--- title: "Sicherheits PHP Scan" seoTitle: "Website-Sicherheit prüfen: Kostenloser Check | onlinewachsen" siteName: "onlinewachsen.de" url: "https://onlinewachsen.de/website-sicherheit-pruefen/" canonical: "https://onlinewachsen.de/website-sicherheit-pruefen/" markdown: "https://onlinewachsen.de/website-sicherheit-pruefen.md" describedby: "https://onlinewachsen.de/llms.txt" description: "Prüfen Sie kostenlos, ob Ihre Website sicher ist oder gehackt wurde: SSL, Updates, Hack-Spuren, E-Mail-Schutz und DSGVO in einer Minute." datePublished: "2026-10-23T19:15:12+00:00" dateModified: "2026-10-23T19:31:06+00:00" author: name: "onlinewachsen.de" publisher: name: "onlinewachsen.de" url: "https://onlinewachsen.de/" language: "de" contentType: "text/markdown" schema: - "Answer" - "FAQPage" - "HowTo" - "HowToStep" - "Offer" - "Question" - "WebApplication" --- # Sicherheits PHP Scan > Prüfen Sie kostenlos, ob Ihre Website sicher ist oder gehackt wurde: SSL, Updates, Hack-Spuren, E-Mail-Schutz und DSGVO in einer Minute. Kostenloser Website-Sicherheitscheck ## Website-Sicherheit prüfen: Ist Ihre Website sicher? Der kostenlose Sicherheitscheck von onlinewachsen.de zeigt in unter einer Minute, ob Ihre Website sauber verschlüsselt ist, ob WordPress und Plugins aktuell sind, ob es Spuren eines Hacks gibt und ob Ihre Domain gegen gefälschte E-Mails geschützt ist. Sie erhalten eine Note von 0 bis 100 und zu jedem Befund eine konkrete Empfehlung. - Ohne Anmeldung - Keine Angriffe, nur öffentliche Daten - Für WordPress und jedes andere System Stand der Prüfregeln: Oktober 2026 ## Was der Website-Sicherheitscheck prüft Der Check wertet sechs Bereiche aus. Er ruft Ihre Startseite so ab, wie es ein Browser und die Google-Suche tun, und fragt die öffentlichen DNS-Einträge Ihrer Domain ab. Angriffe werden dabei nicht simuliert, es werden keine Passwörter getestet und keine geschützten Bereiche aufgerufen. 1. ### Verschlüsselung Ist die Verbindung zu Ihrer Website sicher? - HTTPS und gültiges SSL-Zertifikat - Ablaufdatum des Zertifikats - Umleitung von HTTP auf HTTPS - HSTS und aktuelle TLS-Version - Unverschlüsselt nachgeladene Dateien 2. ### Software und Updates Läuft auf Ihrer Website veraltete Software? - PHP-Version des Servers - WordPress-Version im Vergleich zur aktuellen - Plugins und Theme im Abgleich mit dem WordPress-Verzeichnis 3. ### Anzeichen für Angriffe Gibt es Spuren eines Hacks? - Eingeschleuste Spam-Begriffe - Versteckte Links auf fremde Domains - Verschleierter Schadcode im Quelltext - Andere Inhalte für Google als für Besucher (Cloaking) - Weiterleitungen nur für Smartphone-Nutzer 4. ### Server-Konfiguration Gibt der Server zu viel preis? - Sicherheits-Header gegen Clickjacking - Sichtbare Software-Versionen - Offene XML-RPC-Schnittstelle bei WordPress - Öffentlich abrufbare Benutzernamen - Durchsuchbare Verzeichnisse 5. ### E-Mail-Schutz Kann jemand in Ihrem Namen E-Mails verschicken? - SPF-Eintrag der Domain - DMARC-Richtlinie - DKIM-Signatur unter gängigen Namen - Hinterlegte Mailserver 6. ### Datenschutz Werden Daten ohne Einwilligung übertragen? - Google Fonts von Google-Servern - Cookie-Banner und Tracker vor der Einwilligung - YouTube, Google Maps und andere Einbettungen - Links zu Impressum und Datenschutzerklärung ## Wurde meine Website gehackt? Sieben typische Anzeichen Ein Hack fällt Betreibern oft erst spät auf, weil Angreifer ihre Spuren gezielt verstecken. Google beschreibt zum Beispiel Fälle, in denen Spam nur der Suchmaschine gezeigt wird, während Besucher eine ganz normale Seite sehen ([Google, web.dev](https://web.dev/articles/how-do-i-know-if-my-site-was-hacked?hl=de)). Diese Anzeichen sollten Sie ernst nehmen: 1. ### Warnhinweise in Google oder im Browser Google kennzeichnet Ihre Seiten in den Suchergebnissen als möglicherweise gehackt, oder Chrome zeigt vor dem Aufruf eine rote Warnseite. In der Google Search Console steht der Befund im Bericht "Sicherheitsprobleme". 