Was Fremde in 10 Sekunden über deine Website herausfinden — und was davon gefährlich ist

Es braucht keinen Hacker-Film: Was ich gleich beschreibe, sieht jeder — mit dem Browser und zehn Sekunden Zeit. Deine Website erzählt Fremden mehr über deinen Betrieb, als dir vielleicht lieb ist. Meist ist das harmlos. Vier Dinge davon sind es nicht, denn sie sind für Betrüger eine Einladung. Alle vier prüft mein Website-Check automatisch — hier ist, was dahintersteckt und wie du sie behebst.

1. Läuft die Seite verschlüsselt? (HTTPS)

Das Schloss-Symbol in der Adresszeile. Fehlt es, markiert der Browser deine Seite als «Nicht sicher» — direkt neben deinem Firmennamen. Alles, was Besucher in Formulare tippen, reist dann unverschlüsselt durchs Netz.

2026 gibt es dafür keine Ausrede mehr: Die Zertifikate sind gratis und bei jedem seriösen Hoster mit einem Klick aktiviert. Wichtig ist der zweite Schritt, den viele vergessen — die unverschlüsselte Version muss automatisch umleiten. Sonst existiert deine Seite doppelt, einmal sicher und einmal nicht.

2. Verrät deine Website, welche Software läuft?

Viele Websites tragen im Quellcode ein Etikett: «Erstellt mit WordPress 6.2» — der sogenannte Generator-Tag. Klingt harmlos, ist aber die nützlichste Information überhaupt für Angreifer: Zu jeder älteren Version gibt es öffentliche Listen bekannter Sicherheitslücken. Dein Etikett sagt ihnen, welchen Dietrich sie mitbringen müssen. Automatisierte Scanner durchkämmen das Netz genau danach — als KMU bist du nicht zu klein, um angegriffen zu werden, nur klein genug, dass es niemand merkt.

Die Abhilfe ist zweistufig: Den Generator-Tag entfernen (bei WordPress eine Zeile im Theme oder ein Sicherheits-Plugin) — und, wichtiger, Updates ernst nehmen. Das Etikett zu verstecken nützt wenig, wenn die Tür dahinter offen steht.

3. Kann man in deinem Namen E-Mails verschicken?

Der unbekannteste Punkt, und der mit dem grössten Schadenpotenzial. Ohne zwei DNS-Einträge namens SPF und DMARC kann jeder Absender der Welt E-Mails verschicken, die aussehen, als kämen sie von deinefirma.ch. Nicht theoretisch — genau so funktionieren die Rechnungs-Betrugsmails, die angeblich vom Chef kommen. Und als Nebenwirkung landen deine echten Mails öfter im Spam, weil du deine Domain nicht als geschützt ausweist.

Beide Einträge setzt du im DNS deiner Domain — dort, wo du sie registriert hast. SPF sagt, welche Server für dich senden dürfen; DMARC sagt, was mit Fälschungen passieren soll. Dein Mail-Anbieter liefert die genauen Werte in seiner Anleitung; das Eintragen ist Copy-Paste-Arbeit. Wenn dir das DNS-Panel fremd ist: Das ist ein Fünf-Minuten-Auftrag für deinen Websiteler. Mehr zum Thema Firmen-Mail steht im Artikel zur eigenen Mail-Domain.

4. Steckt Technik von vorgestern im Code?

Flash, Frames, uralte JavaScript-Bibliotheken — Techniksignale aus einer anderen Zeit. Sie sind doppelt schlecht: Alte Bibliotheken haben bekannte Lücken, die nie mehr gestopft werden. Und sie verraten, dass die Website seit Jahren niemand angefasst hat — was für Angreifer heisst: Hier schaut keiner hin. Eine Website, die so alt ist, flickt man nicht — die baut man neu, günstiger als du denkst.

Der Nachmittags-Plan

1. Check laufen lassen: waeltibidu.ch/website-check — die Punkte oben stehen in den Gruppen «Grundlagen» direkt im Resultat.
2. HTTPS samt Umleitung beim Hoster aktivieren, falls rot.
3. SPF und DMARC nach Anleitung deines Mail-Anbieters ins DNS — der wirkungsvollste der vier Punkte.
4. Generator-Tag entfernen und Updates einplanen — am besten als festen Monatstermin, wie das Ölwechsel-Kleben in der Werkstatt.

Nichts davon braucht einen Sicherheitsberater. Aber alles davon ist billiger, bevor etwas passiert: Eine gefälschte Rechnung an deinen besten Kunden kostet mehr als zehn Jahre Hosting. Wenn du beim Aufräumen Hilfe willst: Meld dich — die vier Punkte sind bei mir Teil der Grundhygiene, kein Spezialprojekt.