Website-Sicherheitsaudit: der komplette Leitfaden 2026

Ein Website-Sicherheitsaudit ist eine strukturierte Überprüfung all dessen, was ein Angreifer von außerhalb Ihrer Organisation sehen und erreichen kann: Ihr TLS-Zertifikat und dessen Verschlüsselungskonfiguration, Ihre DNS-Einträge, Ihre E-Mail-Authentifizierung (SPF, DKIM und DMARC), Ihre HTTP-Sicherheits-Header, die Softwareversionen, die Sie in Antworten preisgeben, und alle Unternehmenszugangsdaten, die bereits im Darknet kursieren. Ein gutes Audit endet mit einer priorisierten Liste von Befunden, jeder mit einem Verantwortlichen und einer konkreten Behebung. Die von außen sichtbare Ebene lässt sich in etwa sechzig Sekunden automatisch scannen. Die vollständige Übung dauert, sauber durchgeführt, einen Nachmittag.

Dieser Leitfaden behandelt, was ein Audit tatsächlich prüft, die vier verfügbaren Tiefenstufen, einen Ablauf in acht Schritten, den Sie diese Woche durchführen können, und wie oft Sie ihn wiederholen sollten.

Warum die Bedrohungslage 2026 die Rechnung verändert

Der Data Breach Investigations Report 2026 von Verizon, veröffentlicht am 19. Mai 2026 und gestützt auf mehr als 31.000 Sicherheitsvorfälle und über 22.000 bestätigte Datenschutzverletzungen in 145 Ländern, stellte fest, dass die Ausnutzung von Schwachstellen bei 31 % der Verletzungen der initiale Zugangsvektor war. Das ist das erste Mal in neunzehn Ausgaben des Berichts, dass dieser Vektor gestohlene Zugangsdaten überholt, die auf 13 % fielen.

Zwei ergänzende Zahlen aus demselben Bericht erklären, warum seltenes Auditieren inzwischen teuer wird. Nur 26 % der kritischen Schwachstellen im Katalog Known Exploited Vulnerabilities der CISA wurden im Jahr 2025 vollständig behoben, gegenüber 38 % im Vorjahr. Und die mediane Zeit bis zur vollständigen Behebung einer Schwachstelle stieg auf 43 Tage. Angreifer werden schneller, während Verteidiger langsamer werden. Die Lücke, die Sie zwischen zwei Audits lassen, ist genau die Lücke, in der sie arbeiten.

Auch bei den Zertifikaten hat sich etwas geändert. Durch die Abstimmung SC-081v3 des CA/Browser Forums, die im April 2025 mit 29 zu 0 Stimmen angenommen wurde, sank die maximale Laufzeit eines öffentlich vertrauenswürdigen TLS-Zertifikats am 15. März 2026 von 398 auf 200 Tage. Sie sinkt am 15. März 2027 auf 100 Tage und am 15. März 2029 auf 47 Tage. Die Wiederverwendungsfristen für die Domainvalidierung schrumpfen zu denselben Terminen. Jeder Erneuerungsprozess, der noch darauf beruht, dass sich ein Mensch an einen Kalendereintrag erinnert, wird innerhalb dieses Zyklus scheitern. Damit wird der Zertifikatsablauf zu einem dauerhaften statt zu einem jährlichen Auditpunkt.

Was ein Website-Sicherheitsaudit tatsächlich prüft

Die ersten vier Zeilen sind diejenigen, die ein externer Scanner ganz ohne Zugriff auf Ihre Systeme bewerten kann. Genau deshalb sind sie der schnellste Einstiegspunkt und meist die Stelle, an der die ersten echten Befunde auftauchen.

Was Audits am häufigsten als fehlend vorfinden

Der Web Almanac 2025 des HTTP Archive, der Millionen realer Websites auswertet, hat gemessen, wie viele Websites die einzelnen schützenden HTTP-Header tatsächlich setzen. Die Antwort ist ernüchternd: Der am weitesten verbreitete Sicherheits-Header findet sich auf ungefähr der Hälfte der Websites, Content Security Policy auf knapp einem Fünftel.

Verbreitung zentraler HTTP-Sicherheits-Header auf mobilen Seiten. Quelle: HTTP Archive Web Almanac 2025, Kapitel Sicherheit. Die Werte für X-Content-Type-Options und X-Frame-Options sind wie veröffentlicht Näherungswerte.