2. ### Fremde Seiten im Google-Index Geben Sie bei Google `site:ihre-domain.de` ein. Tauchen Seiten mit japanischen Schriftzeichen, Pharma- oder Casino-Begriffen auf, die Sie nie angelegt haben, wurden sie sehr wahrscheinlich eingeschleust. 3. ### Weiterleitungen auf fremde Websites Besucher landen plötzlich auf Spam- oder Betrugsseiten. Oft passiert das nur auf dem Smartphone oder nur beim Klick aus der Google-Suche, damit es am eigenen Rechner nicht auffällt. 4. ### Unbekannte Benutzer oder Dateien Im WordPress-Backend gibt es Administratoren, die niemand angelegt hat, oder auf dem Server liegen neue PHP-Dateien mit kryptischen Namen. 5. ### Versteckte Links und fremder Code Im Quelltext stehen unsichtbare Links auf fremde Domains oder Skripte, deren Inhalt absichtlich unlesbar gemacht wurde. 6. ### E-Mails landen im Spam Ihre Domain steht auf Sperrlisten, oder Kunden erhalten gefälschte E-Mails mit Ihrem Absender. Ursache ist oft ein gehackter Server, der Spam verschickt, oder ein fehlender Schutz durch SPF und DMARC. 7. ### Der Hoster sperrt das Paket Viele Hoster sperren Websites, die Schadcode ausliefern oder massenhaft E-Mails versenden. Auch eine ungewöhnlich hohe Serverlast ist ein Warnsignal. Weiterleitungen, versteckte Links, verschleierten Code, Cloaking und fehlenden E-Mail-Schutz erkennt der [Sicherheitscheck oben](#check) automatisch. Für die übrigen Punkte brauchen Sie Zugriff auf Backend, Server oder Search Console. ## Website gehackt: Was jetzt zu tun ist Wurde Ihre Website gehackt, zählt jede Stunde. Gehen Sie in dieser Reihenfolge vor, damit keine Spuren verloren gehen und der Angreifer nicht über dieselbe Lücke zurückkommt. 1. ### Zustand sichern Legen Sie ein vollständiges Backup von Dateien und Datenbank an, bevor Sie etwas ändern. Es hilft später bei der Suche nach der Ursache. 2. ### Alle Zugänge ändern Setzen Sie die Passwörter für WordPress-Admins, Hosting, FTP oder SFTP und Datenbank neu und aktivieren Sie eine Zwei-Faktor-Anmeldung. 3. ### Schadcode entfernen Spielen Sie ein sauberes Backup aus der Zeit vor dem Angriff ein oder ersetzen Sie manipulierte Dateien gezielt. Aktualisieren Sie danach WordPress, Theme und alle Plugins. 4. ### Ursache schließen Löschen Sie nicht genutzte Plugins und fremde Admin-Konten und finden Sie heraus, über welche Lücke der Angreifer kam. Sonst ist die Website oft nach wenigen Tagen erneut befallen. 5. ### Google informieren Beantragen Sie in der Search Console unter "Sicherheitsprobleme" eine Überprüfung, sobald die Website sauber ist. Erst danach verschwinden die Warnhinweise. 6. ### Datenschutz prüfen Konnten Angreifer auf personenbezogene Daten zugreifen, etwa auf Kontaktanfragen oder Kundenkonten, muss die Verletzung in der Regel innerhalb von 72 Stunden der Datenschutzaufsicht gemeldet werden ([Art. 33 DSGVO](https://dsgvo-gesetz.de/art-33-dsgvo/)). Sie möchten das nicht selbst übernehmen? Wir unterstützen Sie bei der Bereinigung und sichern die Website danach dauerhaft ab. Diese Übersicht ersetzt keine Rechtsberatung. ## Warum WordPress-Websites so oft betroffen sind WordPress ist das meistgenutzte Content-Management-System der Welt und läuft laut [W3Techs](https://w3techs.com/technologies/details/cm-wordpress) auf gut 40 Prozent aller Websites. Das macht es zum bevorzugten Ziel automatisierter Angriffe, die tausende Websites gleichzeitig nach bekannten Lücken durchsuchen. Das System selbst ist dabei selten das Problem. Laut dem [Sicherheitsbericht von Patchstack](https://patchstack.com/whitepaper/state-of-wordpress-security-in-2026/) wurden 2025 insgesamt 11.334 neue Sicherheitslücken im WordPress-Umfeld bekannt. 