Wie sicher sind deutsche Websites wirklich?

Diese Werte stammen aus HTTP-Kopfzeilen und öffentlichen DNS-Einträgen. Sie sind unabhängig davon, ob eine Seite JavaScript nachlädt — jeder kann sie mit einem Browser oder einem DNS-Werkzeug selbst nachprüfen.

Was das bedeutet: Die Content-Security-Policy ist die Einstellung, die verhindert, dass fremder Code auf einer Seite ausgeführt wird — der wirksamste Schutz gegen eingeschleuste Skripte. Sie fehlt bei drei von vier Websites. Und bei gut einem Viertel fehlen alle vier gängigen Schutz-Kopfzeilen gleichzeitig.

Das ist keine Nachlässigkeit einzelner: Diese Einstellungen sind unsichtbar. Sie stehen in der Serverkonfiguration, nicht auf der Seite. Wer nicht gezielt danach sucht, erfährt nie, dass sie fehlen.

SPF und DMARC legen fest, welche Server E-Mails mit deiner Adresse verschicken dürfen. Ohne sie kann jeder in deinem Namen schreiben — an deine Kunden.

Der interessanteste Wert steht in der Mitte. Ein Drittel hat DMARC eingerichtet — aber auf p=none stehen lassen. Das ist die Beobachtungsstufe: Der Empfänger wird informiert, dass eine Mail gefälscht ist, und stellt sie trotzdem zu. Zusammengerechnet sind zwei Drittel der geprüften Domains gegen gefälschte Absender nicht wirksam geschützt, obwohl die Hälfte davon die Arbeit fast schon erledigt hätte.

Wie der Schritt von p=none auf eine wirksame Regel aussieht, steht Schritt für Schritt im Ratgeber SPF, DKIM und DMARC einrichten.

Diese Werte sind Untergrenzen. Gezählt wurde, was direkt im Quelltext der Startseite steht. Dienste, die erst nach einer Einwilligung oder per JavaScript nachgeladen werden, sind nicht erfasst — die tatsächlichen Anteile liegen also höher.

Zu den Google Fonts: Das Landgericht München hat 2022 entschieden, dass die Einbindung von Google-Servern ohne Einwilligung die IP-Adresse der Besucher an Google überträgt. Sieben Prozent klingt wenig — es sind aber mindestens 26 der 352 geprüften Seiten, und die Schriften lassen sich in einer halben Stunde lokal einbinden.

Wie das geht, steht im Ratgeber Google Fonts DSGVO-konform einbinden. Zur Frage, wann eine Einwilligung überhaupt wirksam ist, siehe Cookie-Banner ohne Ablehnen-Button.

Auswahl: Grundlage ist die Tranco-Liste, eine für die Forschung gepflegte Rangliste von Domains. Daraus haben wir alle .de-Domains gefiltert (26.708) und jede 53. gezogen — eine gleichmäßige Stichprobe über den gesamten Rangbereich statt nur der bekanntesten Seiten. Bewusst so: Große Unternehmen haben eigene IT-Abteilungen, ihre Werte sagen nichts über den Handwerksbetrieb oder die Arztpraxis aus.

Erhebung: Von 500 angefragten Domains antworteten 428; ausgewertet wurden die 352, die eine vollständige Seite auslieferten. Der Rest waren Weiterleitungen ins Leere, Firewall-Abweisungen oder Fehlerseiten — die sagen nichts über die Konfiguration aus und bleiben deshalb außen vor.

Vorgehen: Ein einziger Abruf der Startseite je Domain, dazu öffentliche DNS-Abfragen. Genau das, was auch eine Suchmaschine tut. Wir haben keine Pfade abgeklopft, nichts erraten und nichts ausprobiert — der Prüf-Vorgang gibt sich mit eigenem Kennzeichen zu erkennen und tarnt sich nicht als Browser.

Keine Namen: Wir veröffentlichen keine Liste der geprüften Domains. Es geht um den Zustand insgesamt, nicht darum, einzelne Betreiber vorzuführen.

Zur Ehrlichkeit gehört, wo die Messung endet:

• Impressum und Datenschutzerklärung haben wir bewusst weggelassen. Ein erster Auswertungsversuch ergab, dass angeblich der Hälfte das Impressum fehlt — bei Seiten wie t-online.de. Tatsächlich wird der Link dort per JavaScript nachgeladen und war für unsere Textsuche unsichtbar. Eine Zahl, die wir nicht belegen können, veröffentlichen wir nicht.
• Ob eine Einwilligung rechtlich wirksam eingeholt wird, lässt sich so nicht messen — dafür müsste ein Browser die Seite bedienen.
• Alles hinter einer Anmeldung, Logikfehler und Rechteprobleme bleiben außen vor.
• Die Tranco-Liste enthält nur Domains mit messbarem Aufkommen. Die Vereinsseite, die im Jahr zwanzig Besucher hat, taucht dort nicht auf. Unsere Stichprobe bildet also den Zustand bei Websites ab, die tatsächlich genutzt werden — nicht den Gesamtbestand aller .de-Domains. Für den Gesamtbestand wären die Werte eher schlechter als besser.
• Eine Stichprobe von 352 Seiten hat eine statistische Schwankungsbreite von etwa fünf Prozentpunkten. Aus 75,3 % sollte man also „rund drei Viertel" machen, keine Nachkommastelle.

Alle hier genannten Punkte prüft unser Scanner in wenigen Sekunden — kostenlos und ohne Anmeldung. Wenn dabei etwas auffällt, steht im Bericht auf Deutsch, was es bedeutet und was zu tun ist.