werden nicht gespeichert. Eine unauffällige Prüfung ist keine Bestätigung, dass eine Website sicher ist.

Kritisch Hoch Mittel Niedrig Unbekannt

Was geprüft wird

Mehr als die PHP-Version —
von außen, ohne Angriff

Die Prüfung ruft Ihre Startseite so ab, wie es ein Browser tut, wertet Quelltext, Kopfzeilen und öffentliche DNS-Einträge aus und sieht an rund 20 typischen Stellen nach, ob dort Dateien offenliegen, die nicht öffentlich sein sollten.

PHP-Version und Support

Erkennbare PHP-Version und ihr Stand laut php.net: aktiv unterstützt, nur noch Sicherheitsupdates oder End of Life — mit Datum.

Bekannte Schwachstellen

Abgleich von PHP, CMS und Server-Software mit der National Vulnerability Database — nur, wenn der dokumentierte Versionsbereich passt. Unsichere Treffer werden als solche gekennzeichnet.

CMS und Plugins

WordPress, Joomla, Drupal, TYPO3: Version und Supportstand. Bei WordPress zusätzlich die eingebundenen Plugins — veraltet, verwaist oder aus Sicherheitsgründen aus dem Verzeichnis entfernt?

JavaScript-Bibliotheken

jQuery, jQuery UI, Bootstrap, AngularJS, Vue, Moment, Lodash: Versionen mit veröffentlichten Lücken oder ohne Pflege.

Offengelegte Dateien

Ein fester Katalog typischer Fundstellen: .git, .env, Sicherungen, Kopien der wp-config.php, phpinfo, Fehlerprotokolle, Verzeichnislisten. Nur lesend, Inhalte werden nicht gespeichert.

HTTPS und Verschlüsselung

Zertifikat, Restlaufzeit, Schlüssellänge und Signatur, Umleitung auf HTTPS — und ob der Server noch die veralteten Protokolle TLS 1.0 und 1.1 annimmt.

Header, Cookies, Inhalte

Sicherheitsheader, Schutzattribute der Cookies, unverschlüsselt geladene Inhalte, Formulare ohne HTTPS und sichtbare Fehlermeldungen.

E-Mail-Sicherheit

SPF und DMARC schützen Ihre Domain davor, dass Dritte in Ihrem Namen Mails versenden. Geprüft werden die öffentlichen DNS-Einträge.

Nachvollziehbare Einstufung

Regelbasiert von „Niedrig“ bis „Kritisch“, jede Feststellung mit Regel-ID, Beleg und Empfehlung. Was nicht erkennbar ist, heißt „Unbekannt“ — nicht „sicher“.

Kostenlos sehen Sie sofort die Gesamteinstufung, das Ergebnis zu PHP, HTTPS und Headern sowie Anzahl und Schwere aller weiteren Feststellungen. Welche Dateien offenliegen, welche Plugins und Bibliotheken betroffen sind und was zu tun ist, steht im Bericht.

Der Sicherheitsbericht

Alles schwarz auf weiß — für Ihre IT oder Ihren Dienstleister

Das Ergebnis der kostenlosen Prüfung als ausführlicher PDF-Bericht im Gutachtenstil.

Management Summary mit Ampel für Entscheider
Technische Analyse: PHP, Schwachstellen mit CVE-Nummern, TLS, Header
CMS, Plugins und JavaScript-Bibliotheken mit Versionen und Befund
Offengelegte Dateien mit Fundstelle und Beleg, Cookies, E-Mail-Sicherheit
Maßnahmenplan mit Prioritäten
Methodik und Grenzen der Prüfung — transparent dokumentiert
Rechnung inklusive, Zustellung per E-Mail

Jetzt prüfen · Bericht 5,00 € Musterbericht ansehen

Endpreis · Kleinunternehmer, keine USt. · je Website und Bericht · Zahlung per Karte, Apple Pay oder Google Pay

So funktioniert es

In drei Schritten

Adresse eingeben

Website eintragen und bestätigen, dass Sie Eigentümer sind oder vom Betreiber beauftragt wurden.

