Ratgeber
„Sicherheitscheck" klingt oft nach einer Blackbox. Unser eigener Security-Check wertet ausschließlich öffentlich abfragbare Informationen aus — keine Portscans, keine Anmeldeversuche, keine Zustellversuche. Was er konkret prüft, steht hier im Klartext.
Ein passiver Check liest nur, was eure Domain ohnehin öffentlich bekannt gibt: DNS-Einträge, das Zertifikat eurer Website, die Antwort-Header des Webservers. Jeder im Internet kann das abfragen, es braucht keine Erlaubnis und verursacht keinerlei Risiko. Ein aktiver Test — Schwachstellenscan oder Penetrationstest — versucht dagegen tatsächlich, in Systeme einzudringen, und darf nur mit ausdrücklicher Beauftragung stattfinden. Unser Security-Check ist rein passiv.
SPF legt fest, welche Server im Namen eurer Domain Mails verschicken dürfen. DKIM signiert Mails kryptografisch, damit sie unterwegs nicht unbemerkt verändert werden können. DMARC bestimmt, was mit Mails passiert, die beide Prüfungen nicht bestehen — und liefert Berichte darüber, wer tatsächlich in eurem Namen versendet. Fehlt einer dieser drei Bausteine, kann sich grundsätzlich jeder als eure Domain ausgeben. Das Zusammenspiel erklärt der Ratgeber Spam- und Phishing-Schutz in Microsoft 365.
Gültigkeit und Restlaufzeit des TLS-Zertifikats, ob HTTP sauber auf HTTPS weiterleitet, ob der HSTS-Header gesetzt ist und ob grundlegende Sicherheits-Header wie X-Content-Type-Options und Referrer-Policy vorhanden sind. Ein abgelaufenes Zertifikat ist der Klassiker: technisch trivial, in der Wirkung peinlich — Besucher sehen eine Browserwarnung statt eurer Website.
Nicht jeder fehlende Eintrag ist gleich dringend. Als Faustregel: Zuerst SPF, DKIM und DMARC — sie schützen direkt vor Betrug im Namen eures Unternehmens und betreffen damit auch eure Kunden und Lieferanten. Danach Zertifikat und HTTPS-Weiterleitung, weil sie für jeden Besucher sichtbar sind. Dann MTA-STS, DNSSEC, CAA und die Security-Header — sinnvolle Härtung, aber kein akuter Notfall.
Keine Login-Versuche, keine Portscans, keine tatsächlichen Zustellversuche — der Check bleibt vollständig passiv und wertet nur aus, was ohnehin öffentlich abfragbar ist. Ihr müsst dafür keine Adresse hinterlassen; ob ihr die Befunde selbst umsetzt, mit eurem bisherigen Dienstleister klärt oder mit uns, entscheidet ihr danach.
Ein sauberes Ergebnis heißt nicht, dass die IT sicher ist — es heißt, dass die von außen sichtbare Fassade in Ordnung ist. Was hinter der Firewall liegt, bleibt unsichtbar: ungepatchte Server, ein flaches Netz, Konten ohne Mehrfaktor-Anmeldung, ein Backup, das nie getestet wurde. Dafür braucht es den Blick von innen — siehe IT-Security.
Für die Innensicht gibt es den Risiko-Check: ein kurzer Fragebogen, der in etwa zwei Minuten einschätzt, wie gut euer Unternehmen organisatorisch aufgestellt ist. Er ersetzt keine Analyse, zeigt aber zuverlässig, wo die größten Lücken liegen.
Häufige Fragen
Ja. Es reicht, die Domain einzugeben — keine Registrierung, keine automatische Kontaktaufnahme im Anschluss.
Der Check selbst wertet ausschließlich öffentlich abfragbare Informationen aus — keine Portscans, keine Anmeldeversuche, keine Zustellversuche.
Technisch ja, denn abgefragt werden nur öffentlich einsehbare Einträge. Sinnvoll ist der Check vor allem für die eigene Domain und die eurer wichtigsten Lieferanten.
Die von außen sichtbare Seite ist dann in Ordnung. Über den Zustand hinter der Firewall — Updates, Berechtigungen, Netzwerksegmentierung, Backup — sagt ein Domain-Check nichts aus.
Wer eure DNS-Einträge verwaltet: ihr selbst, euer bisheriger Dienstleister oder wir. Die Einträge werden beim Domain-Anbieter gesetzt, nicht auf dem Mailserver.