Eine fremde Website prüfen: was von außen sichtbar ist

Ein Shop, den du nicht kennst. Ein Link in einer Mail. Ein Dienstleister, der gleich Zugang zu deinem Server bekommen soll. In allen drei Fällen dieselbe Frage: Was kann ich über diese Seite herausfinden, bevor ich ihr traue?

Mehr, als die meisten vermuten, und weniger, als viele hoffen. Der Unterschied liegt an einer einzigen Trennlinie.

Die Trennlinie: geschrieben oder unvermeidlich#

Alles, was eine Website über sich selbst sagt, hat jemand hingeschrieben. Das Impressum, die Selbstbeschreibung, die Gütesiegel im Fußbereich, die Jahreszahl „seit 2009". Das kann stimmen. Es ist trotzdem eine Behauptung, keine Feststellung — und wer betrügen will, schreibt genau dort das Passende hin.

Alles, was beim Laden der Seite tatsächlich passiert, kann sie nicht verschweigen. Welcher Server antwortet, seit wann die Domain existiert, welches Zertifikat ausgestellt wurde, welche Schutz-Header der Server sendet, welche fremden Dienste noch vor der Einwilligung geladen werden, mit welchem System die Seite gebaut ist. Das ist kein Text, das ist Verhalten — und Verhalten lässt sich nicht so leicht frisieren wie ein Absatz.

Die praktische Regel daraus: Nimm das Geschriebene als Hypothese und prüf sie gegen das Unvermeidliche. Ein Impressum, das eine Wiener Adresse nennt, während die Domain vor drei Wochen anonym registriert wurde und der Server in einem Rechenzentrum ohne Bezug dazu steht, ist nicht automatisch Betrug — aber es ist ein Widerspruch, und Widersprüche sind das, wonach du suchst.

Die vier Fragen, in der Reihenfolge, in der sie sich lohnen#

Nicht alles auf einmal. Die Reihenfolge spart Arbeit, weil jede Antwort die nächste Frage schärft.

1. Wer steht dahinter?#

Die teuerste Frage zuerst, weil sie am häufigsten die Antwort auf alles andere ist. Eine Domain, die vorgestern registriert wurde und deren Halter sich hinter einem Datenschutzdienst verbirgt, braucht keine weitere Prüfung — bei einem Shop, der Vorkasse verlangt, ist das schon die Antwort.

• Wem gehört eine Website? Vier Wege — der Überblick über die Wege und ihre Grenzen
• Domainbesitzer herausfinden: die Register — was WHOIS heute noch hergibt und was die DSGVO daraus entfernt hat
• Wann wurde eine Domain registriert? — das Alter ist eines der wenigen Signale, das sich nicht fälschen lässt
• Impressum prüfen: was drinstehen muss — und woran man erkennt, dass eines nur so aussieht

2. Ist sie sicher — und in welchem Sinn?#

„Sicher" ist drei Fragen in einer: Kann jemand mitlesen, geht die Seite anständig mit Daten um, ist sie selbst in fremder Hand? Das Schloss in der Adresszeile beantwortet nur die erste, und auch die nur zur Hälfte.

• Ist diese Website sicher? Drei Fragen — die drei auseinandergehalten, mit dem, was jeweils prüfbar ist
• Ist dieser Link sicher? Die Adresse lesen — bevor du klickst, nicht danach
• Seite auf Viren prüfen: was dahintersteckt — was solche Prüfungen tatsächlich messen

Die technische Seite davon prüft der Security-Scan für eine beliebige Adresse: HTTPS-Konfiguration, Schutz-Header, offene Ports.

3. Was macht sie mit ihren Besuchern?#

Die Frage, die man am leichtesten überspringt und am häufigsten bereut — vor allem, wenn man selbst Betreiber ist und sich ansieht, was Dienstleister eingebaut haben.

• Welche Cookies setzt eine Website? — und der Unterschied zwischen vor und nach der Einwilligung

Die aussagekräftige Zahl ist nicht, wie viele Dienste eine Seite lädt, sondern wie viele sie lädt, bevor jemand zugestimmt hat. Danach ist es eine Entscheidung des Besuchers, davor eine des Betreibers. Der Datenschutz-Check zeigt genau diesen Zeitpunkt.

