Einen Bericht lesen
Was jeder Teil eines Berichts bedeutet: Schweregrade, Befunde mit Behebung und Nachweisen, Beobachtungen, Verlauf, PDF und akzeptierte Befunde.
Jedes Audit erzeugt einen Bericht. Die Seite der Domain zeigt den neuesten; Vollständiger Bericht öffnet ihn auf einer eigenen Seite, und die Karte Verlauf listet die früheren auf.
Die Seite der Domain
Oben stehen der Status der Domain, wie oft sie geprüft wird, das Datum des nächsten Audits und, wenn die Registry es uns mitteilt, das Datum, bis zu dem die Domain registriert ist, sowie ihr Registrar. Die Schaltflächen:
- Jetzt auditieren stellt sofort ein Audit in die Warteschlange (eines pro Stunde im Free- und Solo-Tarif; Mitglieder, Administratoren und Inhaber können es nutzen).
- Vollständiger Bericht öffnet den Bericht des neuesten Audits.
- PDF herunterladen liefert den Bericht als PDF, ab dem Solo-Tarif.
Darunter folgen die Karte Punktzahl, mit einer Anzeige und dem Verlauf der Punktzahl über die Zeit, und der Verlauf der Audits (bei jedem steht, ob es geplant, auf Anfrage, ein erstes Audit oder eine Vorschau war). Dann:
- Punktzahl nach Bereich: E-Mail, Web, DNS, Exposition, Marke und Zertifikate sowie Sonstiges, jeweils mit der Punktzahl, die die Kategorie für sich allein hätte, und ihren offenen Befunden, damit Sie auf einen Blick sehen, wo Punkte verloren gehen;
- Was sich geändert hat seit dem vorherigen Audit;
- Simulieren: Haken Sie die Befunde an, die Sie beheben wollen, und sehen Sie, welche Punktzahl und Bewertung die Domain dann hätte (siehe So werden Punktzahl und Bewertung berechnet);
- Zuerst erledigen, dann alle Befunde;
- Offene Befunde und Behebungsdauer (verifizierte Domains), über den Verlaufszeitraum Ihres Tarifs: die offenen Befunde jedes Audits nach Schweregrad und die mittlere Behebungsdauer nach Schweregrad, Woche für Woche (Monat für Monat, sobald mehr als vier Monate an Audits vorliegen).
Ein Befund gilt als behoben, wenn er verschwunden ist und auch beim nächsten Audit verschwunden bleibt: Ein verpasstes Audit (ein Host, der nicht geantwortet hat) ist keine Behebung, und ein akzeptiertes Risiko ebenfalls nicht. Seine Behebungsdauer läuft ab dem Audit, in dem er aufgetaucht ist; ein Befund, der schon zu Beginn des Zeitraums bestand, zählt also als behoben, hat aber keine Dauer. Es ist dieselbe Regel wie bei der Behebungsdauer der Bescheinigungen. Jede Linie hat ihre eigene Farbe und ihre eigene Strichart; zeigen Sie auf das Diagramm oder fokussieren Sie es und verwenden Sie die Pfeiltasten, um jedes Datum abzulesen, und Zahlen anzeigen liefert die Werte als Tabelle.
Die Punktzahl nach Kategorie und die Simulation werden bei einem Schnelltest vor dem Nachweis nicht angezeigt.
Schweregrade
Jeder Befund hat einen von fünf Schweregraden, erkennbar an seiner Farbe:
| Schweregrad | Typische Beispiele |
|---|---|
| Kritisch | Etwas, das ein Angreifer sofort nutzen kann, etwa ein Eintrag, der auf eine Domain zeigt, die jeder kaufen kann, oder eine Domain, die innerhalb einer Woche abläuft. |
| Hoch | Eine ernste Lücke, etwa eine fehlende DMARC-Richtlinie, eine für Übernahmen anfällige Subdomain oder ein aus dem Internet erreichbarer Datenbankport. |
| Mittel | Eine Schwäche, die bald behoben werden sollte, etwa nicht aktiviertes DNSSEC oder ein noch akzeptiertes TLS 1.0. |
| Niedrig | Eine noch nicht umgesetzte gute Praxis, etwa ein fehlender CAA-Eintrag. |
| Info | Etwas Wissenswertes, das kein Problem ist. Es zählt nicht für die Punktzahl. |
Die Punktzahl wird aus diesen Schweregraden berechnet.
