Glaubwürdigkeit lässt sich nicht nur behaupten – sie muss belegt werden. Als Institut für Cybersicherheit Deutschland prüfen wir täglich die digitale Sicherheit unserer Kunden. Die naheliegende Frage: Wie sieht es bei uns selbst aus?
Die Antwort haben wir uns im Juni 2026 offiziell geben lassen: Ein zweistufiger Sicherheitsaudit unserer eigenen Website – durchgeführt nach demselben Verfahren, das wir für Kunden einsetzen. Das Ergebnis ist öffentlich einsehbar: Grade A, 100 von 100 Punkten.
Was genau geprüft wurde
Unser Audit-Verfahren besteht aus zwei unabhängigen Prüfebenen, die kombiniert ein deutlich vollständigeres Bild ergeben als jede Einzelprüfung.
Stufe 1 – Black-Box-Analyse der Live-Website:
Hier prüfen wir, was ein Angreifer von außen sieht – ohne Quellcode-Zugang. Dazu gehören HTTP-Sicherheitsheader (HSTS, Content-Security-Policy, X-Frame-Options, Referrer-Policy, Permissions-Policy), die TLS-Konfiguration inklusive Protokollversionen, die DNS-Sicherheitsinfrastruktur mit SPF, DKIM und DMARC sowie exponierte Verzeichnisse und Konfigurationsdateien.
Stufe 2 – White-Box-Code-Review nach OWASP Top 10:
Hier analysieren wir den Quellcode der Website und aller serverseitigen Komponenten auf die zehn kritischsten Schwachstellenklassen, darunter Injection-Angriffe (SQL, HTML, Header), fehlende Zugriffskontrollen, unsichere direkte Objektreferenzen, Sicherheitsfehlkonfigurationen und bekannte Schwachstellen in verwendeten Bibliotheken.
Jeder gefundene Verdachtsfall durchläuft anschließend eine adversariale Falschpositiv-Prüfung: Wir versuchen aktiv, jeden Befund zu widerlegen, bevor er ins Zertifikat aufgenommen wird. Das verhindert, dass legitime technische Entscheidungen fälschlich als Sicherheitslücken gewertet werden.
Worauf es bei der Prüfung ankommt
In unserer täglichen Auditpraxis sehen wir immer wieder dieselben Schwachstellen – und zwar quer durch alle Branchen, von der kleinen Unternehmenswebsite bis zum etablierten Online-Shop. Die häufigsten Optimierungsfelder, die ein professioneller Audit zutage fördert:
- Fehlendes HSTS (HTTP Strict Transport Security) – Ohne diesen Header kann ein Angreifer unter bestimmten Umständen einen ersten unverschlüsselten Verbindungsversuch abfangen.
- Veraltete TLS-Protokolle – TLS 1.0 und 1.1 gelten seit RFC 8996 als überholt und unsicher, sind aber auf vielen Servern noch aktiv.
- Fehlende Content-Security-Policy – Ohne CSP gibt es kein Browser-seitiges Containment, falls es doch einmal zu Cross-Site-Scripting kommt.
- DMARC ohne Enforcement (
p=none) – E-Mail-Authentifizierung ist zwar konfiguriert, verhindert aber kein Spoofing der eigenen Domain. - SPF im Softfail-Modus (
~all) – Für eine professionelle Domain sollte der Hardfail (-all) gesetzt sein.
Das sind keine theoretischen Spitzfindigkeiten – es sind reale Konfigurationslücken mit konkretem Risiko. Die gute Nachricht: Sie lassen sich in aller Regel schnell und ohne Funktionsverlust schließen.
Der Maßstab, den wir an uns selbst anlegen
Was wir unseren Kunden empfehlen, setzen wir auf der eigenen Website kompromisslos um. Aktive Absicherungen auf ifcsd.de:
- HSTS mit
includeSubDomainsundpreload - TLS-Minimum: 1.2 – TLS 1.0 und 1.1 werden serverseitig abgelehnt
- Vollständige Content-Security-Policy mit
frame-ancestors 'none'undobject-src 'none' - X-Frame-Options: DENY (Clickjacking-Schutz)
- DKIM-Signierung, SPF mit Hardfail (
-all), DMARC mit Enforcement (p=quarantine) - Permissions-Policy: Kamera, Mikrofon, Geolocation und Payment deaktiviert
Das Ergebnis dieser konsequenten Härtung: Grade A, 100 von 100 Punkten – ohne einen einzigen offenen Befund. Das ausgestellte Zertifikat ist öffentlich verifizierbar:
Zertifikat IFCSD-WEB-2026-0621-IFC verifizieren →
Warum wir das öffentlich machen
Weil Transparenz kein Marketing ist – sie ist eine Haltung. Wer Sicherheitsberatung anbietet, muss dieselben Standards erfüllen, die er seinen Kunden empfiehlt. Das öffentlich einsehbare Zertifikat mit Verify-URL ist unser Beleg dafür.
Und es zeigt etwas Wichtiges für jeden Website-Betreiber: Sicherheit ist kein Zustand, sondern ein Prozess. Konfigurationen veralten, Standards verschärfen sich, neue Angriffstechniken entstehen. Ein strukturierter, wiederkehrender Audit ist der verlässlichste Weg, mit dieser Entwicklung Schritt zu halten.
Ihre Website prüfen lassen?
Unser Audit-Verfahren steht ausschließlich auf Anfrage zur Verfügung – für kleine und mittelständische Unternehmen, Agenturen und Organisationen, die Verlässlichkeit beweisen wollen, nicht nur versprechen.
Was Sie erhalten: Ein vollständiges Audit-Protokoll, ein provisorisches oder abschließendes Zertifikat, eine priorisierte Mängelliste und – wenn gewünscht – Unterstützung bei der Behebung.
Preis auf Anfrage. Erste Einschätzung kostenlos.