Kostenloser Website-Sicherheitscheck
Website-Sicherheit prüfen: Ist Ihre Website sicher?
Der kostenlose Sicherheitscheck von onlinewachsen.de zeigt in unter einer Minute, ob Ihre Website sauber verschlüsselt ist, ob WordPress und Plugins aktuell sind, ob es Spuren eines Hacks gibt und ob Ihre Domain gegen gefälschte E-Mails geschützt ist. Sie erhalten eine Note von 0 bis 100 und zu jedem Befund eine konkrete Empfehlung.
- Ohne Anmeldung
- Keine Angriffe, nur öffentliche Daten
- Für WordPress und jedes andere System
Stand der Prüfregeln: Oktober 2026
Was der Website-Sicherheitscheck prüft
Der Check wertet sechs Bereiche aus. Er ruft Ihre Startseite so ab, wie es ein Browser und die Google-Suche tun, und fragt die öffentlichen DNS-Einträge Ihrer Domain ab. Angriffe werden dabei nicht simuliert, es werden keine Passwörter getestet und keine geschützten Bereiche aufgerufen.
Verschlüsselung
Ist die Verbindung zu Ihrer Website sicher?
- HTTPS und gültiges SSL-Zertifikat
- Ablaufdatum des Zertifikats
- Umleitung von HTTP auf HTTPS
- HSTS und aktuelle TLS-Version
- Unverschlüsselt nachgeladene Dateien
Software und Updates
Läuft auf Ihrer Website veraltete Software?
- PHP-Version des Servers
- WordPress-Version im Vergleich zur aktuellen
- Plugins und Theme im Abgleich mit dem WordPress-Verzeichnis
Anzeichen für Angriffe
Gibt es Spuren eines Hacks?
- Eingeschleuste Spam-Begriffe
- Versteckte Links auf fremde Domains
- Verschleierter Schadcode im Quelltext
- Andere Inhalte für Google als für Besucher (Cloaking)
- Weiterleitungen nur für Smartphone-Nutzer
Server-Konfiguration
Gibt der Server zu viel preis?
- Sicherheits-Header gegen Clickjacking
- Sichtbare Software-Versionen
- Offene XML-RPC-Schnittstelle bei WordPress
- Öffentlich abrufbare Benutzernamen
- Durchsuchbare Verzeichnisse
E-Mail-Schutz
Kann jemand in Ihrem Namen E-Mails verschicken?
- SPF-Eintrag der Domain
- DMARC-Richtlinie
- DKIM-Signatur unter gängigen Namen
- Hinterlegte Mailserver
Datenschutz
Werden Daten ohne Einwilligung übertragen?
- Google Fonts von Google-Servern
- Cookie-Banner und Tracker vor der Einwilligung
- YouTube, Google Maps und andere Einbettungen
- Links zu Impressum und Datenschutzerklärung
Wurde meine Website gehackt? Sieben typische Anzeichen
Ein Hack fällt Betreibern oft erst spät auf, weil Angreifer ihre Spuren gezielt verstecken. Google beschreibt zum Beispiel Fälle, in denen Spam nur der Suchmaschine gezeigt wird, während Besucher eine ganz normale Seite sehen (Google, web.dev). Diese Anzeichen sollten Sie ernst nehmen:
Warnhinweise in Google oder im Browser
Google kennzeichnet Ihre Seiten in den Suchergebnissen als möglicherweise gehackt, oder Chrome zeigt vor dem Aufruf eine rote Warnseite. In der Google Search Console steht der Befund im Bericht "Sicherheitsprobleme".
Fremde Seiten im Google-Index
Geben Sie bei Google
site:ihre-domain.deein. Tauchen Seiten mit japanischen Schriftzeichen, Pharma- oder Casino-Begriffen auf, die Sie nie angelegt haben, wurden sie sehr wahrscheinlich eingeschleust.Weiterleitungen auf fremde Websites
Besucher landen plötzlich auf Spam- oder Betrugsseiten. Oft passiert das nur auf dem Smartphone oder nur beim Klick aus der Google-Suche, damit es am eigenen Rechner nicht auffällt.
Unbekannte Benutzer oder Dateien
Im WordPress-Backend gibt es Administratoren, die niemand angelegt hat, oder auf dem Server liegen neue PHP-Dateien mit kryptischen Namen.