Ein Befund, Teil für Teil
Jeder Befund belegt eine Zeile (Schweregrad, Titel und Ziel), bis Sie ihn öffnen; der erste ist geöffnet. Klicken Sie auf eine Zeile, um sie zu öffnen oder zu schließen. Sobald ein Befund den Fokus hat (mit der Tabulatortaste oder per Klick), wechseln J und K zum nächsten oder vorherigen Befund, und O öffnet oder schließt ihn. Ein Link zu einem Befund (aus der Übersicht oder aus Zuerst erledigen) öffnet ihn direkt.
Geöffnet zeigt ein Befund:
- Titel und Ziel: was nicht stimmt und wo (die Domain, ein Host, ein Mailserver, eine Adresse).
- Die Erläuterung: warum es wichtig ist, in einfachen Worten.
- Behebung: was zu ändern ist. Wenn ein DNS-Eintrag das Problem behebt, liefert ein Feld Zum Kopieren bereit den genauen, für Ihre Domain erstellten Eintrag.
- Nachweise: was das Audit gesehen hat (den Eintrag, den Header, die Antwort des Servers).
- Die Kennung des Befunds, ein Link zum passenden Leitfaden und Referenzen.
- Zugehörige Anforderungen: die Anforderungen aus NIS2, Cyber Essentials und ISO 27001, auf die er sich bezieht, als Hinweis.
- Aktionen: „Prüfen, ob behoben“, „Diesen Befund akzeptieren“ und in den Agency-Tarifen „In Ihrem DNS anwenden“ und „Ticket anlegen“. Siehe Einen Befund beheben.
Was sich geändert hat
Wenn sich ein Audit vom vorherigen unterscheidet, listet die Karte Was sich geändert hat die Unterschiede auf: neue und behobene Befunde, aufgetauchte oder verschwundene Subdomains, geöffnete oder geschlossene Ports, Nameserver, Mailserver, Änderungen an DNSSEC, SPF und DMARC, Zertifikate, Lookalike-Domains, Cloud-Speicher und Bewegungen der Punktzahl. Die Domainliste kennzeichnet solche Domains mit Änderungen. Der Änderungsverlauf fasst sie für alle Ihre Domains zusammen.
Was beobachtet wurde
Am Ende des vollständigen Berichts listet Beobachtet die Fakten auf, aus denen die Befunde entstanden sind: Nameserver und DNSSEC, Mailserver, die SPF- und DMARC-Einträge, wie viele Subdomains in den Zertifikatslogs gefunden wurden, registrierte Lookalike-Domains, aktuelle Zertifikate. Konnte eine Prüfung nicht abgeschlossen werden (etwa weil ein Server nicht antwortete), wird sie dort genannt: Das nächste Audit versucht es erneut.
Akzeptierte Befunde
Befunde, die Sie als Risiko akzeptiert haben, bleiben im Bericht, in einem eigenen Abschnitt Akzeptierte Befunde, zählen aber nicht mehr für die Punktzahl. Siehe Einen Befund als Risiko akzeptieren.
Der PDF-Bericht
Ab dem Solo-Tarif liefert PDF herunterladen einen Bericht, den Sie weitergeben können: ein Deckblatt mit dem Logo der Website, ihrem Namen, ihrer Adresse, dem Datum und der Punktzahl, eine Zusammenfassung, dann jeder Befund mit seiner Behebung, den kopierfertigen Einträgen und der Compliance-Zuordnung. Standardmäßig ist das Logo das eigene Symbol der Website; ein anderes laden Sie in den Einstellungen der Domain hoch. In den Agency-Tarifen erscheint Ihr eigenes Logo auf jedem Bericht („Erstellt von“), festgelegt unter Einstellungen. Das PDF ist in der Sprache des Arbeitsbereichs.