Mozilla Observatory Alternative: die besten Nachfolger 2026

Fast ein Jahrzehnt lang war Observatory by Mozilla die kostenlose Standardantwort auf die Frage "Wie sicher ist meine Website konfiguriert?". Dann wurde das Werkzeug eingestellt. Der HTTP-Scanner fand im Juli 2024 ein neues Zuhause auf MDN, während der Rest des Baukastens, darunter das TLS Observatory und das SSH Observatory, im September 2024 endgültig abgeschaltet wurde, wie die MDN-Ankündigung dokumentiert.

Wenn observatory.mozilla.org noch in Ihren Lesezeichen liegt oder Ihre Sicherheits-Checkliste auf Tests verweist, die es nicht mehr gibt, brauchen Sie einen Ersatz. Dieser Leitfaden vergleicht die besten Mozilla Observatory Alternativen 2026, erklärt genau, was jedes Tool abdeckt, und zeigt, wie Sie Ihren alten Scan-Workflow ohne Lücken neu aufbauen.

Was ist mit Mozilla Observatory passiert?

Observatory entstand 2016 als internes Mozilla-Werkzeug, gebaut von Sicherheitsingenieurin April King, um Mozillas eigene Websites auf moderne Sicherheitsstandards zu bringen. Nach der Öffnung für die Allgemeinheit wurde es zur festen Größe der Web-Security-Szene: Bis zur Migration wurden 6,9 Millionen Websites in insgesamt 47 Millionen Scans geprüft, so MDN.

Die Migration war kein bloßes Rebranding. Das MDN-Team hat die Tests modernisiert:

• Der veraltete X-XSS-Protection-Test wurde entfernt.
• Die Alttests für Flash- und Silverlight-Policy-Dateien wurden entfernt.
• Ein neuer Test für Cross-Origin-Resource-Policy (CORP) kam hinzu.
• Die Bewertung der Referrer-Policy wurde überarbeitet.
• Scans sind jetzt auf einen pro Website alle 60 Sekunden begrenzt.

Eine Änderung wiegt schwerer als alle anderen: Das neue MDN HTTP Observatory analysiert ausschließlich die Sicherheit der HTTP-Antworten. Mozilla erklärt, es gebe keine Pläne, die TLS- und Zertifikatsanalyse zurückzubringen. Wer früher "Observatory laufen lassen, Header fixen, TLS-Tab prüfen" als Routine hatte, braucht für die zweite Hälfte jetzt ein anderes Werkzeug.

Worauf es bei einem Ersatz ankommt

Drei Fragen sortieren die Kandidaten schnell:

• Abdeckung. Header sind eine Ebene. Ein realistischer externer Audit umfasst auch TLS-Konfiguration und Zertifikatslaufzeiten, DNS-Einträge, E-Mail-Authentifizierung (SPF, DKIM, DMARC) und idealerweise die Frage, ob Ihre Zugangsdaten bereits im Dark Web kursieren.
• Umsetzbarkeit. Eine Note motiviert, aber der Bericht muss sagen, welcher Header auf welchen Wert zu ändern ist, nicht nur, dass etwas durchgefallen ist. Observatorys spielerische Jagd nach dem A+ funktionierte genau deshalb, weil Noten mit Dokumentation gekoppelt waren.
• Workflow-Tauglichkeit. Ratenlimits, Scan-Dauer, kontinuierliches Monitoring oder nur manuelle Scans, und der Preis.

Mit diesen Kriterien im Kopf: Das sind die Tools, die 2026 Ihre Zeit wert sind.

Die besten Mozilla Observatory Alternativen 2026

1. FortifyNet: am nächsten dran am vollständigen Observatory-Nachfolger

FortifyNet führt in rund 60 Sekunden einen kostenlosen Scan aus und deckt die sechs Bereiche ab, auf die es bei externen Audits am meisten ankommt: Security Header, SSL/TLS-Konfiguration samt Zertifikatslaufzeit, DNS-Gesundheit, E-Mail-Authentifizierung (SPF, DKIM und DMARC), Dark-Web-Exponierung der Domain-Zugangsdaten sowie Performance-Grundlagen. Das Ergebnis ist ein benoteter Bericht mit konkreten Korrekturen in klarer Sprache.

Genau diese Breite ist der Punkt. Das alte Mozilla Observatory bündelte HTTP- und TLS-Tests an einem Ort; FortifyNet stellt dieses Ein-Dashboard-Erlebnis wieder her und erweitert es um E-Mail-Authentifizierung und Leak-Exponierung, die Mozilla nie abdeckte. Der Scan selbst ist kostenlos und ohne Registrierung, kontinuierliches Monitoring und Alarme liegen in den Bezahlplänen, das Modell ist also Freemium statt komplett gratis.

Ideal für: Teams, die das gesamte externe Sicherheitsbild in einem Scan wollen.

Grenzen: ein Audit in die Breite, kein tiefgehender Penetrationstest.

2. MDN HTTP Observatory: der offizielle Nachfolger

Das MDN HTTP Observatory ist der direkte Nachfolger und in seinem schmaleren Auftrag weiterhin exzellent. Es fährt rund zehn Tests gegen Ihre HTTP-Antworten: Content-Security-Policy, Cookie-Konfiguration, CORS, Strict-Transport-Security, Redirect-Verhalten, Referrer-Policy, Subresource Integrity, X-Content-Type-Options, Clickjacking-Schutz über frame-ancestors und X-Frame-Options sowie CORP. Jeder durchgefallene Test verlinkt direkt in MDNs Sicherheitsleitfäden, einige der besten kostenlosen Unterlagen zum Thema, und die Scan-Historie des alten Observatory blieb erhalten.

