Ich betreibe neben vielen privaten Domains auch meinen eigenen Mailserver. Kein Postfach bei einem der großen Anbieter, keine fremde Infrastruktur dazwischen, die eigene Maschine, die eigene Verantwortung. Wer das macht, lernt schnell, wie viel an einer einzigen Domain hängt. Die DNS-Einträge müssen exakt stimmen, sonst landet die eigene Mail im Spam-Ordner der Empfängerin oder, schlimmer, jemand anderes kann sich mühelos als du ausgeben. Der Server dahinter muss dichthalten: TLS sauber konfiguriert, SSH gehärtet, keine offene Tür, an die seit dem letzten Umzug niemand mehr gedacht hat.

Beruflich sieht es nicht anders aus. Ich betreue hauptberuflich viele Dutzend Server für unterschiedliche Kund*innen, dazu meine übrige eigene Infrastruktur: meine Webseiten, mein privates Portfolio, die APBoard Webseite, die FediSuite Webseite und Instanz, die Mastodon-Instanz lsbt.me, mehrere Homelab-Systeme und Vieles mehr. Bei jeder einzelnen Domain stelle ich mir dieselben Fragen. Ist das TLS-Zertifikat wirklich sauber konfiguriert, nicht bloß gültig? Kann irgendjemand meine Maildomain fälschen? Steht seit dem letzten Serverumzug irgendwo ein Port offen, an den seither niemand mehr gedacht hat?

Wer das wirklich wissen will, kommt an einem Scanner nicht vorbei, der einem ehrlich sagt, was in Ordnung ist und was nicht. Davon gibt es reichlich, und fast alle teilen zwei Eigenschaften mit bewundernswerter Konsequenz. Erstens: Sobald es über ein grobes Ja oder Nein hinausgeht, wollen sie ein Konto oder eine Kreditkarte sehen. Zweitens: Jeder von ihnen schaut sich genau einen Ausschnitt an. Am Ende hat man ein halbes Dutzend offener Tabs und ein Bauchgefühl, aber kein vollständiges Bild.

Acht Tabs, ein einziger Scan

Qualys SSL Labs prüft gründlich, aber ausschließlich TLS. mxtoolbox deckt Mail-Records ab und verlangt nach wenigen Abfragen ein Konto. Für SSH-Härtung gibt es ssh-audit.online, für HTTP-Header securityheaders.com, für SPF, DKIM und DMARC wieder eigene Adressen. Kostenlos ist bei den meisten nur der Köder, mit dem man reinkommt, für den Rest der Wahrheit über die eigene Domain zahlt man, wechselt die Seite oder beides. Genau diese Zersplitterung wollte ich nicht mehr. Also gibt es jetzt einen einzigen, kostenlosen Scan: www.sichere-deinen-server.de auf Deutsch, www.secure-your-server.com auf Englisch für internationale Domains.

Acht Kategorien, eine Note, echte Belege für jeden Fund

Ein Domain-Scan prüft acht Bereiche, jeder mit eigener Note von A+ bis F, derselben Notenskala, die auch bekannte SSL-Testwerkzeuge verwenden. DNS steht am Anfang: löst die Domain sauber über IPv4 und IPv6 auf, gibt es genug Nameserver für echte Redundanz, ist DNSSEC aktiv, und, ein Punkt, den erstaunlich viele Admin*innen übersehen, lässt sich die komplette Zone per Zonentransfer unauthentifiziert an jede beliebige IP herausgeben. Direkt danach folgt die Mail-Authentifizierung: ob dein SPF-Eintrag existiert und mit einem harten Fail endet statt mit einem zahnlosen Soft-Fail, ob DKIM-Schlüssel auffindbar sind, ob DMARC wirklich auf quarantine oder reject steht statt auf none, und ob deine Mailserver-IP auf einer der gängigen Spam-Blacklists auftaucht. Ein sauberer Eintrag sieht so aus:

v=spf1 include:_spf.google.com -all
v=DMARC1; p=reject; rua=mailto:dmarc@deine-domain.de

Zwei Zeilen, die darüber entscheiden, ob sich jede beliebige Person als du ausgeben kann.

TLS und SSH bilden den technisch aufwendigsten Teil. Der TLS-Check läuft über testssl.sh und prüft jede Protokollversion von SSLv2 bis TLS 1.3, die komplette Cipher-Suiten-Liste, Zertifikatsdetails bis zur Vertrauenskette und alle bekannten, namentlich benannten Schwachstellen von Heartbleed bis Ticketbleed. Der SSH-Check fährt ein vollständiges ssh-audit gegen den Server, jeder einzelne Schlüsselaustausch-, Verschlüsselungs- und MAC-Algorithmus wird einzeln bewertet, dazu bekannte CVEs für die erkannte Softwareversion, verlinkt auf den jeweiligen NVD-Eintrag.

