Was ein Perimetry-Audit prüft
45 Prüfungen in acht Bereichen, alle passiv außer einer optionalen Prüfung, die Sie selbst einschalten (Administrationszugänge): Jede liest öffentliches DNS, öffentliche Zertifikatslogs, die Antwort, die Ihr Server ohnehin jedem gibt, oder einen öffentlichen Datensatz. Der angezeigte Schweregrad ist der übliche Schweregrad des Befunds; der Bericht passt ihn an den Kontext an (ein fehlender DMARC-Eintrag auf einer Domain ohne E-Mail-Versand wiegt anders als auf Ihrer Hauptdomain).
E-Mail-Authentifizierung
Ob andere E-Mails in Ihrem Namen versenden können und ob Empfänger es bemerken würden.
Leitfaden: SPF, DKIM und DMARC, erklärt für alle, die Websites betreiben
DMARC-Richtlinie
Fehlender Eintrag, Richtlinie none, Syntaxfehler, Berichtsadressen, Richtlinie für Subdomains.
SPF-Eintrag
Fehlend, Abschluss mit neutral oder Softfail, mehr als 10 DNS-Abfragen, tote Includes, Schleifen, mehrere Einträge.
DKIM-Schlüssel
Gängige Selektoren abgefragt, Schlüssellänge geschätzt, widerrufene oder leere Schlüssel.
Domains ohne E-Mail-Versand
Null-MX, SPF mit Ablehnung aller Absender und DMARC reject auf geparkten und Marken-Domains.
MTA-STS und TLS-RPT
Richtliniendatei, Modus, Berichtsadresse.
E-Mail-Transport
STARTTLS auf Ihren MX-Hosts, Gültigkeit der Zertifikate, Mailserver, die es nicht mehr gibt.
DANE
Die TLSA-Einträge Ihrer MX-Hosts im Vergleich mit dem Zertifikat, das jeder Server vorlegt, und ob DNSSEC sie wirklich schützt: Eine Abweichung oder eine ungültige Signatur führt dazu, dass Absender mit DANE Ihre E-Mails abweisen.
BIMI
Wenn Sie einen Eintrag veröffentlichen: der Eintrag, das Logo im Format SVG Tiny PS, das Markenzertifikat (VMC oder CMC) und die DMARC-Durchsetzung, die BIMI verlangt, bevor ein Logo angezeigt wird.
DNS und Registrierung
Das Fundament, auf dem alle anderen Einträge aufbauen.
Nameserver
Nur ein Anbieter, nicht erreichbare Server, Delegationen an Hosts, die es nicht mehr gibt, oder an nicht registrierte Domains.
DNSSEC
Nicht aktiviert, oder aktiviert und fehlerhaft, was schlimmer ist.
CAA-Einträge
Welche Zertifizierungsstellen Zertifikate für Ihre Domain ausstellen dürfen.
Wildcard-Einträge
Sammeleinträge, die jede Subdomain auflösen lassen, auch solche, die Sie nie angelegt haben.
Ablauf der Domain
Ablaufdatum und Registrar aus der Registry gelesen: abgelaufen oder Ablauf innerhalb von 60 Tagen (kritisch unter einer Woche).
Status bei der Registry
Eine von der Registry gesperrte oder zur Löschung vorgesehene Domain und eine Domain ohne Transfersperre (bei generischen Endungen wie .com, .org oder .io, wo es diese Sperre gibt).
Subdomains und Übernahme
Die Hosts, die Sie vergessen haben, gefunden in öffentlichen Zertifikatslogs.
Leitfaden: Übernahme von Subdomains: wie ein vergessener CNAME zur Seite eines Fremden wird
Erkennung von Subdomains
Jeder Hostname, der jemals ein Zertifikat erhalten hat, aus den Certificate-Transparency-Logs, und die Hosts, die das Internet Archive gespeichert hat und die nie ein eigenes Zertifikat hatten.
Übernahme von Subdomains
Einträge, die auf nicht mehr existierende Cloud-Ressourcen zeigen: GitHub Pages, Heroku, Azure, Shopify, Zendesk und 20 weitere Anbieter.
Verwaiste Einträge
CNAMEs auf nicht registrierte Domains, die jeder kaufen kann.
