Ein SSL-Scan und eine Überprüfung von Google Safe Browsing decken nur einen Bruchteil der tatsächlichen Angriffsfläche einer Website ab. Wir beobachten regelmäßig Websites, die in ihren HTTP-Headern eine A+-Bewertung anzeigen, während sie Tracker vor der Zustimmung platzieren oder gemeinsame Konten ohne Nachverfolgbarkeit exponieren. Um die Sicherheit einer Website wirklich nützlich zu testen, muss man über die einfache technische Diagnose hinausgehen und die Einhaltung von Vorschriften, das Cookie-Management und die Authentifizierungspolitiken integrieren.
Cookie- und Tracker-Konformität: Der Test, den Scanner ignorieren
Die Mehrheit der kostenlosen Sicherheitsanalysetools konzentriert sich auf das TLS-Zertifikat, die HTTP-Header und die mögliche Präsenz der Domain auf einer schwarzen Liste. Keines von ihnen überprüft das tatsächliche Verhalten des Cookie-Zustimmungsbanners.
Das ist ein teurer blinder Fleck. Die CNIL hat 2025 ihre Sanktionen gegen Websites fortgesetzt, die Tracker vor der Zustimmung platzieren, eine Ablehnung nicht so einfach ermöglichen wie die Zustimmung oder weiterhin Cookies lesen, nachdem die Zustimmung widerrufen wurde. Wir empfehlen, nach jeder Produktion einen Test in drei separaten Schritten durchzuführen:
- Die Seite im privaten Modus laden und die Netzwerk-Anfragen vor jeglicher Interaktion mit dem Banner erfassen. Jeder zu diesem Zeitpunkt platzierte Drittanbieter-Cookie stellt eine Nichteinhaltung dar.
- Die Tracker ablehnen, auf mehreren Seiten weiter navigieren und dann über die Entwicklertools überprüfen, ob die Ablehnung tatsächlich während des gesamten Besuchs respektiert wird.
- Cookies akzeptieren, die Zustimmung über den vorgesehenen Link widerrufen und kontrollieren, dass das Lesen der Tracker tatsächlich stoppt. Ein Test, der auf die Startseite beschränkt ist, reicht nicht aus.
Dieses Protokoll dauert weniger als zehn Minuten. Es deckt jedoch einen Bereich ab, den automatisierte Scanner nicht ansprechen, und der die Hauptquelle für CNIL-Sanktionen auf französischen Websites darstellt.
Bevor ein klassisches technisches Audit gestartet wird, ist es sinnvoll, die Sicherheit einer Website zu testen, indem man die Schwachstellenanalyse mit der Überprüfung des Verhaltens der Tracker kombiniert.
Web-Schwachstellenscan: Was ein automatisiertes Tool wirklich erkennt
Ein Online-Sicherheitsscanner (z.B. Analyse der HTTP-Header, SSL/TLS-Überprüfung, Malware-Erkennung über Google Safe Browsing) liefert eine nützliche, aber unvollständige Diagnose. Diese Tools identifizieren bekannte Schwachstellen: fehlende Content-Security-Policy, veraltete TLS-Version, auf einer schwarzen Liste stehende Domain.
Logische Schwachstellen bleiben für automatisierte Scanner unsichtbar. Eine Erhöhung der Berechtigungen über einen schlecht kontrollierten URL-Parameter, ein Kontaktformular ohne CSRF-Schutz oder eine API, die Benutzerdaten ohne Authentifizierung exponiert, löst bei einem passiven Scan keine Warnung aus.
Für eine E-Commerce-Website oder eine Anwendung mit Kundenbereich empfehlen wir, den automatisierten Scan durch einen gezielten manuellen Test an drei Punkten zu ergänzen:
- Versuchen, auf geschützte Ressourcen zuzugreifen, indem man die Identifikatoren in der URL manipuliert (IDOR). Wenn der Server Daten zurückgibt, ohne die Identität des Anfragenden zu überprüfen, ist die Schwachstelle kritisch.
- Test-XSS-Strings in alle sichtbaren Eingabefelder injizieren. Ein Formular, das den Inhalt ohne HTML-Escape zurückgibt, setzt die Besucher dem Session-Diebstahl aus.
- Die Antwort-Header an jedem API-Endpunkt überprüfen, nicht nur auf der Startseite. Die Sicherheitsrichtlinien variieren oft von Route zu Route innerhalb derselben Domain.
Ein Scannerbericht, der eine hohe Punktzahl anzeigt, garantiert nichts, wenn diese manuellen Überprüfungen nicht durchgeführt wurden.
Authentifizierungspolitik und gemeinsame Konten: Eine sanktionierte Schwäche
Die CNIL hat in ihrem Bericht 2025 festgestellt, dass 14 Organisationen wegen unzureichender Sicherheit sanktioniert wurden, insbesondere aufgrund zu schwacher Passwörter oder gemeinsamer Konten zwischen mehreren Benutzern. Diese Feststellung betrifft sowohl die Back-Offices von Websites als auch den Zugriff auf Datenbanken.
Die Sicherheit einer Website zu testen, ohne die Passwortpolitik zu auditieren, ist wie die Überprüfung des Schlosses, während der Schlüssel unter der Fußmatte liegt. Wir beobachten weiterhin CMS, deren Administratorkonto ein Standardpasswort verwendet, oder Marketingteams, die eine eindeutige Kennung teilen, um auf das Analyse-Dashboard zuzugreifen.
Jeder Zugriff muss individuell und nachverfolgbar sein. Ein ernsthaftes Audit überprüft, ob die Website eine minimale Passwortlänge vorschreibt, die Versuche nach einer definierten Anzahl von Fehlschlägen blockiert und die Anmeldungen mit Zeitstempel und IP-Adresse protokolliert. Ohne diese Kontrollen wird die Erkennung eines Eindringens nachträglich unmöglich.
Tracker-Wände und Dark Patterns: Eine neue regulatorische Falle
Die “Cookie-Wände” (Zugang abhängig von der Zustimmung zu Trackern) sind ein Thema, das allgemeine Sicherheitsleitfäden nicht ansprechen. Die CNIL stellt klar, dass ein solches System nicht automatisch verboten ist, aber dass die Zustimmung frei, informiert und mit ausgewogenen Wahlmöglichkeiten präsentiert werden muss.
In der Praxis erfüllen ein leuchtend farbiger “Akzeptieren”-Button und ein grau-heller “Ablehnen”-Link am unteren Ende der Seite diese Anforderung nicht. Ein Konformitätstest muss das visuelle Verhältnis zwischen den Optionen, die Benutzerfreundlichkeit der Navigation zur Ablehnung und das Fehlen von negativen Konsequenzen (Umleitung, versteckter Inhalt) im Falle einer Nicht-Akzeptanz bewerten.
Diese Kontrolle geht über den üblichen technischen Bereich hinaus, fällt jedoch direkt unter den Datenschutz im Internet. Eine technisch sichere Website, die übermäßigen Druck auf die Zustimmung ihrer Besucher ausübt, ist denselben Sanktionen ausgesetzt wie eine schlecht gesicherte Website.
Die Sicherheit einer Website lässt sich nicht auf eine von einem Scanner angezeigte Punktzahl reduzieren. Sie wird auf drei gleichzeitigen Achsen gemessen: technische Robustheit, Konformität bei der Verarbeitung personenbezogener Daten und Strenge der internen Zugriffsrichtlinien. Wenn man eine dieser Achsen vernachlässigt, lässt man eine Tür offen, egal welches Schloss auf den anderen beiden angebracht ist.