91 Prozent davon betrafen Plugins, 9 Prozent Themes und nur 6 Lücken WordPress selbst. Besonders kritisch ist das Tempo: Stark ausgenutzte Lücken wurden im Median schon fünf Stunden nach Bekanntwerden angegriffen. Für Betreiber heißt das: Updates sind keine Kür. Wer Plugins nur alle paar Monate aktualisiert, lässt bekannte Lücken wochenlang offen. Der Check oben zeigt, welche Plugins auf Ihrer Website von außen erkennbar und vermutlich veraltet sind. ## So funktioniert der Sicherheitscheck 1. ### Domain eingeben Ohne Anmeldung. Es genügt die Adresse, zum Beispiel ihre-firma.de. 2. ### Automatische Prüfung Der Check ruft die Startseite wie ein Browser, wie ein Smartphone und wie der Google-Crawler ab, vergleicht Versionen mit dem WordPress-Verzeichnis und liest die DNS-Einträge Ihrer Domain. 3. ### Ergebnis und Bericht Sie sehen sofort die Gesamtnote und eine Ampel je Bereich. Den vollständigen Bericht mit Erklärungen und Empfehlungen erhalten Sie per E-Mail. ### Was der Check nicht leisten kann Der Schnellcheck sieht nur, was öffentlich abrufbar ist, und wertet die Startseite aus. Schadcode, der nur auf Unterseiten oder zeitweise auftritt, kann unentdeckt bleiben, genauso wie Lücken in Plugins, deren Version nicht sichtbar ist. Ein gutes Ergebnis bedeutet deshalb nicht, dass Ihre Website sicher ist. Für eine belastbare Aussage braucht es eine Prüfung mit Zugang zu Server und Backend. ## Häufige Fragen zum Website-Sicherheitscheck ### Ist der Website-Sicherheitscheck kostenlos? Ja. Prüfung und Ergebnis sind kostenlos und ohne Anmeldung. Für den vollständigen Bericht mit Erklärungen und Empfehlungen geben Sie Name und E-Mail-Adresse an. Daraus entsteht keine Verpflichtung. ### Ist der Check für meine Website gefährlich? Nein. Der Check ruft nur Informationen ab, die jeder Browser und jede Suchmaschine ebenfalls sieht, und liest öffentliche DNS-Einträge. Er testet keine Passwörter, simuliert keine Angriffe und greift nicht auf geschützte Bereiche zu. Die Last entspricht wenigen normalen Seitenaufrufen. ### Wie erkenne ich, ob meine Website gehackt wurde? Typische Anzeichen sind Warnhinweise in Google oder im Browser, fremde Seiten bei einer site:-Abfrage, Weiterleitungen auf fremde Websites und unbekannte Admin-Konten. Versteckte Links, verschleierten Code, Cloaking und Weiterleitungen für Smartphones erkennt der Sicherheitscheck automatisch. ### Bedeutet ein gutes Ergebnis, dass meine Website sicher ist? Nein. Der Schnellcheck wertet nur öffentlich sichtbare Merkmale der Startseite aus. Schadcode auf Unterseiten oder Lücken in Plugins, deren Version nicht sichtbar ist, kann er nicht erkennen. Für eine belastbare Aussage braucht es eine Prüfung mit Zugang zu Server und Backend. ### Wie oft sollte ich die Sicherheit meiner Website prüfen? Mindestens nach jeder größeren Änderung und danach regelmäßig, zum Beispiel einmal im Monat. Updates sollten Sie häufiger einspielen: Laut Patchstack wurden stark ausgenutzte WordPress-Lücken 2025 im Median schon fünf Stunden nach Bekanntwerden angegriffen. ### Was sind SPF, DKIM und DMARC? Das sind drei DNS-Einträge, die Ihre Domain vor gefälschten E-Mails schützen. SPF legt fest, welche Server im Namen Ihrer Domain senden dürfen. DKIM signiert ausgehende E-Mails digital. DMARC bestimmt, was Empfänger mit E-Mails tun sollen, die diese Prüfungen nicht bestehen. ### Warum gelten extern geladene Google Fonts als Risiko? Werden Schriften direkt von Google-Servern geladen, wird die IP-Adresse jedes Besuchers ohne Einwilligung an Google übertragen. Das Landgericht München I hat dafür am 20.01.2022 Schadensersatz zugesprochen (Az. 3 O 17493/20). Danach folgten zahlreiche Abmahnungen. Die Lösung ist, die Schriften lokal auf dem eigenen Server einzubinden. ### Funktioniert der Check auch ohne WordPress? Ja. Verschlüsselung, Hack-Anzeichen, Server-Konfiguration, E-Mail-Schutz und Datenschutz werden für jede Website geprüft. Die Prüfung von WordPress-Version und Plugins läuft nur, wenn WordPress erkannt wird. ### Was passiert mit meinen Daten? Das Prüfergebnis wird höchstens 30 Tage gespeichert, Ihre IP-Adresse nur als nicht umkehrbarer Hashwert zum Schutz vor Missbrauch. Fordern Sie den Bericht an, nutzen wir Name und E-Mail-Adresse für den Versand und kontaktieren Sie nur, wenn Sie dem zugestimmt haben.