Der Portscan zeigt, was aus dem offenen Internet überhaupt erreichbar ist: die zwanzig gängigsten Ports für alle, ein vollständiger Scan der ersten tausend Ports nach Verifizierung, über zwei Dutzend Dienste als eigenes Risiko markiert, sobald sie offen stehen, Datenbanken, Cache-Server, Management-Interfaces, alte Protokolle wie Telnet und FTP. Der Header-Check geht jeden Sicherheitsheader durch, den ein moderner Browser versteht, Content-Security-Policy, HSTS, die Cross-Origin-Header, dazu Existenz und Gültigkeit deiner security.txt nach RFC 9116, worüber ich vor Kurzem einen eigenen Artikel geschrieben habe. Am Ende stehen WHOIS, also wann deine Domain ausläuft und ob Transfersperren fehlen, und PGP/WKD, also ob sich verschlüsselte Mail an deine Adresse technisch überhaupt aufbauen lässt.

Jeder Befund verlinkt im Bericht selbst zurück auf das RFC, die Herstellerempfehlung oder die CVE, aus der er stammt. Keine Ampel ohne Beleg dahinter.

Warum du erst beweisen musst, dass die Domain dir gehört

Ein Scan startet nicht, nur weil jemand eine Domain in ein Feld tippt. Bevor irgendetwas läuft, verlangt die Seite einen Besitznachweis, wahlweise einen DNS-TXT-Eintrag oder eine Datei unter einem well-known-Pfad. Ohne diesen Nachweis passiert nichts: kein Scan, kein gespeichertes Ergebnis, keine Note.

Der Grund dafür ist der Grund, aus dem ich das Werkzeug überhaupt so gebaut habe. Niemand soll bund.de eintragen und dabei einen detaillierten Sicherheitsbericht über eine fremde Domain bekommen können. Niemand soll eine öffentliche Bestenliste mit fremden Domains füllen, die dort nie landen wollten. Wer eine bereits gescannte, öffentlich gelistete Domain aufruft, sieht ausschließlich die Note je Kategorie. Die Einzelbefunde, also genau die Information, die auch für einen Angriff interessant wäre, bleiben verschlossen, bis du selbst nachweist, dass dir die Domain gehört. Erst dann bekommst du den vollständigen Bericht mit jedem Fund und einer konkreten Anleitung dazu, 365 Tage lang gültig, als PDF exportierbar für eine Kundenübergabe oder ein internes Audit.

Auf dem Weg dahin sammelt die Seite so wenig wie möglich über dich. Du brauchst kein Konto und kein Login, und es lädt kein einziges Tracking-Skript. Genau ein Cookie existiert im gesamten Dienst, gesetzt erst nach der Verifizierung, im Cookie-Hinweis vollständig beschrieben. Wer nicht auf einer öffentlichen Bestenliste stehen will, schließt die eigene Domain mit einem Klick davon aus.

Der Mail-Test: was am anderen Ende wirklich ankommt

DNS-Einträge sagen dir, wie deine Mail-Konfiguration aussehen sollte. Sie sagen dir nicht, wie eine echte Nachricht bei einer fremden Gegenstelle tatsächlich ankommt, und genau dort liegt oft der Unterschied. Der Mail-Zustellungstest gibt dir eine einmalige Empfangsadresse, fünfzehn Minuten gültig, genau einmal nutzbar. Du schickst von deinem eigenen Postfach eine Mail dorthin, wie an jede andere Adresse auch.

Ausgewertet wird die tatsächlich empfangene Nachricht: ob SPF, DKIM und DMARC an genau dieser Mail wirklich greifen, über welche TLS-Verbindung dein Server zugestellt hat, wie das Reverse-DNS deines versendenden Mailservers aussieht, welche spamrelevanten Signale in der Nachricht selbst stecken. Die vollständigen, rohen Kopfzeilen bekommst du über einen privaten Einmal-Link, den sonst niemand sieht. Das Testpostfach wird direkt nach der Auswertung geleert, dazu läuft ein zusätzlicher Sicherheits-Sweep nach 24 Stunden.