Cloud-Speicher-Buckets
Buckets bei S3, Google Cloud Storage und Azure, die nach Ihrer Domain benannt sind, und ob sie öffentlich sind.
Zertifikate und TLS
Ablauf, Vertrauen und wer Zertifikate für Ihre Namen ausgestellt hat.
Leitfaden: Certificate-Transparency-Logs für die eigene Domain beobachten
Gültigkeit der Zertifikate
Ablauf innerhalb von 30 Tagen, abgelaufen, falscher Hostname, nicht vertrauenswürdige Kette.
Protokollversionen
TLS 1.0 und 1.1 werden noch akzeptiert.
Zertifikatsüberwachung (Certificate Transparency)
Neue Zertifikate für Ihre Domain, von welcher Stelle und ob Ihr CAA-Eintrag das erlaubt. Auch zwischen den Audits: Die Logs werden mit den Agency-Tarifen bis zu stündlich gelesen, mit Solo alle 6 Stunden und mit Free einmal täglich, mit einer Benachrichtigung, wenn ein Zertifikat von einer neuen oder nicht erlaubten Stelle stammt oder einen nie gesehenen Host nennt.
Webkonfiguration und Datenschutz
Was Ihre Hauptwebsite jedem Besucher in der ersten Antwort mitteilt und was ihre Startseite lädt.
Leitfaden: Die sechs Sicherheits-Header, die jede Website setzen sollte
HTTPS-Weiterleitung und HSTS
Unverschlüsseltes HTTP offen gelassen, Weiterleitungsketten, fehlendes oder zu kurzes HSTS.
Sicherheits-Header
Qualität der Content-Security-Policy, Schutz vor Einbettung in Frames, Referrer-Policy, Permissions-Policy, MIME-Sniffing.
Cookies und CORS
Sitzungscookies ohne Secure oder HttpOnly, CORS mit Wildcard und Anmeldedaten.
Seiteninhalt
Veraltete JavaScript-Bibliotheken, gemischte Inhalte, Anmeldeformulare, die über HTTP senden.
WordPress
Version, offenes XML-RPC und Benutzerauflistung, Plugins und Themes abgeglichen mit dem Schwachstellen-Feed von Wordfence.
Skripte von Drittanbietern
Skripte von fremden Origins ohne Subresource Integrity (SRI) und solche, die noch über unverschlüsseltes HTTP geladen werden. Tag-Manager, Zahlungs- und Captcha-Skripte, die kein SRI nutzen können, bleiben außen vor.
Herkunft der Skripte
Ein Skript von einer Domain, die bekanntermaßen Schadcode ausgeliefert hat (polyfill.io und verwandte CDNs), oder von einer Domain, die niemandem mehr gehört und die jeder kaufen könnte, um Code auf Ihrer Website auszuführen.
Tracker vor der Einwilligung
Reichweitenmessung, Werbe- und Social-Media-Tracker samt ihrer Cookies, die die Startseite vor jedem Klick lädt, und ob ein Einwilligungstool vorhanden ist. Ein Minimum: Die Seite wird ohne Ausführung von JavaScript gelesen.
security.txt
Ein Weg, auf dem Sicherheitsforschende Sie erreichen, geprüft nach RFC 9116: Kontakt, Ablaufdatum, kanonische Adresse, Inhaltstyp.
Administrationszugänge (optional)
Anmeldeseiten von WordPress, Joomla, Drupal, phpMyAdmin und Adminer sowie admin- oder cPanel-Subdomains, die aus dem Internet erreichbar sind. Nur mit der Suche nach sensiblen Dateien, die Sie für eine eigene Domain einschalten; es wird nichts eingegeben oder abgeschickt.
CDN, Firewall und HTTP/3
Das CDN oder die Web Application Firewall vor jeder Website (Cloudflare, CloudFront, Akamai, Fastly, Sucuri …) und ob HTTP/3 angeboten wird; im Inventar angezeigt, nicht bewertet.
Lookalike-Domains
Domains, die nur einen Tippfehler von Ihrer entfernt sind, und ob jemand sie registriert hat.
Leitfaden: Lookalike-Domains: Phishing erkennen, bevor die erste E-Mail verschickt wird
Typosquatting-Überwachung
Hunderte Varianten je Domain: fehlende oder vertauschte Buchstaben, Homoglyphen, andere Endungen, angehängte Wörter. Registrierte Varianten werden mit Mailserver und Website gemeldet.
