Website-Sicherheitscheck für Unternehmen
Wir prüfen deine Website von außen auf Sicherheitsrisiken und bekannte Schwachstellen. Einmalig 200 € zzgl. USt., nur mit deinem Auftrag. Du bekommst einen Bericht mit konkreten Empfehlungen.
Antwort innerhalb von 24 Stunden (werktags). Nur für Unternehmen.
Aktuell: Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Sicherheitslücken geschlossen.Beispiel einer Prüfung: Eine KI baut auf Zuruf eine Firmenwebsite mit Kontaktformular. Bei der Prüfung fallen vier Fragen auf. Eingaben ungeprüft? Geheimer Schlüssel im Browser? Zugriffsregeln der Datenbank aktiv? PHP-Version ohne Sicherheitsupdates?
Warum gerade jetzt
Mit Baukasten und KI-Assistent entsteht eine Website, die lädt und Formulare sendet. Ob Eingaben geprüft, Schlüssel versteckt und Zugriffe geregelt sind, siehst du ihr von außen nicht an.
Aktuell · 21. Oktober 2026
Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Sicherheitslücken geschlossen (CVE‑2026‑109618 und CVE‑2026‑109619). Über sie können Angreifer ohne Anmeldung Code auf dem Server ausführen.
Die Korrekturen stecken in den Versionen PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. PHP 8.1 und älter erhalten vom PHP-Projekt keine Updates mehr; einige Distributionen und LTS-Anbieter liefern Korrekturen nach.
45 %
der Testfälle im Report 2025
In 45 % der Testfälle führten KI-Modelle Schwachstellen aus den OWASP Top 10 in den Code ein. Veracode ließ dafür über 100 große Sprachmodelle in 80 Programmieraufgaben Code vervollständigen und prüfte das Ergebnis mit statischer Analyse.
Auch der Bericht von 2026 zeigt: KI-Modelle bestehen den Sicherheitstest im Durchschnitt nur in 56 % der Fälle, praktisch unverändert zum Vorjahr. Getestet wurden die reinen Modelle, ohne zusätzliche Werkzeuge, menschliche Durchsicht oder Sicherheitsvorgaben im Prompt.
170
von 1.645 geprüften Lovable-Projekten
Unter CVE‑2025‑48757 ist erfasst: Bei mit Lovable erzeugten Seiten (Plattformstand bis 15. April 2025) waren die Zugriffsregeln der Datenbank unzureichend. Fremde konnten ohne Anmeldung Datentabellen lesen oder beschreiben. Der Hersteller bestreitet das und sieht jeden Kunden selbst für den Schutz seiner Daten verantwortlich.
In einer Stichprobe vom 21. März 2025 fand der Entdecker Matt Palmer in 170 von 1.645 Projekten (rund 10,3 %) unzureichende Zugriffsregeln. Geprüft wurden nur Startseiten.
69,3 %
aller Websites mit bekannter Serversprache nutzen PHP
PHP läuft auf 69,3 % aller Websites, deren serverseitige Programmiersprache bekannt ist. Von den Websites, die PHP nutzen, laufen 26,9 % noch auf PHP 7 (W3Techs, Stand 22. Oktober 2026).
Für PHP 7.4 gibt es seit dem 28. November 2022 keine Sicherheitsupdates des PHP-Projekts mehr. Das PHP-Projekt rät dringend zum Umstieg auf eine aktuelle Version.
Mögliche Risiken
Die Folgen einer Lücke können dich und deine Kunden treffen.
Fehlen die Zugriffsregeln der Datenbank, können Fremde Kundendaten lesen und ändern.
Folge: Dann kann eine Meldung an die Aufsichtsbehörde nötig werden und das Vertrauen deiner Kunden leiden.
Übernimmt ein Formular Eingaben ungeprüft in den Kopf der Mail, lassen sich weitere Zeilen einschleusen. So kann es als Spam-Weiterleiter dienen.
Folge: Sperrlisten führen Domains, die mit Spam in Verbindung gebracht werden. Gerät deine Domain darauf, kommen womöglich auch echte Mails nicht mehr an.
Veraltete Website-Software kann Angreifern den Zugang erleichtern. Eine gehackte Seite kann dann Schadsoftware oder Phishing ausliefern.
Folge: Spamhaus führt auch legitime, missbrauchte Websites in seiner Sperrliste.
Manche Lücken erlauben Angreifern, ohne Anmeldung Code auf dem Server auszuführen.
Folge: Dann kann deine Website auch ausfallen, und Anfragen bleiben aus, solange sie nicht erreichbar ist.
Gelangen personenbezogene Daten in falsche Hände, ist das grundsätzlich der Aufsichtsbehörde zu melden: unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden. Ausgenommen sind Fälle ohne voraussichtliches Risiko für Betroffene.
Folge: Dann können Fristen, Aufwand und Rückfragen der Behörde auf dich zukommen.
Stuft Google Safe Browsing deine Seite als gefährlich ein, kann der Browser Besucher warnen, bevor sie sie öffnen.
Folge: Warnmeldungen können das Vertrauen in dein Angebot beeinträchtigen.
Prüfung
Wir sehen uns deine Website von außen an, mit dem Blick eines Angreifers und ohne Angriffe.
Das Ergebnis
Ein Bericht mit Priorität je Befund und einer konkreten Empfehlung, was zu tun ist.