Versteckte Links und fremder Code
Im Quelltext stehen unsichtbare Links auf fremde Domains oder Skripte, deren Inhalt absichtlich unlesbar gemacht wurde.
E-Mails landen im Spam
Ihre Domain steht auf Sperrlisten, oder Kunden erhalten gefälschte E-Mails mit Ihrem Absender. Ursache ist oft ein gehackter Server, der Spam verschickt, oder ein fehlender Schutz durch SPF und DMARC.
Der Hoster sperrt das Paket
Viele Hoster sperren Websites, die Schadcode ausliefern oder massenhaft E-Mails versenden. Auch eine ungewöhnlich hohe Serverlast ist ein Warnsignal.
Weiterleitungen, versteckte Links, verschleierten Code, Cloaking und fehlenden E-Mail-Schutz erkennt der Sicherheitscheck oben automatisch. Für die übrigen Punkte brauchen Sie Zugriff auf Backend, Server oder Search Console.
Website gehackt: Was jetzt zu tun ist
Wurde Ihre Website gehackt, zählt jede Stunde. Gehen Sie in dieser Reihenfolge vor, damit keine Spuren verloren gehen und der Angreifer nicht über dieselbe Lücke zurückkommt.
Zustand sichern
Legen Sie ein vollständiges Backup von Dateien und Datenbank an, bevor Sie etwas ändern. Es hilft später bei der Suche nach der Ursache.
Alle Zugänge ändern
Setzen Sie die Passwörter für WordPress-Admins, Hosting, FTP oder SFTP und Datenbank neu und aktivieren Sie eine Zwei-Faktor-Anmeldung.
Schadcode entfernen
Spielen Sie ein sauberes Backup aus der Zeit vor dem Angriff ein oder ersetzen Sie manipulierte Dateien gezielt. Aktualisieren Sie danach WordPress, Theme und alle Plugins.
Ursache schließen
Löschen Sie nicht genutzte Plugins und fremde Admin-Konten und finden Sie heraus, über welche Lücke der Angreifer kam. Sonst ist die Website oft nach wenigen Tagen erneut befallen.
Google informieren
Beantragen Sie in der Search Console unter "Sicherheitsprobleme" eine Überprüfung, sobald die Website sauber ist. Erst danach verschwinden die Warnhinweise.
Datenschutz prüfen
Konnten Angreifer auf personenbezogene Daten zugreifen, etwa auf Kontaktanfragen oder Kundenkonten, muss die Verletzung in der Regel innerhalb von 72 Stunden der Datenschutzaufsicht gemeldet werden (Art. 33 DSGVO).
Sie möchten das nicht selbst übernehmen? Wir unterstützen Sie bei der Bereinigung und sichern die Website danach dauerhaft ab. Diese Übersicht ersetzt keine Rechtsberatung.
Warum WordPress-Websites so oft betroffen sind
WordPress ist das meistgenutzte Content-Management-System der Welt und läuft laut W3Techs auf gut 40 Prozent aller Websites. Das macht es zum bevorzugten Ziel automatisierter Angriffe, die tausende Websites gleichzeitig nach bekannten Lücken durchsuchen.
Das System selbst ist dabei selten das Problem. Laut dem Sicherheitsbericht von Patchstack wurden 2025 insgesamt 11.334 neue Sicherheitslücken im WordPress-Umfeld bekannt. 91 Prozent davon betrafen Plugins, 9 Prozent Themes und nur 6 Lücken WordPress selbst. Besonders kritisch ist das Tempo: Stark ausgenutzte Lücken wurden im Median schon fünf Stunden nach Bekanntwerden angegriffen.
Für Betreiber heißt das: Updates sind keine Kür. Wer Plugins nur alle paar Monate aktualisiert, lässt bekannte Lücken wochenlang offen. Der Check oben zeigt, welche Plugins auf Ihrer Website von außen erkennbar und vermutlich veraltet sind.
So funktioniert der Sicherheitscheck
Domain eingeben
Ohne Anmeldung. Es genügt die Adresse, zum Beispiel ihre-firma.de.
Automatische Prüfung
Der Check ruft die Startseite wie ein Browser, wie ein Smartphone und wie der Google-Crawler ab, vergleicht Versionen mit dem WordPress-Verzeichnis und liest die DNS-Einträge Ihrer Domain.
Ergebnis und Bericht
Sie sehen sofort die Gesamtnote und eine Ampel je Bereich. Den vollständigen Bericht mit Erklärungen und Empfehlungen erhalten Sie per E-Mail.