Strict-Transport-Security erreichte 2025 36 % der Seiten, sechs Prozentpunkte mehr als 2024 und der stärkste Zuwachs des Jahres. Content Security Policy wuchs von 18,5 % auf 21,9 %. Neuere Schutzmechanismen wie Permissions-Policy und Cross-Origin-Opener-Policy liegen weiterhin unter 10 %. Selbst unter den Websites, die CSP tatsächlich einsetzen, erlauben 92 % nach wie vor unsafe-inline in script-src und 77 % erlauben unsafe-eval, womit der größte Teil des beabsichtigten Schutzes entfällt. Einen Header einzuführen ist nicht dasselbe, wie ihn gut zu konfigurieren, und ein echtes Audit prüft den Wert, nicht nur das Vorhandensein.

Bei der Transportverschlüsselung sieht es deutlich besser aus. TLS 1.3 trägt inzwischen rund 76 % der Seitenaufrufe, TLS 1.2 ist auf 13 bis 15 % gefallen, und die HTTPS-Verbreitung liegt in jedem vom Almanac gemessenen Land über 95 %, mit Ausnahme Japans. Wenn Ihr Audit noch TLS 1.0 oder 1.1 aktiviert findet, gehören Sie zu einer kleinen und auffälligen Minderheit.

Die E-Mail-Authentifizierung bleibt die größte Lücke von allen. Der Bericht State of Email Authentication 2026 von DMARCguard, ein am 27. Februar 2026 abgeschlossener Scan von 5.499.028 Tranco-gelisteten Domains, fand SPF auf 56,0 % der Domains, DMARC auf 30,4 % und DKIM auf lediglich 22,7 %.

Die vier Auditstufen und wann sich welche lohnt

Die meisten Organisationen sollten die erste Zeile als dauerhaft aktiv betrachten und je nach Risiko eine der anderen drei pro Jahr wählen. Einen Penetrationstest für eine Website zu beauftragen, die noch an einem automatisierten Scan scheitert, ist verschwendet, weil der Tester den Auftrag damit verbringt, Befunde zu melden, die ein kostenloses Werkzeug in einer Minute gefunden hätte.

Ein Website-Sicherheitsaudit in acht Schritten

1. Inventarisieren Sie, was Ihnen gehört. Listen Sie jede Domain, Subdomain und jeden Drittanbieterdienst auf, der unter Ihrer Marke erscheint. Audits scheitern am häufigsten daran, dass der verwundbare Host einer war, an dessen Existenz sich niemand erinnerte.
2. Führen Sie zuerst einen externen Scan durch. Verschaffen Sie sich das Bild von außen nach innen, bevor Sie jemandes Zeit investieren. So wissen Sie, welche der sieben Ebenen oben bereits versagen.
3. Prüfen Sie Zertifikate und automatische Erneuerung. Kontrollieren Sie Ablauf, Kette und Hostnamen-Abdeckung und prüfen Sie anschließend, ob die Erneuerung automatisiert ist. Bei der jetzt geltenden Grenze von 200 Tagen ist eine manuelle Erneuerung ein geplanter Ausfall.
4. Suchen Sie nach verwaisten DNS-Einträgen. Jeder CNAME, der auf einen nicht mehr genutzten Dienst zeigt, ist eine Subdomain-Übernahme, die nur darauf wartet, zu passieren. Entfernen Sie veraltete Einträge, statt sie liegen zu lassen.
5. Validieren Sie die E-Mail-Authentifizierung durchgängig. Stellen Sie sicher, dass Ihr SPF-Eintrag innerhalb des Budgets von zehn DNS-Lookups bleibt, dass DKIM alle sendenden Quellen signiert und dass DMARC eine strengere Richtlinie als p=none mit einer funktionierenden Berichtsadresse hat.
6. Prüfen Sie die Header-Werte, nicht nur deren Vorhandensein. Eine CSP voller unsafe-inline und ein HSTS mit max-age von 300 Sekunden bestehen beide eine naive Checkliste und schützen niemanden.
7. Patchen Sie nach Ausnutzbarkeit, nicht allein nach CVSS-Wert. Alles aus dem CISA-Katalog Known Exploited Vulnerabilities, das Ihren Stack betrifft, kommt zuerst.
8. Halten Sie die Befunde mit Verantwortlichem und Datum schriftlich fest. Ein Audit, das in einem Gespräch statt in einem Ticket endet, hat nicht stattgefunden.