4. Womit ist sie gebaut?#

Die Frage mit dem geringsten Misstrauensanteil und dem größten praktischen Nutzen — beim Wettbewerb ansehen, was funktioniert, oder bei einem Angebot einschätzen, was da eigentlich geliefert wurde.

• Den Tech-Stack einer fremden Website lesen — was Kopfzeilen und Quelltext über den Unterbau verraten
• WordPress-Seite erkennen: fünf Merkmale — der häufigste Einzelfall, in Sekunden geklärt
• Website-Quellcode anzeigen — wo überhaupt zu suchen ist
• IP-Adresse einer Website herausfinden — wer den Server stellt, und warum das bei CDNs weniger sagt als früher

Was eine Domain über ihre Technik preisgibt, liest der Tech-Stack-Checker in einem Durchgang aus.

Was von außen nicht geht#

Der wichtigste Abschnitt, weil hier die meisten Erwartungen scheitern. Ein Blick von außen sieht, was ein Browser sieht — und nichts darüber hinaus.

Echte Besucherzahlen. Es gibt Schätzdienste, und sie liegen bei kleinen Seiten regelmäßig um ein Vielfaches daneben. Warum das so ist und was die Zahlen wert sind, steht unter Wie viele Besucher hat eine Website?

Umsätze, Bestellungen, Kundenzahlen. Nicht ansatzweise. Wer solche Zahlen anbietet, verkauft Hochrechnungen aus Besucherschätzungen — also einen Fehler mal einen zweiten.

Ob die Seite gerade kompromittiert ist. Eine saubere Prüfung von außen schließt eine Kompromittierung nicht aus. Sie findet, was sich nach außen zeigt: eingeschleuste Skripte, Weiterleitungen, veränderte Kopfzeilen. Ein Angreifer, der nur Daten abgreift, hinterlässt davon nichts.

Wer wirklich dahintersteht, wenn jemand das nicht will. Ein Datenschutzdienst im Register, ein Treuhänder im Impressum, ein Server in einem Land ohne Auskunftspflicht — an dem Punkt endet die technische Prüfung, und es beginnt die Frage, ob man mit jemandem Geschäfte macht, der nicht genannt sein will.

Die inneren Seiten hinter einem Login. Was Kunden nach der Anmeldung sehen, ist von außen unsichtbar. Bewertungen über den Dienst sagen dazu mehr als jedes Werkzeug.

Der Ablauf in fünf Minuten#

Für den häufigsten Fall — ein unbekannter Anbieter, und die Frage ist, ob man ihm Geld oder Daten gibt:

1. Domainalter und Halter nachsehen. Jung und anonym bei einem Shop mit Vorkasse: hier kann man aufhören.
2. Impressum lesen und gegen Punkt 1 halten. Stimmt die genannte Firma mit dem überein, was das Register hergibt?
3. Verbindung und Header prüfen. Nicht wegen des Schlosses, sondern wegen der Sorgfalt: Ein Betreiber, der HSTS und Schutz-Header gesetzt hat, hat sich mit dem Thema befasst.
4. Ansehen, was vor der Einwilligung lädt. Ein Dutzend Werbedienste vor jedem Klick ist keine Sicherheitslücke, aber es sagt etwas über die Haltung.
5. Nach dem Namen suchen, außerhalb der eigenen Website. Der Schritt, den kein Werkzeug ersetzt.

Punkt 5 ist der wichtigste und der einzige, der nicht technisch ist. Alles davor findet Widersprüche; erst die Suche außerhalb findet Erfahrungen.

Wo die Grenze verläuft#

Alles auf dieser Seite liest ausschließlich öffentlich abrufbare Informationen — dasselbe, was jeder Browser und jede Suchmaschine abruft. Öffentliche Register, ausgelieferte Kopfzeilen, der Quelltext, den der Server jedem schickt.

Was hier nicht steht und wozu diese Werkzeuge nicht da sind: Zugangsdaten zu erraten, nicht verlinkte Bereiche durchzuprobieren, Formulare auf Schwachstellen zu testen oder eine Seite mit Anfragen zu belasten. Das ist keine Prüfung mehr, und je nach Land ist es strafbar — auch dann, wenn nichts kaputtgeht.

Die eigene Seite darfst du prüfen, wie du willst. Bei fremden gilt: lesen ja, anfassen nein.