Häufige Fragen.

Nur mit Berechtigung: Sie dürfen eine Domain prüfen lassen, wenn sie Ihnen gehört oder ihr Inhaber Sie beauftragt hat, und das sichern Sie mit jedem Lauf zu (AGB, „Pflichten des Kunden bei Prüfungen“). Technisch lässt sich eine passive Prüfung ohne Eigentumsnachweis starten; sie greift von außen zu, ohne Anmeldung, ohne Formulare abzuschicken und ohne Zugangsdaten auszuprobieren, und legt keine Inhalte an. Vertraglich zulässig ist sie trotzdem nur mit Berechtigung. Aktive Prüfungen gegen fremde Systeme sind ohne Berechtigung illegal; deshalb schaltet Redcheck sie erst frei, wenn Sie das Eigentum an der Domain nachgewiesen haben.

Auf drei Wegen: ein DNS-TXT-Eintrag unter _redcheck.<domain>, eine Datei unter /.well-known/ oder ein Meta-Tag im Quelltext der Startseite. Redcheck prüft ausstehende Nachweise alle zehn Minuten selbst; anstoßen können Sie die Prüfung jederzeit von Hand. Nach dem Nachweis werden die aufgelösten IP-Adressen fixiert.

„Bestätigt“ steht nur dort, wo die genaue Version erkannt wurde und der Abgleich mit NVD, OSV oder Wordfence eindeutig ist. „Möglich“ heißt: die Schwachstelle passt zur erkannten Produktfamilie, aber die Version ist nicht sicher. Mögliche Treffer stehen standardmäßig nicht im Bericht; Sie können sie pro Lauf zuschalten.

Passive Prüfungen erzeugen kaum mehr Last als ein gewöhnlicher Besuch: Seitenaufrufe, eine Anfrage nach den erlaubten HTTP-Methoden, Anfragen nach bekannten Konfigurations- und Sicherungsdateien, von denen höchstens die ersten 512 Byte gelesen werden, und Verbindungsversuche mit veralteten TLS-Fassungen. Inhalte werden dabei weder angelegt noch geändert. Aktive Prüfungen sind gedrosselt und auf die fixierten IP-Adressen Ihrer Domain begrenzt. Schreibende Zugriffe entstehen dabei nicht; sie setzen eine gesonderte schriftliche Freigabe voraus und werden von uns ausgelöst, nicht von Ihnen gebucht.

Nein, und der Bericht sagt das auch. Von den 55 Erfolgskriterien der WCAG 2.2 auf den Stufen A und AA lässt sich rund die Hälfte maschinell entscheiden; die übrigen kann nur ein Mensch beurteilen. Genau deshalb führt der Bericht ALLE 55 mit ihrem Stand auf und benennt einzeln, was noch von Hand zu prüfen ist. Umgekehrt gilt: Wer den automatisch prüfbaren Teil nicht besteht, ist, sofern der Befund zutrifft, nicht konform.

Die Unterseiten werden gefunden und nicht geraten: über die Sitemap, die Verweise der Website und ihre Sprachfassungen. Standardmäßig wird daraus eine Stichprobe tief geprüft, die jede erkannte Seitenvorlage abdeckt; mit der Vollprüfung wird jede gefundene Seite geprüft. Der Bericht nennt beide Zahlen getrennt, etwa „812 gefunden, 100 geprüft“. Eine einzelne Zahl ließe offen, welche von beiden gemeint ist.

Nein. Die Prüfung ruft Seiten auf, wie es jeder Besucher tut, und ist damit passiv. Einen Eigentumsnachweis verlangen nur aktive Prüfungen, also Portscan, Schwachstellen-Templates und vergleichbare Verfahren. Dasselbe gilt für die Datenschutzprüfung.

Der Lauf bricht nicht ab. Das ausgefallene Werkzeug wird im Bericht als Lücke im Prüfumfang ausgewiesen, die übrigen Ergebnisse bleiben gültig. Die Live-Ansicht des Laufs zeigt Ihnen zeilenweise, welches Werkzeug wann und woran gescheitert ist.

Ja, ab dem Plan Pro. Je Domain lässt sich ein Zeitplan hinterlegen: täglich, wöchentlich oder monatlich, mit denselben Prüfbereichen und derselben Stufe wie ein Lauf von Hand. Die Uhrzeit verteilen wir über den Tag, damit nicht alle Prüfungen gleichzeitig starten. Ein geplanter Lauf zählt wie ein gestarteter auf Ihr Kontingent; ist es erschöpft, setzt der Zeitplan aus und meldet sich per E-Mail, statt stillschweigend abgeschaltet zu werden. Aktive Prüfungen brauchen auch hier eine verifizierte Domain.

Ein passiver Lauf ist meist in zwei bis vier Minuten fertig. Kommen aktive Prüfungen dazu, sind es je nach Größe der Website etwa zehn bis zwanzig Minuten. Sie können die Seite währenddessen schließen; eine E-Mail meldet das Ergebnis.

Weil er gelesen werden soll, von Geschäftsführung, Datenschutzbeauftragten und Agenturkunden, nicht nur von Sicherheitsfachleuten. Jeder Befund erklärt Auswirkung und Behebung in normaler Sprache; die technischen Kennungen (CVE, CWE, Katalog-ID) stehen unverändert daneben.

In Deutschland, auf Servern bei Hetzner. Artefakte liegen verschlüsselt im Objektspeicher, jeder Datensatz ist genau einer Organisation zugeordnet. Nach Ablauf der planabhängigen Aufbewahrung werden PDF, findings.json und Evidenz gelöscht; das Audit-Log bleibt als Nachweis der Berechtigung bis zu drei Jahre erhalten.

Ja, im Agentur-Plan. Name, Logo und Absenderangaben erscheinen auf Titel- und Fußzeile des PDFs. Die Methodik-Seite bleibt unverändert, damit nachvollziehbar bleibt, womit geprüft wurde.