Übergabe-Snapshot

Halten Sie den gemessenen Prüfstand einer Website bei der Übergabe an den Kunden unveränderlich fest — mit Zeitstempel und auf Wunsch mit Bestätigung des Kunden. Später sehen Sie auf einen Blick, was sich seit der Übergabe verändert hat.

Wozu ist das gut?

Nach dem Go-live ändert sich eine Website ständig: Plugin-Updates, neue Tracker, Eingriffe Dritter. Kommt es später zu Streit („früher war das nicht so“), belegt der Snapshot, was zum Zeitpunkt der Übergabe gemessen wurde und was seitdem hinzugekommen ist.

So geht es

1
Snapshot erstellen

Im Scan-Bericht auf „Als Übergabe festhalten“ klicken. Bezeichnung (z. B. „Go-live Relaunch“) und Kunde sind optional.

2
Kunden-Bestätigung anfragen

Unter Übergaben „Kunden-Bestätigung anfragen“ wählen. Der Kunde erhält einen persönlichen Link (90 Tage gültig; per Mail oder zum Kopieren), sieht das Protokoll, lädt PDF und Zeitstempel und bestätigt mit Name, E-Mail und Haken. Auf Agentur-Domains erscheint die Seite im Branding der Agentur.

3
Veränderungen seit Übergabe

In den Details einen späteren Scan der Website wählen: neue und behobene Befunde sowie geänderte Plugins, Themes und Core-Versionen. Der Vergleich lässt sich als PDF laden.

Wechsel-Wecker

Nach jedem neuen Scan der übergebenen Website vergleichen wir automatisch mit dem Übergabe-Stand. Tauchen neue Befunde mit Schwere „mittel“ oder „hoch“ auf oder ändern sich Plugins, Themes oder die Core-Version, bekommen Sie eine E-Mail (und, falls eingerichtet, den Webhook handover.drift). Dieselbe Veränderung wird nur einmal gemeldet. In der Liste steht ein Hinweis „Seit Übergabe verändert“. Damit das greift, sollte die Website regelmäßig gescannt werden (z. B. als geplanter Scan oder WordPress-Wächter). Pro Übergabe lässt sich die Überwachung ausschalten.

Was wird festgehalten?

  • Eine unveränderliche Kopie der Scan-Daten und das Übergabeprotokoll als PDF (mit Prüfsumme). Snapshots werden nicht von der Scan-Aufbewahrungsfrist gelöscht.
  • Ein externer Zeitstempel nach RFC 3161 auf den Hash des PDFs. Übertragen wird nur der Hash, nie der Inhalt. Die .tsr-Datei lässt sich unabhängig von uns mit OpenSSL prüfen (Anleitung in den Details).
  • Es handelt sich um einen einfachen Zeitstempel, nicht um einen qualifizierten Zeitstempel nach eIDAS. Er belegt technisch nachprüfbar, dass das Protokoll zu diesem Zeitpunkt vorlag; die gesetzliche Beweisvermutung eines qualifizierten Zeitstempels (Art. 41 eIDAS) hat er nicht.
  • Optional: qualifizierter Zeitstempel (sofern für Ihre Instanz eingerichtet). Im Dialog „Als Übergabe festhalten“ oder später in der Liste („Qualifizieren“) lässt sich zusätzlich ein Zeitstempel eines qualifizierten Vertrauensdiensteanbieters nach eIDAS hinzufügen. Er kostet extra (Abbuchung vom Guthaben, nur nach Erfolg) und hat laut Art. 41 eIDAS die Vermutung der Richtigkeit von Datum, Uhrzeit und Unversehrtheit für sich. Er ersetzt keine Unterschrift.
  • Ist die Zeitstempelstelle nicht erreichbar, lässt sich der Zeitstempel später nachholen.

Zeitstempel online prüfen

Ohne Konsole: In den Details eines Snapshots (Übergaben) und auf der Kundenseite gibt es den Knopf „Zeitstempel online prüfen“. Er prüft das gespeicherte PDF gegen den Zeitstempel und zeigt vier Punkte: Hash passt, Signatur der Zeitstempelstelle gültig, Zertifikatskette bis zu einer vertrauten Wurzel, Zeitpunkt. Bei qualifizierten Zeitstempeln gibt es zusätzlich den Hinweis auf die eIDAS-Qualifizierungsangabe im Zertifikat und einen Link zur EU-Vertrauensliste.

Für Dritte (oder eine heruntergeladene Kopie) gibt es die öffentliche Seite Zeitstempel online prüfen: PDF und .tsr-Datei auswählen. Das PDF verlässt den Browser nicht, nur sein SHA-256-Hash und die Zeitstempel-Datei werden gesendet. Liegt die Kette einer qualifizierten Stelle nicht im Truststore des Servers, zeigt die Prüfung „Hash und Signatur stimmen, Kette nicht prüfbar“ – dann bitte die Stelle in der EU-Vertrauensliste nachsehen. Alternativ gelten weiterhin die OpenSSL-Befehle unten.

Zeitstempel ist keine Unterschrift

Ein Zeitstempel belegt, dass das Protokoll zu einem Zeitpunkt in genau dieser Form vorlag. Er sagt nichts darüber, wer es erstellt oder anerkannt hat. Die Bestätigung des Kunden erfolgt über Name, E-Mail-Adresse und Haken mit Datum (einfache Erklärung in Textform), nicht als elektronische Signatur. Für die Dokumentation eines Prüfstands reicht das in der Regel aus; braucht ein Vorgang ein gesetzliches Schriftformäquivalent, ist eine qualifizierte elektronische Signatur nötig, die dieser Dienst nicht bietet. Keine Rechtsberatung.

Kontingent

Professional 2, Agentur 20, Agentur Pro 100 Snapshots pro Monat. Jeder weitere kostet 5,00 € und wird vom Guthaben abgebucht. Reicht das Guthaben nicht, läuft er auf Rechnung: Er erscheint als Position „Übergabe-Snapshots“ in der Verbrauchsabrechnung (sobald 20 € erreicht sind, spätestens zum Monatswechsel). Gelöschte Snapshots geben kein Kontingent zurück.

Wichtig: Der Snapshot ist eine Dokumentation des gemessenen Prüfstands zum genannten Zeitpunkt. Er ist keine Zusicherung, keine Garantie und keine Rechtsberatung.