Wir prüfen Zertifikat, Verschlüsselung (TLS) und Weiterleitungen.
Welche Schutz-Header gesetzt sind und was Header wie „X-Powered-By“ über deine Technik verraten.
CMS, Plugins und PHP-Version. Wir gleichen sie mit bekannten Lücken ab.
Sicherungen, Einstellungsdateien und Admin-Zugänge, die offen im Netz liegen können.
Ob Eingaben geprüft werden, Spam-Schutz greift und Mails sicher rausgehen.
API-Schlüssel und Zugangsdaten im ausgelieferten Code.
Bei Baukasten-Backends wie Supabase oder Firebase, wenn du uns dafür Zugang gibst.
Wir prüfen die Regeln gegen gefälschte Absender deiner Domain: SPF, DKIM und DMARC.
Ein Penetrationstest mit echten Angriffen, Lasttests und eine Garantie gehören nicht dazu. Die Umsetzung der Empfehlungen bekommst du auf Wunsch als eigenes Angebot.
Ablauf
Du schickst uns die Adresse deiner Website. Wir melden uns innerhalb von 24 Stunden (werktags).
Du beauftragst die Prüfung schriftlich und bestätigst, dass du dazu berechtigt bist.
Wir prüfen deine Website von außen und halten jeden Befund fest.
Du bekommst den Bericht mit Prioritäten und einer Empfehlung zu jedem Befund.
Auf Wunsch beheben wir die Befunde. Dafür bekommst du ein eigenes Angebot.
Preis
200 €
einmalig, zzgl. USt.
Nur für Unternehmen (§ 14 BGB)
Antwort innerhalb von 24 Stunden (werktags).
Prüfbericht
www.example.com
Beispiel
Kritisch
Service-Schlüssel der Datenbank steht im Browser-Code.
Empfehlung: Schlüssel sofort tauschen und nur auf dem Server verwenden.
Hoch
Kontaktformular übernimmt Eingaben ungeprüft in die Kopfzeilen der Mail.
Empfehlung: Eingaben prüfen, Zeilenumbrüche entfernen und den Absender fest setzen.
Mittel
PHP 7.4 erhält vom PHP-Projekt keine Sicherheitsupdates mehr.
Empfehlung: Prüfen, ob dein Hoster Sicherheitskorrekturen liefert. Sonst auf eine unterstützte PHP-Version aktualisieren.
Niedrig
Für die Domain fehlt ein DMARC-Eintrag.
Empfehlung: DMARC zuerst im Beobachtungsmodus (p=none) starten und die Berichte lesen. Erst wenn alle Mails richtig authentifiziert sind, zur Durchsetzung wechseln.
Über uns
Mikail Aslan
Gründer und Geschäftsführer der Aslan Conversions UG, Heidelberg
Mikail baut Websites, Formulare und Anfragewege für Unternehmen. Aus dieser Arbeit kennt er die Stellen, an denen schnelle Projekte bei der Sicherheit Lücken lassen können.
Von ihm stammen zum Beispiel die Website mit Anfrageweg für AVM Heidelberg, der Solarrechner für WMEE und die Online-Selbstauskunft für Loro Real Estate.
Du sprichst direkt mit ihm, auch bei Rückfragen zum Bericht.
Fragen
Nein. Keine Prüfung kann jede Lücke ausschließen. Wir suchen nach bekannten Risiken und Fehlkonfigurationen, die von außen sichtbar sind. Neue Lücken können später entstehen, etwa durch Updates oder neue Funktionen.
Möglicherweise, wenn deine Website mit PHP läuft und dein Server noch nicht aktualisiert ist. Ob das zutrifft, hängt von der PHP-Version und deinem Hoster ab. Genau das klären wir in der Prüfung, nach deinem Auftrag.
Nie. Wir prüfen nur nach deinem ausdrücklichen Auftrag. Dazu bestätigst du, dass du Inhaber der Website bist oder ihre Prüfung beauftragen darfst.
Die Adresse deiner Website und deinen Auftrag. Sollen wir die Zugriffsregeln einer Baukasten-Datenbank prüfen, brauchst du uns dafür Zugang zu geben.
Ja. Wir prüfen öffentlich erreichbare Websites unabhängig vom System. Im Bericht steht, welche Punkte wir bei deinem System genauer angesehen haben.
Das hängt von den Befunden ab. Nach dem Bericht bekommst du auf Wunsch ein eigenes Angebot. Du entscheidest frei, wer die Empfehlungen umsetzt.
Wir verwenden deine Angaben zur Bearbeitung deiner Anfrage und zur Vorbereitung eines Auftrags. Bei Beauftragung nutzen wir sie auch für Prüfung und Bericht. Die Einzelheiten stehen in der Datenschutzerklärung.
Nur für Unternehmen im Sinne von § 14 BGB, also auch für Selbstständige und Freiberufler. Aufträge von Privatpersonen nehmen wir nicht an.
Per Rechnung nach deinem Auftrag. Der Preis beträgt einmalig 200 € zuzüglich Umsatzsteuer.
Anfrage
Schick uns die Adresse deiner Website. Wir melden uns innerhalb von 24 Stunden (werktags) und schicken dir den Auftrag zur Bestätigung.
Lieber direkt?