FAQ — Prüfen

Die Website-Prüfung ist in Module gegliedert: Sicherheit, DNS und E-Mail, DSGVO (Cookies, Einwilligung, Tracker), Barrierefreiheit (BFSG/WCAG) sowie SEO & GEO inklusive Leistungsdaten. Ein Full Scan fasst alle Module zusammen, die Ihr Paket enthält. Dazu kommen Einmal-Audits wie der WP Emergency Check, NIS2 und DORA sowie das eigenständige Code-Audit für Quellcode. Eine Übersicht bietet Scan-Presets & Einmal-Audits.

Ein Quick Scan braucht wenige Sekunden. Ein Full Scan dauert je nach Seitenzahl einige Minuten und läuft im Hintergrund, Sie sehen den Fortschritt live und können die Seite verlassen. Bei sehr großen Websites startet der Scan nach spätestens 30 Minuten keine weiteren Seiten mehr. Die bis dahin geprüften Seiten bleiben das Ergebnis, der Bericht nennt dann die Abdeckung.

Nein. Standardmäßig lesen wir nur öffentlich zugängliche Informationen: Header, Zertifikate, HTML, DNS. Aktive Prüfungen, etwa auf offen erreichbare Verwaltungs- oder Dateipfade, laufen nur für Domains, deren Inhaberschaft Sie nachgewiesen haben. Es werden keine Exploits ausgeführt, keine Zugangsdaten durchprobiert und keine Daten verändert.

Die Verifizierung belegt, dass Sie die Domain verantworten, und verhindert, dass fremde Websites ungefragt geprüft werden. Sie erfolgt per DNS-Eintrag, Datei oder Meta-Tag, siehe Domain verifizieren. DSGVO- und Barrierefreiheits-Scans sind auch ohne Verifizierung möglich.

Die Note wird aus den Befunden der ganzen Website gebildet, nicht nur der Startseite. Jeder Befund zählt nach Schwere und danach, auf wie vielen der geprüften Seiten er vorkommt. Gleichartige Befunde fallen abnehmend ins Gewicht, reine Hinweise zählen nicht. Es gibt eine Note je Bereich und eine Gesamtnote. Die Karte „Bewertung nach Bereichen“ im Scan zeigt die Aufschlüsselung.

Der Scan findet Seiten über die Sitemap und über Links. Wie viele Seiten ein Scan höchstens prüft, hängt von Ihrem Paket ab. Im Bericht steht, wie viele Seiten gefunden, geprüft und nicht geprüft wurden, damit Sie die Aussagekraft einschätzen können.

Nein, und das sagt der Bericht auch nie. Ein Scan sieht nur, was der Server ausliefert. Veränderte Dateien auf dem Server, etwa versteckte Hintertüren, erkennt er nicht. Auffälligkeiten im ausgelieferten Quelltext melden wir als Hinweis. Für Dateien auf dem Server ist das Code-Audit gedacht, bei WordPress zusätzlich die Dateiprüfung im Plugin EMPEDIA Shield.

Mit geplanten Scans prüft EMPEDIAcloud automatisch täglich, wöchentlich oder monatlich und meldet Verschlechterungen. Der Consent-Wächter erkennt Änderungen an Cookie-Banner, Trackern und Rechtstexten. Die Scan-Historie zeigt den Verlauf der Noten.

Als PDF-Bericht, als Export der Befunde (JSON, CSV oder SARIF für Entwickler-Werkzeuge) oder per Freigabelink, der zeitlich begrenzt, nur lesend und jederzeit widerrufbar ist. Für Übergaben an Kunden gibt es den Übergabe-Snapshot, der den gemessenen Stand mit Zeitstempel festhält. Der Zeitstempel dokumentiert den Stand, er ist keine Signatur.

Das Code-Audit prüft Quellcode auf Sicherheitslücken, bekannte Schwachstellen in Abhängigkeiten, hinterlegte Geheimnisse, Schadcode-Muster und Datenschutzthemen. Den Code liefern Sie per Upload, SFTP/FTP oder Git. Für WordPress-Installationen werden Kern, Plugins und Themes gegen die offiziellen Prüfsummen abgeglichen. Mehr dazu in der Anleitung Code-Audit.

Die Prüfungen sind automatisiert und können im Einzelfall danebenliegen, etwa wenn eine Maßnahme an anderer Stelle umgesetzt ist. Jeder Befund nennt die Fundstelle und eine Empfehlung, sodass Sie ihn schnell einordnen können. Beim Code-Audit prüft zusätzlich eine KI die Funde und senkt Fehlalarme ab. Wenn Sie einen systematischen Fehler vermuten, melden Sie ihn dem Support mit der Scan-Adresse.