Ergebnis sofort sehen

Nach 10 bis 40 Sekunden: Einstufung mit Ampel, die Feststellungen zu PHP, HTTPS und Headern und eine Übersicht aller weiteren Funde — kostenlos.

Bericht bestellen

Auf Wunsch den ausführlichen PDF-Bericht für 5,00 € — per E-Mail, unmittelbar nach der Zahlung.

Häufige Fragen

Gut zu wissen

Greift die Prüfung meine Website an?

Nein. Gesendet werden gewöhnliche Abrufe wie von einem Browser: die Startseite, rund 20 feste, typische Adressen (etwa /.git/HEAD oder /.env) und bei WordPress die readme.txt eingebundener Plugins. Nur lesend, höchstens 8 KB je Abruf, Inhalte werden nicht gespeichert. Keine Anmeldeversuche, keine Formulare, kein Durchprobieren von Pfaden, keine Ausnutzung von Schwachstellen. Das ist ausdrücklich kein Penetrationstest.

Warum muss ich bestätigen, dass ich berechtigt bin?

Auch eine passive Prüfung soll nur mit Einverständnis des Betreibers stattfinden. Mit der Bestätigung erklären Sie, dass Sie Eigentümer der Website sind oder vom Betreiber beauftragt wurden.

Was bedeutet „Unbekannt“?

Viele gut konfigurierte Server verraten ihre PHP-Version nicht. Dann lässt sich von außen nichts über Supportstand oder Schwachstellen sagen. „Unbekannt“ ist deshalb weder ein gutes noch ein schlechtes Zeichen — und ausdrücklich keine Entwarnung.

Sind die angezeigten Schwachstellen auf meiner Website nachgewiesen?

Nein. Angezeigt werden veröffentlichte Schwachstellen, deren dokumentierter Versionsbereich zur erkennbaren Version von PHP, CMS, Server-Software oder Bibliothek passt. Ob sie bei Ihnen ausnutzbar sind, hängt von Konfiguration und genutzten Funktionen ab. Bei Paketen von Linux-Distributionen werden Korrekturen oft ohne Versionssprung eingespielt — solche Treffer sind als unsicher gekennzeichnet.

Warum sehe ich kostenlos nicht alle Details?

Die kostenlose Ansicht zeigt die Gesamteinstufung, das vollständige Ergebnis zu PHP, HTTPS und Sicherheitsheadern sowie Anzahl, Schwere und Bereiche aller weiteren Feststellungen. Welche Dateien konkret offenliegen oder welche Plugins betroffen sind, steht nur im Bericht — so landen heikle Hinweise nicht bei jedem, der Ihre Adresse eintippt.

Findet die Prüfung jede Lücke?

Nein. Sie sieht nur, was von außen erkennbar ist. Plugins, die auf der Startseite nicht eingebunden sind, Lücken im eigenen Code, Zugänge oder die Server-Konfiguration hinter dem Webserver bleiben verborgen. Plugins werden nach Aktualität und Verzeichnisstatus beurteilt, nicht gegen eine eigene Schwachstellendatenbank. Eine unauffällige Prüfung ist deshalb keine Sicherheitsbestätigung.

Welche Daten werden gespeichert?

Domain und Prüfergebnis für 30 Tage, Ihre IP-Adresse nur als nicht umkehrbarer Hashwert zur Missbrauchsabwehr. Bei einer Bestellung zusätzlich die Rechnungsangaben (Aufbewahrung sieben Jahre, § 132 BAO). Die Zahlung wickelt Stripe ab. Details in der Datenschutzerklärung.

Wer steht dahinter?

Mag. Christian Inzko, gerichtlich beeideter und zertifizierter Sachverständiger für Informationstechnologie. Für eine vertiefte, auch interne Prüfung oder ein Gutachten nehmen Sie gern Kontakt auf.

Wissen, wo Ihre Website steht

Die Prüfung ist kostenlos und dauert weniger als eine halbe Minute.

Jetzt kostenlos prüfen