Sicherheits-Check

Sicherheits-Check für Webseiten – Skalpell statt Vorschlaghammer.

Ich prüfe deine Webseite gezielt auf technische Schwachstellen – mit deiner schriftlichen Freigabe und nur an Systemen, über die du verfügst. Du bekommst einen klaren Bericht und, wenn du willst, die Härtung gleich mit dazu. Keine Überlastungsangriffe, kein Krawall.

  • Nur mit schriftlicher Freigabe
  • Kein DoS/DDoS, kein Lasttest
  • Nur deine eigenen Systeme
  • Verständlicher Bericht
Freigabe erteilen & Check anfragen Ablauf ansehen

Wichtig vorab: Ein Sicherheits-Check ohne Erlaubnis ist nicht nur unseriös, sondern verboten. Deshalb startet jeder Auftrag mit deiner Freigabe und einem Nachweis, dass dir die Domain gehört. Erst danach wird überhaupt etwas geprüft.

01Die Idee

Angreifen, um zu schützen – kontrolliert und mit Erlaubnis.

Die beste Art, eine Tür zu sichern, ist zu wissen, wie ein Einbrecher sie aufbekäme. Genau das mache ich – aber angekündigt, eingegrenzt und mit deiner Unterschrift. Das Ziel ist nie der Schaden, sondern die Liste: „Hier ist eine Lücke, so schließt du sie.“

  • Perspektivwechsel

    Ich schaue auf deine Seite wie jemand, der reinwill – und finde die Wege, bevor es ein echter Angreifer tut.

  • KI als Verstärkung

    KI hilft, die Angriffsfläche schnell zu sichten und typische Muster zu erkennen. Die Bewertung und jeder Schritt gegen deine Seite bleiben in meiner Hand – nichts läuft vollautomatisch.

  • Gezielt, nicht brachial

    Ich suche die eine offene Stelle, statt die Seite mit Masse zu überrollen. Dein Betrieb läuft dabei weiter.

  • Ende: Härtung

    Jeder Fund kommt mit einer konkreten Empfehlung. Auf Wunsch setze ich die Absicherung direkt um.

02Was geprüft wird

Typische technische Schwachstellen – worauf ich schaue

Orientiert an anerkannten Prüfkatalogen (u. a. OWASP). Immer passend zu deinem System, nie nach Schema F.

  • Fehlende Zugriffskontrollen: Kann jemand Daten oder Funktionen erreichen, die nur für Angemeldete gedacht sind?
  • Eingaben, die zu weit durchschlagen: Formulare und Parameter, über die sich fremde Inhalte oder Befehle einschleusen lassen (Injection, XSS).
  • Schwache Authentifizierung: Login, Passwort-Regeln, Session-Handling und „Passwort vergessen“.
  • Fehlkonfiguration: offene Verzeichnisse, verräterische Fehlermeldungen, erreichbare Admin- oder Debug-Bereiche.
  • Veraltete Komponenten: CMS, Plugins und Bibliotheken mit bekannten, längst geschlossenen Lücken.
  • Transport & Header: TLS/HTTPS-Einstellungen und schützende HTTP-Header, die oft einfach fehlen.
  • Datenabfluss: Werden sensible Daten unnötig preisgegeben – in Antworten, Quelltext oder Backups im Web?
  • Schnittstellen (APIs): Zugriffsschutz und Plausibilitätsprüfungen an Endpunkten.

Ehrlich gesagt: Ich veröffentliche hier bewusst keine Angriffs-Rezepte. Gefundene Lücken bleiben vertraulich und gehen ausschließlich an dich – zusammen mit der Anleitung, wie du sie schließt.

03Klare Grenzen

Was ich mache – und was ausdrücklich nicht

Damit beide Seiten sich sicher fühlen, steht der Rahmen vorab fest und wird in der Freigabe festgehalten.

Das mache ich

  • Gezielte Suche nach technischen Schwachstellen
  • Nur Systeme aus deiner Freigabe (Scope)
  • Schonend, im abgestimmten Zeitfenster
  • Vertraulicher Bericht mit Prioritäten
  • Auf Wunsch: Härtung gleich umsetzen

Das mache ich nicht

  • Überlastungs-/Verfügbarkeitsangriffe (DoS/DDoS)
  • Last- oder Stresstests, die den Betrieb lahmlegen
  • Angriffe auf fremde Systeme oder Dritte
  • Social Engineering deiner Mitarbeitenden
  • Irgendetwas ohne deine schriftliche Freigabe

04Ablauf

In vier Schritten vom Verdacht zur sicheren Seite.