Für Vereine, die ihren Newsletter über einen externen Versanddienst verschicken, für Kleinunternehmen mit eigenem Mailserver, für jede Organisation, die sich schon einmal gefragt hat, warum die eigene Mail im Spam-Ordner der Empfängerin landet: Genau diese Frage beantwortet der Mail-Test mit einer echten, tatsächlich zugestellten Nachricht.

Kostenlos heißt hier wirklich kostenlos

Ich habe bewusst kein Freemium-Modell gebaut. Es gibt keine Testphase, kein Limit nach der fünften Abfrage und keine Enterprise-Stufe, die den vollständigen Portscan erst freischaltet. Alle acht Kategorien, der vollständige Bericht nach Verifizierung, der PDF-Export, die 365 Tage Gültigkeit: alles kostenlos, dauerhaft, ohne Konto.

Der Grund ist derselbe, aus dem ich einen Teil meiner Zeit in Vereinsberatung stecke, statt sie ausschließlich an zahlungskräftige Kund*innen zu verkaufen. Ein Sicherheitsscanner nützt genau den Organisationen am meisten, die sich einen professionellen Penetrationstest nicht leisten können: dem Sportverein mit eigener Vereinsseite, der ehrenamtlich betreuten Nextcloud einer Bürgerinitiative, der Ein-Frau-Firma, die ihre Domain selbst verwaltet, weil eine eigene IT-Abteilung schlicht nicht existiert. Genau diese Gruppen sind bei einem Vorfall am schlechtesten abgesichert und brauchen am längsten, um ihn überhaupt zu bemerken, wie ich am Beispiel eines gehackten Nextcloud-Betreibers an anderer Stelle beschrieben habe.

Was du konkret verpasst, wenn du es nicht testest

Eine ablaufende Domain ist der banalste Fall und trotzdem einer der teuersten. WHOIS zeigt dir das Ablaufdatum, lange bevor die Erinnerungsmail im Spam-Ordner verschwindet und die Seite eines Tages einfach offline ist. Ein fehlender oder zu schwacher SPF- und DMARC-Eintrag bedeutet, dass sich jede beliebige Person als du ausgeben und in deinem Namen Mails verschicken kann, an Kund*innen, an Vereinsmitglieder, an wen auch immer im Adressbuch steht. Ein Zonentransfer, der unauthentifiziert an jede IP herausgegeben wird, liefert die komplette interne Struktur deiner Domain frei Haus, jede Subdomain, jeden internen Hostnamen. Ein offenes Datenbank-Interface an einem Port, an den seit dem letzten Serverumzug niemand mehr gedacht hat, ist genau der Einstiegspunkt, den ein automatisierter Scan aus dem offenen Internet in einer einzigen Nacht findet, wie ich es bei der Gitea/Forgejo-Lücke im Juli beschrieben habe. Und veraltete SSH-Algorithmen ohne Schutz gegen künftige Quantencomputer fallen nur auf, wenn überhaupt jemand nachsieht, was ein Werkzeug wirklich geprüft hat.

Keiner dieser Punkte braucht einen gezielten Angriff, um wehzutun. Automatisierte Scanner klopfen im Minutentakt an jede erreichbare IP-Adresse im Internet, ohne dich zu kennen und ohne dich als Ziel ausgewählt zu haben. Sie suchen nach genau den Lücken, die dir ein einziger kostenloser Scan in wenigen Minuten selbst zeigt.

Fünf Minuten, zwei Adressen

Geh auf www.sichere-deinen-server.de, trag deine Domain ein, beweise mit einem DNS-Eintrag oder einer Datei, dass sie dir gehört, und lies den Bericht in Ruhe durch. Für internationale Domains und die englischsprachige Fassung gibt es dieselbe Seite unter www.secure-your-server.com. Schick danach eine Mail an die temporäre Adresse aus dem Mail-Test und schau nach, was auf der anderen Seite wirklich ankommt.

Was du findest, wirst du wahrscheinlich nicht mögen. Vielleicht ein SPF-Eintrag, der seit dem letzten Anbieterwechsel nicht mehr stimmt, oder ein Port, den ein früherer Dienstleister offen gelassen hat. Besser, du findest es selbst, mit einem kostenlosen Scan, der dir zu jedem Befund die Quelle mitliefert, als dass es jemand mit weniger guten Absichten findet.

Reden wir über deine IT-Sicherheit.

Schreib mir eine E-Mail: Kurz beschreiben, was du vorhast oder was dich beschäftigt. Ich melde mich in der Regel innerhalb eines Werktages. hallo@chrislo.de

Kein Kontaktformular, keine Pflichtfelder, keine Datenspur. Einfach schreiben.