Wie sicher ist Ihre Website?

Der Check schaut sich Ihre Website von aussen an, in sechs Bereichen: Verschlüsselung, Schutz vor gefälschten Mails, Formulare, Software-Stand und KI-Crawler. Die aktuelle PHP-Sicherheitslücke PHP2Shell vom 21. Oktober 2026 wird dabei mitgeprüft.

Nur lesen, was jeder Besucher sieht, kein Angriff. Die Adresse wird nicht dauerhaft gespeichert.

Was der Check prüft

KI macht Angriffe billig und massenhaft: Bots füllen Formulare aus, Phishing-Mails wirken täuschend echt und bekannte Lücken werden innert Stunden gesucht. Der Check zeigt, wo Ihre Website von aussen angreifbar wirkt.

Verschlüsselung

HTTPS, Gültigkeit des Zertifikats, Weiterleitung von http und Sicherheits-Header.

Schutz vor gefälschten Mails

SPF, DMARC und DKIM: Kann jemand Mails im Namen Ihrer Firma verschicken?

Formulare

Formulare auf Startseite und Kontaktseite: Bot-Schutz und verschlüsselte Übertragung.

Software-Stand

Sichtbar veraltete Systeme wie WordPress, Joomla oder TYPO3 und Bibliotheken wie jQuery.

KI und Datenschutz

Dürfen KI-Crawler Ihre Inhalte nutzen? Stehen E-Mail-Adressen offen? Gibt es ein Chat-Widget?

PHP-Sicherheitslücke

Aktuell: PHP2Shell vom 21. Oktober 2026. Läuft PHP, und hat der Hoster die Korrektur bestätigt?

So liest sich das Ergebnis

Grün

Von aussen ist nichts Auffälliges zu sehen. Bleiben Sie bei regelmässigen Updates.

Gelb

Verbesserung empfohlen oder von aussen nicht eindeutig. Ein kurzer Blick, etwa mit Ihrem Hoster oder Ihrer Webagentur, schafft Klarheit.

Rot

Eine klare Schwachstelle, zum Beispiel fehlende Verschlüsselung oder eine PHP-Version ohne Korrektur. Bitte rasch handeln.

Aktuell: PHP2Shell

Die Lücken CVE-2026-109618 und CVE-2026-109619, bekannt als «PHP2Shell», erlauben es Angreifern, ohne Zugangsdaten Code auf einem Webserver auszuführen. Beide sind mit 9,2 von 10 bewertet.

Seit dem 21. Oktober 2026 gibt es korrigierte Versionen: PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Viele Hoster haben zusätzlich ältere PHP-Versionen geflickt, ohne die Versionsnummer zu ändern. Der Check berücksichtigt deshalb die öffentlichen Angaben der Hoster.

Quellen: BSI · SRF · Help Net Security

Was der Check kann und was nicht

Liest Startseite, Kontaktseite, robots.txt und die öffentlichen DNS-Einträge, so wie es jeder Browser und jeder Mailserver tut.
Erklärt jeden Befund in einfachen Worten und sagt, was zu tun ist. Auf Wunsch als PDF-Bericht.
Er greift nicht an, füllt keine Formulare aus und probiert keine Logins. Eine Garantie ist das Ergebnis deshalb nicht.
Schutz direkt auf dem Server, etwa ein Limit für Formulare, ist von aussen nicht sichtbar.

Unterstützung bei der Umsetzung

Von der fehlenden Mail-Absicherung bis zum Bot-Schutz im Formular: Die meisten Punkte lassen sich mit wenig Aufwand beheben. Die Web-Apps der nytic laufen auf eigenen Servern, den Stand aller Dienste sehen Sie jederzeit auf der Statusseite.

Kontakt aufnehmen status.nytic.ch