Security-Check für Ihre Website: Was JERVIS im Scan wirklich prüft

Warum die Sicherheits-Header für Ihr Unternehmen zählen

Fehlende Sicherheits-Header sind keine akademische Formalie, sondern konkrete Einfallstore für Angreifer. Ohne Strict-Transport-Security lässt sich eine Verbindung auf unverschlüsseltes HTTP zurückstufen, sogenannte Downgrade-Angriffe. Ohne Clickjacking-Schutz kann Ihre Seite unbemerkt in eine fremde, betrügerische Seite eingebettet werden. Fehlt der Schutz vor MIME-Sniffing, kann der Browser Dateitypen falsch interpretieren und Angreifern damit eine zusätzliche Angriffsfläche eröffnen. Und wenn Server-Informationen offen sichtbar sind, wissen Angreifer sofort, nach welchen bekannten Schwachstellen sie für genau Ihre Server-Version suchen müssen. All das untergräbt am Ende das Vertrauen Ihrer Besucher, und im Ernstfall auch Ihr Geschäft.

Das Web-Security-Modul macht diesen Zustand sichtbar: Sie sehen auf einen Blick, welcher der vier Header-Checks besteht und welcher nicht, und eine klare Einordnung, was zuerst behoben werden sollte.

Im Report erhalten Sie zu jedem offenen Punkt eine konkrete, direkt umsetzbare Empfehlung, die Sie oder Ihre IT sofort setzen können. Wer darüber hinaus dauerhaften Schutz möchte, findet weiter unten auf dieser Seite die Abgrenzung zur laufenden MOAT-Überwachung: Der Scan zeigt den Zustand zu einem Zeitpunkt, MOAT überwacht kontinuierlich.

Die vier Header-Prüfungen im Detail

Jeder Check prüft eine einzelne, klar definierte Bedingung an den Response-Headern. Trifft die Bedingung nicht zu, entsteht kein Befund.

Die per Header direkt behebbaren Empfehlungen im Wortlaut:

Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Frame-Options: DENY
X-Content-Type-Options: nosniff

Der Server-Informations-Leak lässt sich nicht per Header setzen, sondern nur durch Entfernen der Header Server und X-Powered-By in der Serverkonfiguration beheben.

Wie bewertet wird

Jeder der vier Checks hat eine feste Einstufung. Nur der HSTS-Check ist als Warnung eingestuft, die anderen drei als Info. Keiner der vier Checks ist kritisch.

Die vier Header-Checks fließen als Teil des technical-Moduls in den Gesamt-Score Ihrer Website ein. Das technical-Modul zählt dabei mit einem Gewicht von 0,15 zum Gesamtergebnis. Das technical-Modul selbst umfasst neben den vier Security-Checks weitere technische Prüfungen, zum Beispiel die Core-Web-Vitals-Prüfung.

Beispiel-Befund: der fehlende HSTS-Header

So sieht ein Befund aus, den das Web-Security-Modul im Report erzeugt, wenn die Bedingung für den HSTS-Check zutrifft. Es handelt sich um ein illustratives Beispiel, keine Live-Messung einer echten Website.

Der Ausblick: laufender Schutz mit MOAT

MOAT umfasst 15 automatisierte Checks; die folgenden fünf zeigen beispielhaft, was laufend überwacht wird. Diese Beispiele sind nicht Teil des Scans oder des Audits, sie laufen ausschließlich als wiederkehrende Überwachung im Rahmen von JERVIS Autopilot PROTECT, nicht bei einer einmaligen Prüfung. Anders als die Analyse-Module liefert jeder MOAT-Check einen eigenen Status pro Prüfung, zum Beispiel bestanden, Warnung, Fehler oder übersprungen. Es gibt dabei keinen 0 bis 100-Score.

Warum Web-Security zählt

Jeder der vier Header-Checks bildet eine konkrete Angriffsfläche ab, die in der Praxis regelmäßig ausgenutzt wird. Fehlt HSTS, kann ein Angreifer im selben Netzwerk, etwa in einem ungesicherten WLAN, die Verbindung eines Besuchers gezielt auf unverschlüsseltes HTTP zurückstufen und den Datenverkehr mitlesen oder manipulieren. Fehlen X-Frame-Options und eine CSP mit frame-ancestors gleichzeitig, lässt sich die Seite unbemerkt in einen fremden Frame einbetten und für Klick-Betrug missbrauchen (Clickjacking). Fehlt X-Content-Type-Options, können Browser den Dateityp einer Antwort falsch interpretieren, was Sniffing-Attacken Tür und Tor öffnet. Sind Server- oder X-Powered-By-Header sichtbar, sparen sich Angreifer die Recherche und suchen direkt gezielt nach bekannten Schwachstellen für genau diese Server-Version.

Der einmalige Scan zeigt den Zustand zu einem Zeitpunkt. Header werden neu deployt, Zertifikate laufen ab, neue Unterseiten kommen hinzu, Inhalte werden kopiert. Deshalb ergänzt die laufende MOAT-Überwachung in Autopilot PROTECT die einmalige Diagnose um eine kontinuierliche Kontrolle, siehe Abschnitt oben.

Cookie- und Consent-Skripte berühren oft dieselben Header wie die Sicherheitsprüfung, mehr dazu im DSGVO-Check.

Free Scan, Audit, MOAT Security Audit und PROTECT im Vergleich

Diese Seite beschreibt zwei unterschiedliche Dinge, die häufig verwechselt werden: die einmalige Web-Security-Prüfung im Scan und Audit, und die laufende Schutz-Überwachung in Autopilot PROTECT. Dazwischen steht der buchbare JERVIS MOAT Security Audit als einmalige, vertiefte passive Sicherheitsprüfung. So ordnen sich die vier Stufen ein:

FAQ zum Web-Security-Modul