Was der Check nicht leisten kann
Der Schnellcheck sieht nur, was öffentlich abrufbar ist, und wertet die Startseite aus. Schadcode, der nur auf Unterseiten oder zeitweise auftritt, kann unentdeckt bleiben, genauso wie Lücken in Plugins, deren Version nicht sichtbar ist. Ein gutes Ergebnis bedeutet deshalb nicht, dass Ihre Website sicher ist. Für eine belastbare Aussage braucht es eine Prüfung mit Zugang zu Server und Backend.
Sicherheit ist kein einmaliger Check
Neue Lücken werden jede Woche bekannt. Mit der laufenden Website-Betreuung von onlinewachsen.de übernehmen wir Updates, Wartung und technischen Support, damit Ihre Website dauerhaft sicher bleibt.
Häufige Fragen zum Website-Sicherheitscheck
Ist der Website-Sicherheitscheck kostenlos?
Ja. Prüfung und Ergebnis sind kostenlos und ohne Anmeldung. Für den vollständigen Bericht mit Erklärungen und Empfehlungen geben Sie Name und E-Mail-Adresse an. Daraus entsteht keine Verpflichtung.
Ist der Check für meine Website gefährlich?
Nein. Der Check ruft nur Informationen ab, die jeder Browser und jede Suchmaschine ebenfalls sieht, und liest öffentliche DNS-Einträge. Er testet keine Passwörter, simuliert keine Angriffe und greift nicht auf geschützte Bereiche zu. Die Last entspricht wenigen normalen Seitenaufrufen.
Wie erkenne ich, ob meine Website gehackt wurde?
Typische Anzeichen sind Warnhinweise in Google oder im Browser, fremde Seiten bei einer site:-Abfrage, Weiterleitungen auf fremde Websites und unbekannte Admin-Konten. Versteckte Links, verschleierten Code, Cloaking und Weiterleitungen für Smartphones erkennt der Sicherheitscheck automatisch.
Bedeutet ein gutes Ergebnis, dass meine Website sicher ist?
Nein. Der Schnellcheck wertet nur öffentlich sichtbare Merkmale der Startseite aus. Schadcode auf Unterseiten oder Lücken in Plugins, deren Version nicht sichtbar ist, kann er nicht erkennen. Für eine belastbare Aussage braucht es eine Prüfung mit Zugang zu Server und Backend.
Wie oft sollte ich die Sicherheit meiner Website prüfen?
Mindestens nach jeder größeren Änderung und danach regelmäßig, zum Beispiel einmal im Monat. Updates sollten Sie häufiger einspielen: Laut Patchstack wurden stark ausgenutzte WordPress-Lücken 2025 im Median schon fünf Stunden nach Bekanntwerden angegriffen.
Was sind SPF, DKIM und DMARC?
Das sind drei DNS-Einträge, die Ihre Domain vor gefälschten E-Mails schützen. SPF legt fest, welche Server im Namen Ihrer Domain senden dürfen. DKIM signiert ausgehende E-Mails digital. DMARC bestimmt, was Empfänger mit E-Mails tun sollen, die diese Prüfungen nicht bestehen.
Warum gelten extern geladene Google Fonts als Risiko?
Werden Schriften direkt von Google-Servern geladen, wird die IP-Adresse jedes Besuchers ohne Einwilligung an Google übertragen. Das Landgericht München I hat dafür am 20.01.2022 Schadensersatz zugesprochen (Az. 3 O 17493/20). Danach folgten zahlreiche Abmahnungen. Die Lösung ist, die Schriften lokal auf dem eigenen Server einzubinden.
Funktioniert der Check auch ohne WordPress?
Ja. Verschlüsselung, Hack-Anzeichen, Server-Konfiguration, E-Mail-Schutz und Datenschutz werden für jede Website geprüft. Die Prüfung von WordPress-Version und Plugins läuft nur, wenn WordPress erkannt wird.
Was passiert mit meinen Daten?
Das Prüfergebnis wird höchstens 30 Tage gespeichert, Ihre IP-Adresse nur als nicht umkehrbarer Hashwert zum Schutz vor Missbrauch. Fordern Sie den Bericht an, nutzen wir Name und E-Mail-Adresse für den Versand und kontaktieren Sie nur, wenn Sie dem zugestimmt haben.