Neue Registrierungen
Eine Lookalike-Domain, die zwischen zwei Audits auftaucht, steht im Änderungsteil Ihres nächsten Berichts.
Ihre Marke in fremden Zertifikaten
Andere Domains mit Ihrer Marke in einem gültigen Zertifikat, in jedem Tarif, für einen unverwechselbaren Markennamen; zuerst die mit einem Anmeldewort (login, secure, account): der übliche Aufbau einer Phishing-Website.
Seiten, die sich als Sie ausgeben
Mit Ihrem eigenen urlscan.io-Schlüssel: Seiten anderer Domains, die Ihre Dateien laden oder Ihren Namen tragen, täglich gesucht; jede neue Seite wird einmal gemeldet.
Datenlecks und öffentliche Spuren
Was öffentliche Archive und Daten aus Datenlecks bereits über Ihre Domain enthalten.
Archivierte Backups
Adressen von Backups, Datenbank-Dumps und Konfigurationsdateien, die das Internet Archive gespeichert hat: Sie waren einmal öffentlich und können noch Passwörter enthalten.
Öffentliche Pakete
npm-Pakete, deren Links auf Ihre Domain zeigen, um zu prüfen, dass keines versehentlich veröffentlicht wurde.
Geheimnisse in öffentlichem Code
Jede Woche öffentliche Dateien auf GitHub, die Ihre Domain nennen, durchsucht nach Passwörtern, Schlüsseln und Tokens (AWS, Stripe, GitHub, private Schlüssel …); das Geheimnis wird nie gespeichert, nur seine Art, sein Fundort und seine ersten Zeichen. Neue schwere Funde lösen eine Benachrichtigung aus.
Betroffene Adressen
Mit Ihrem eigenen Have-I-Been-Pwned-Schlüssel: wie viele Adressen Ihrer Domain in bekannten Datenlecks vorkommen und in welchen (nur Zahlen, nie die Adressen).
Exposition und Reputation
Was öffentliche Datensätze bereits über Ihre Hosts sagen.
Offene Ports
Datenbanken, Remotedesktop und Administrationsoberflächen, die aus dem Internet erreichbar sind, aus dem öffentlichen Index von Shodan.
Bekannte Schwachstellen
CVEs auf exponierten Diensten, priorisiert mit der CISA-Liste ausgenutzter Schwachstellen und EPSS-Werten.
VPN-Gateways, Firewalls und Exchange
Fortinet, Citrix, Ivanti, Palo Alto, SonicWall, Cisco, F5 und andere Edge-Geräte sowie lokale Exchange-Server auf Ihren Adressen erkannt: das erste Ziel von Angreifern. Außerdem Verzeichnis- (LDAP) und PPTP-VPN-Ports sowie Hosts, deren Name auf ein Fernzugriffsportal hindeutet.
Neu ausgenutzte Schwachstellen
Jede Stunde werden die auf Ihren Adressen gesehenen Schwachstellen mit den Katalogen ausgenutzter Schwachstellen der CISA und der EU (ENISA, mit EUVD-Kennungen) abgeglichen: Eine Schwachstelle, die zwischen zwei Audits ausgenutzt wird, wird sofort gemeldet, mit Benachrichtigung ab dem Solo-Tarif.
Sperrlisten
Domain und Adressen auf Listen von Spamhaus.
Was wir bewusst nicht tun
Kein Portscan von unseren Servern (offene Ports stammen aus dem öffentlichen Index von Shodan). Keine Ausnutzung von Schwachstellen. Kein Raten von Passwörtern. Kein Durchsuchen über die Startseite und eine Handvoll bekannter Dateien wie robots.txt und security.txt hinaus. Keine Anfragen an möglicherweise sensible Pfade, außer Sie schalten diese Option ausdrücklich für eine eigene Domain ein. Das Ergebnis: ein Audit, das Ihr Hoster nie bemerkt und das Ihre Logdateien als einen einzigen Besuch verzeichnen.
Wenn Sie den nächsten Schritt wollen: Ein vereinbarter aktiver Scan der Anwendungen, die Ihnen gehören, ist demnächst verfügbar.