Ihre Befunde den OWASP Top 10:2025 zuordnen

OWASP hat die Ausgabe 2025 seiner Top 10 im Januar 2026 veröffentlicht, nachdem sie im November 2025 auf der Global AppSec in Washington DC vorgestellt worden war. Zwei Kategorien sind neu, und beide sind für den heutigen Umfang eines Audits relevant.

Der Aufstieg der Sicherheitsfehlkonfiguration auf Platz zwei ist hier das mit Abstand nützlichste Signal für alle, die ein Audit planen. Es ist die Kategorie, die ein externer Scan am vollständigsten abdeckt, und zugleich die Kategorie, die am häufigsten demjenigen überlassen bleibt, der den Server vor Jahren aufgesetzt hat.

Wie oft sollten Sie auditieren?

Laufend für alles Automatisierbare, vierteljährlich für alles, was Beurteilung erfordert, und unmittelbar nach jedem dieser Ereignisse: einer Plattform- oder Hosting-Migration, einem Wechsel des E-Mail-Anbieters, einer neu live gegangenen Subdomain, einem Major-Versionssprung einer Abhängigkeit oder dem Ausscheiden einer Person mit administrativem Zugriff. Die Verizon-Zahl, dass Dritte inzwischen bei 48 % der Verletzungen eine Rolle spielen, ein Anstieg von 60 % im Jahresvergleich, bedeutet, dass ein Lieferantenwechsel dieselbe Behandlung verdient wie eine Änderung im eigenen Haus.

Häufig gestellte Fragen

Wie lange dauert ein Website-Sicherheitsaudit? Ein automatisierter externer Scan von Zertifikaten, DNS, E-Mail-Authentifizierung, Headern und Exposition ist in etwa einer Minute abgeschlossen. Eine gründliche interne Durchsicht der Befunde mit zugewiesenen Behebungen dauert bei einer kleinen Website typischerweise einen halben Tag.

Brauche ich einen Penetrationstest, oder reicht ein Scan? Ein Scan ist für jede Website der richtige und ausreichende Startpunkt und das Einzige, was sich sinnvoll dauerhaft betreiben lässt. Ein Penetrationstest bringt Mehrwert, sobald Ihre automatisierten Befunde sauber sind und Sie über angemeldete Funktionen, Zahlungen oder personenbezogene Daten verfügen, die einen Angriff lohnen.

Lässt sich ein Audit ohne Zugriff auf meinen Server durchführen? Die meisten der wertvollsten Prüfungen ja. TLS-Konfiguration, Zertifikatsgültigkeit, DNS-Hygiene, SPF, DKIM, DMARC, Sicherheits-Header und Darknet-Exposition lassen sich alle aus dem öffentlichen Internet bewerten. Codeprüfung und authentifizierte Tests sind die Teile, die Zugriff benötigen.

Was sollte nach einem Audit zuerst behoben werden? Alles aus dem CISA-Katalog Known Exploited Vulnerabilities, danach ein ablaufendes oder fehlkonfiguriertes Zertifikat, danach eine DMARC-Richtlinie mit p=none. Diese drei machen gemessen am Behebungsaufwand einen unverhältnismäßig großen Anteil realer Kompromittierungen aus.

Beginnen Sie mit der Sechzig-Sekunden-Version

Sie können nicht beheben, was Sie nicht gemessen haben, und die von außen sichtbare Ebene eines Website-Sicherheitsaudits lässt sich kostenlos messen. Der Scanner von FortifyNet prüft Ihre SSL- und TLS-Konfiguration, Ihre DNS-Einträge, SPF, DKIM und DMARC, HTTP-Sicherheits-Header, Darknet-Exposition und Performance in etwa sechzig Sekunden und liefert eine priorisierte Liste statt einer Wand aus Rohdaten. Führen Sie ihn für Ihre Domain aus, beheben Sie, was er findet, und entscheiden Sie danach, ob Sie die tieferen Stufen benötigen.

Verwandte Leitfäden

• Checkliste für Website-Sicherheit
• Schwachstellenscanner für Websites
• Leitfaden zu HTTP-Sicherheits-Headern
• Sicherheit von SSL- und TLS-Zertifikaten