Website-Sicherheitscheck: Den Umfang klären

„Bitte prüfen Sie unsere Website“ kann vieles bedeuten. Ein Unternehmen möchte wissen, ob vorhandene Software gepflegt wird. Ein anderes braucht eine Bewertung von Rollen und Zugängen. Bei einer Anwendung mit Kundenkonten steht vielleicht eine gezielte Untersuchung der Schutzmechanismen im Vordergrund. Ohne die zugrunde liegende Frage lassen sich Umfang und Ergebnis kaum sinnvoll vergleichen.

Beschreiben Sie zunächst den Anlass: neue Website, unbekannter Zustand, Wechsel der Betreuung oder eine neue Funktion mit zusätzlichen Daten. Notieren Sie, welche Entscheidung Sie danach treffen möchten. Soll eine konkrete Einstellung korrigiert werden? Müssen Verantwortlichkeiten geklärt werden? Brauchen qualifizierte Spezialisten einen weitergehenden Prüfauftrag? Diese Fragen führen zu unterschiedlichen Arbeiten und Nachweisen.

Der Begriff Website-Sicherheitscheck bezeichnet hier eine vereinbarte Prüfung. Aus dem Namen allein folgt kein einheitlicher Umfang. Fragen Sie deshalb nach der tatsächlichen Tätigkeit und nach ausdrücklichen Ausschlüssen. Ein begrenzter Check kann eine sinnvolle erste Bestandsaufnahme sein, wenn seine Aussagekraft ehrlich beschrieben wird. Er sollte nicht als Nachweis für Bereiche verwendet werden, die niemand untersucht hat.

Die NIST-Veröffentlichung SP 800-115 behandelt die Planung technischer Sicherheitsprüfungen, unterschiedliche Verfahren, ihre Grenzen und die Auswertung von Befunden. Der Leitfaden stammt von 2008; hier dient er als Grundlage für die Abgrenzung von Prüfmethoden, nicht als Quelle für aktuelle einzelne Schwachstellen.

Zu einem Webauftritt können mehrere Bereiche gehören: öffentlich erreichbare Seiten, ein Redaktionssystem, ein Kontaktendpunkt, Hostingverwaltung und verbundene Dienste. Sie können unterschiedliche Verantwortliche haben. Eine Prüfung der öffentlichen Darstellung sagt beispielsweise nichts darüber aus, ob alte Administratorkonten im Redaktionssystem noch bestehen.

Erstellen Sie eine überschaubare Liste und ordnen Sie jedem Bereich eine Frage zu. Bei einer statischen Informationsseite kann die Rolle der Auslieferung und der eingesetzten Formfunktion im Vordergrund stehen. Bei einem geschützten Kundenbereich können Anmelden, Berechtigungen und Datenzugriff zusätzliche Prüfziele sein. Fragen Sie die Betreuung, welche Bereiche zum angebotenen Auftrag gehören und welche separat betrachtet werden müssen.

Der OWASP Application Security Verification Standard bietet Anforderungen zur Prüfung technischer Schutzmaßnahmen von Webanwendungen. Wenn solche Anforderungen im Auftrag verwendet werden, sollten Version und ausgewählte Anforderungen benannt sein. Eine pauschale Aussage „nach OWASP geprüft“ beschreibt noch nicht, was tatsächlich untersucht wurde.

Halten Sie auch Abhängigkeiten fest, die nicht in den Auftrag fallen. Ein externer Buchungsdienst kann für Ihren Nutzerweg wichtig sein, obwohl Sie seine Infrastruktur nicht prüfen lassen dürfen. Der Ausschluss bleibt eine relevante Grenze des Ergebnisses. Er wird weder durch ein grünes Gesamtsymbol aufgehoben noch automatisch zur bestätigten Schwachstelle.

Sie können die folgenden Punkte in ein kurzes Projektdokument übernehmen. Die Vorlage ersetzt die fachliche Planung durch die prüfende Person nicht. Sie hilft jedoch, fehlende Voraussetzungen früh zu erkennen und eine scheinbar ähnliche Leistung sachlich zu vergleichen. Unbekannte Angaben sollten als Klärungsbedarf stehen bleiben.

Ergänzen Sie eine Liste der ausdrücklich ungeprüften Bereiche. Gerade diese Angaben machen einen begrenzten Check nachvollziehbar. Die Entscheidung über spätere technische Anpassungen ist ein eigener Schritt; dafür bietet Website-Änderungen planen eine passende Ergänzung.

Ein Bericht mit vielen Hinweisen ist nicht automatisch gründlicher als einer mit wenigen. Fragen Sie für wichtige Befunde nach der betroffenen Funktion, der möglichen Auswirkung und den Voraussetzungen. Eine unbestätigte Scanner-Meldung und eine bestätigte unnötige Administratorberechtigung dürfen nicht ohne Erklärung in derselben Sammelkategorie verschwinden.

Besprechen Sie die Reihenfolge mit der technischen Betreuung und der verantwortlichen Unternehmensseite. Die Betreuung kann mögliche Korrekturen und ihre Auswirkungen erläutern. Das Unternehmen erklärt, welche Abläufe und Daten besonders wichtig sind. Eine Maßnahme soll das Problem behandeln, ohne unnötig einen wichtigen Geschäftsvorgang zu unterbrechen. Falls eine akute Gefahr bestätigt ist, braucht es eine entsprechend direkte Abstimmung.

Trennen Sie die Zustände „bestätigt“, „noch zu klären“, „korrigiert“ und „nachgeprüft“. Eine Rechnung für eine Änderung ist noch kein Nachweis, dass der konkrete Befund behoben wurde. Ebenso ist „konnte nicht geprüft werden“ kein positives Ergebnis. Für jedes wichtige Thema sollte nachvollziehbar bleiben, welche Entscheidung getroffen wurde und welche Aufgabe noch offen ist.

Sie können selbst den Anlass formulieren, die bekannten Systeme sammeln und vorhandene Zuständigkeiten zusammentragen. Auch bisherige Berichte und offene Rückfragen sind hilfreich, sofern sie sicher und nur an die vorgesehenen Personen weitergegeben werden. Diese Vorbereitung gibt dem Gespräch eine belastbare Grundlage; Sie müssen dafür keine eigenen Angriffstests durchführen.

Professionelle Begleitung hilft dabei, aus einer allgemeinen Sorge eine passende Aufgabe zu machen. Ein Webteam kann die eigene technische Umgebung erklären, offene Punkte einordnen und Korrekturen koordinieren. Für spezialisierte Untersuchungen ist die passende Qualifikation entscheidend. Umfang und Grenzen sollten deshalb gemeinsam feststehen, bevor technische Arbeit beginnt.

Ruhrstack beschreibt auf der Leistungsseite Sicherheit Checks für vereinbarte Bereiche, die Einordnung gefundener Risiken und abgestimmte Maßnahmen. Dort wird ausdrücklich zwischen diesen Leistungen und Penetrationstests, forensischen Untersuchungen sowie zertifizierten Audits unterschieden. Welche vorhandene Umgebung geprüft werden kann und welche zusätzliche Unterstützung nötig ist, wird für das konkrete Vorhaben geklärt.

Bitten Sie um einen Auftrag, dessen Ergebnis Sie später überprüfen können: benannte Bereiche, geeignete Nachweise, verständliche Befunde und klar verantwortete nächste Schritte. Das ist die praktische Grundlage für eine sinnvolle Sicherheitsentscheidung. Eine pauschale Aussage „Website geprüft“ wäre dafür zu wenig.