Ideal für: tiefe, gut dokumentierte Header- und Policy-Analyse.

Grenzen: keine TLS-, Zertifikats-, DNS- oder E-Mail-Prüfungen; ein Scan pro Minute und Website.

3. securityheaders.com: die schnellste Header-Note

Scott Helmes securityheaders.com, inzwischen unter dem Dach von Snyk, ist der schnellste Weg zu einer Note von A+ bis F für Ihre Response-Header und hatte schon 2023 die Marke von 250 Millionen Scans passiert. Geprüft werden Vorhandensein und Plausibilität der wichtigsten Header: Content-Security-Policy, Strict-Transport-Security, X-Frame-Options, X-Content-Type-Options, Referrer-Policy und Permissions-Policy.

Ideal für: blitzschnelle Stichproben und Noten zum Teilen.

Grenzen: nur Header, und die Anleitungen sind knapper als bei MDN.

4. Qualys SSL Labs: die TLS-Tiefenanalyse

Für das eingestellte TLS Observatory gibt es einen offensichtlichen Ersatz: Der SSL Labs Server Test ist seit Jahren die Referenz für TLS-Analyse. Bewertet werden Protokollunterstützung, Cipher-Suiten, Schlüsselaustausch, Korrektheit der Zertifikatskette und bekannte Schwachstellen, kostenlos.

Ideal für: TLS- und Zertifikatskonfiguration in der Tiefe.

Grenzen: nur TLS, und ein vollständiger Scan kann einige Minuten pro Host dauern. Unser Leitfaden zum A+ im TLS-Rating ergänzt ihn gut.

5. Internet.nl: der Standards-Blickwinkel

Internet.nl, betrieben von der niederländischen Internet Standards Platform, prüft Websites und Mail-Domains gegen moderne offene Standards: IPv6, DNSSEC, HTTPS- und TLS-Einstellungen, Security Header sowie auf der E-Mail-Seite SPF, DKIM, DMARC, STARTTLS und DANE, dazu RPKI und security.txt. Das Ergebnis ist eine Prozentzahl statt einer Buchstabennote.

Ideal für: Standards-Konformität für Web und E-Mail in einem Durchgang.

Grenzen: Die Berichte lesen sich eher wie eine Compliance-Checkliste als wie eine Reparaturanleitung.

Ebenfalls gut zu wissen: Hardenize, der Konfigurations-Monitor von SSL-Labs-Autor Ivan Ristić, wurde übernommen und lebt heute im kommerziellen Attack-Surface-Management-Produkt von Red Sift weiter, ist also nicht mehr der kostenlose Schnellcheck von früher. Für das eingestellte SSH Observatory bleibt das Open-Source-Projekt ssh-audit der praktische Ersatz.

Der direkte Vergleich

Zählt man sechs gängige Audit-Bereiche (Security Header, TLS, DNS, E-Mail-Authentifizierung, Dark-Web-Exponierung, Performance), sieht die Abdeckung so aus:

Anzahl der sechs Audit-Bereiche, die jedes Tool abdeckt. Die Spezialwerkzeuge gehen in ihrem Bereich tiefer; das Diagramm zeigt Breite, nicht Tiefe.

So bauen Sie Ihren alten Observatory-Workflow neu auf

Welche Kombination Sie auch wählen: Die Header-Grundlagen entscheiden weiterhin über den Großteil der Note. Unsere Leitfäden zu HTTP Security Headern und HSTS behandeln genau die Werte, die Scanner belohnen.

Häufige Fragen

Gibt es Mozilla Observatory noch?

Der HTTP-Teil lebt als MDN HTTP Observatory weiter und bleibt kostenlos. Das ursprüngliche observatory.mozilla.org, samt TLS und SSH Observatory, wurde im September 2024 abgeschaltet. Die alte Scan-Historie blieb auf MDN erhalten.

Prüft das MDN HTTP Observatory TLS oder Zertifikate?

Nein. Mozillas FAQ stellt klar, dass sich das neue Tool auf HTTP-Daten konzentriert und keine Pläne bestehen, die TLS- oder Zertifikatsanalyse zurückzubringen. Kombinieren Sie es für diese Ebene mit SSL Labs oder einem FortifyNet-Scan.

Beweist ein A+, dass eine Website sicher ist?

Nein. Mozilla selbst ist da deutlich: Header-Scanner prüfen präventive Konfiguration, nicht Schwachstellen wie veraltete Software, injizierbare Formulare oder schwache Passwörter. Betrachten Sie das A+ als starke Basis, nicht als Sicherheitszertifikat.

Was ist die beste kostenlose Mozilla Observatory Alternative?

Nur Header: das MDN HTTP Observatory. Nur TLS: SSL Labs. Wenn ein Scan Header, TLS, DNS, E-Mail-Authentifizierung und Dark-Web-Exponierung zusammen abdecken soll, ist der kostenlose 60-Sekunden-Scan von FortifyNet der kürzeste Weg.

Alle sechs Bereiche in einer Minute prüfen

Das alte Observatory hat dem Web beigebracht, dass Noten Korrekturen anstoßen. Wer dafür nicht drei Einzweck-Scanner jonglieren möchte, startet einen kostenlosen FortifyNet-Scan: Header, TLS, DNS, E-Mail-Authentifizierung, Dark-Web-Exponierung und Performance in rund 60 Sekunden, ohne Registrierung.