Transparent von Anfang an – du weißt jederzeit, was passiert.

  1. Freigabe & Scope

    Du erteilst die schriftliche Freigabe und legst fest, was geprüft werden darf. Ohne diese Freigabe startet nichts.

  2. Domain-Nachweis

    Du legst einen Nachweis-Code als Datei oder DNS-Eintrag ab. So ist belegt, dass dir die Domain gehört.

  3. Prüfung

    Ich prüfe gezielt und schonend im abgestimmten Zeitfenster – KI-gestützt, aber von mir gesteuert.

  4. Bericht & Härtung

    Du bekommst einen verständlichen Bericht nach Priorität. Auf Wunsch setze ich die Absicherung direkt um.

05Fragen

Häufige Fragen

Deine Frage ist nicht dabei? Schreib sie mir einfach →

Ist das legal?

Ja – weil nur mit deiner ausdrücklichen, schriftlichen Freigabe geprüft wird und ausschließlich Systeme, über die du verfügungsberechtigt bist. Vor dem Check weist du die Verfügung über die Domain nach (Datei auf dem Server oder DNS-Eintrag). Ohne diese Freigabe passiert nichts.

Geht meine Seite dabei kaputt oder offline?

Das Ziel ist das Gegenteil. Der Check ist gezielt und schonend – kein Dauerfeuer, keine Überlastung. Ein Restrisiko wie bei jeder Arbeit am System bleibt, deshalb empfehle ich vorab ein Backup. Last- und Überlastungstests (DoS/DDoS) sind ausdrücklich ausgeschlossen.

Was heißt „Skalpell statt Vorschlaghammer“?

Ich suche nach konkreten technischen Lücken und zeige, wie man sie schließt – statt die Seite mit Masse zu überrollen. Es geht um Härtung, nicht um Krawall.

Welche Rolle spielt KI dabei?

KI hilft mir, die Angriffsfläche schneller zu sichten, typische Muster zu erkennen und Funde verständlich aufzubereiten. Bewertung, Nachprüfung und die Empfehlungen bleiben bei mir – nichts läuft vollautomatisch gegen deine Seite.

Was bekomme ich am Ende?

Einen verständlichen Bericht: was gefunden wurde, wie kritisch es ist und was konkret zu tun ist – nach Priorität sortiert. Auf Wunsch setze ich die Härtung direkt um.

Für wen ist das?

Für Unternehmen und Selbstständige (B2B) mit eigener Webseite, eigenem Shop oder eigener Web-App – besonders, wenn Kundendaten im Spiel sind oder es schon einmal einen Schreckmoment gab.

06Freigabe & Anfrage

Erst die Freigabe. Dann die Technik.

Fülle die Freigabe aus – damit erlaubst du den Check ausdrücklich und für klar benannte Systeme. Du bekommst sofort eine Kopie per E-Mail und einen Domain-Nachweis-Code. Geprüft wird erst, wenn der Nachweis steht.

  1. Du erteilst die Freigabe.Mit Scope, Zeitraum und allen Einwilligungen.
  2. Du weist die Domain nach.Datei auf dem Server oder DNS-Eintrag mit deinem Code.
  3. Wir stimmen die Details ab.Ich melde mich in der Regel innerhalb eines Werktags.

Lieber erst sprechen? patrick@2tiptop.de

Angebot ausschließlich für Unternehmen und Selbstständige (B2B).

Erst die Freigabe, dann die Technik. Ohne diese Freigabe wird nichts geprüft. Du bekommst eine Kopie per E-Mail und einen Nachweis-Code, mit dem wir vor dem Check deine Verfügungsberechtigung über die Domain bestätigen.

Auftraggeber
Prüfumfang (Scope)

Eine pro Zeile. Nur Systeme, über die du verfügungsberechtigt bist.

Bereiche, Live-Zahlungsabläufe, Kundendaten-Seiten o. Ä., die unangetastet bleiben sollen.

Freigabe & Einwilligung

Pflicht. Deine Angaben werden ausschließlich zur Vorbereitung und Durchführung des Sicherheits-Checks genutzt. Mehr dazu in der Datenschutzerklärung. Angebot nur für Unternehmen und Selbstständige (B2B).

Du erhältst sofort eine Kopie deiner Freigabe per E-Mail.