Arbeitshilfen
Kommentierte Übersicht frei verfügbarer Online-Testdienste und die Frage, was sich aus ihren Ergebnissen ableiten lässt.
Was öffentliche Online-Tests zeigen und was nicht
Ob eine Webseite verschlüsselt erreichbar ist, ob E-Mails gegen Fälschung geschützt sind oder ob beim Seitenaufruf Daten an Dritte fliessen, lässt sich mit frei verfügbaren Online-Testdiensten in wenigen Minuten von aussen prüfen. Das eignet sich für die eigene Organisation ebenso wie für die Plausibilisierung der Angaben eines Dienstleisters.
Die Ergebnisse liefern schnell erste Anhaltspunkte und gute Fragen an die Verantwortlichen. Sie zeigen die technische Aussenseite zu einem einzelnen Zeitpunkt. Ein gutes Ergebnis belegt noch keine wirksame Steuerung, ein schlechtes kann eine bewusst getroffene Risikoentscheidung sein. Die Übersicht nennt deshalb zu jedem Dienst, wofür es sich eignet und was offen bleibt.
| Testdienst | Wofür | Was offen bleibt |
|---|---|---|
| internet.nl (öffnet in neuem Fenster) | Gesamtüberblick zu Webseite und E-Mail: HTTPS, DNSSEC, Security-Header, SPF, DKIM, DMARC | Ob ein Befund im eigenen Kontext relevant ist. Die Bewertung folgt niederländischen Richtlinien, und vieles betrifft den Hosting-Anbieter. |
| Qualys SSL Labs (öffnet in neuem Fenster) | Vertiefte Prüfung von Verschlüsselung und Zertifikatskette, geeignet als Gegenprüfung | Alles ausser Verschlüsselung und Zertifikat, etwa E-Mail-Schutz und Inhalte der Seite. |
| Mozilla HTTP Observatory (öffnet in neuem Fenster) | Security-Header mit konkreten Umsetzungsempfehlungen | Ob die gesetzten Schutzmechanismen zum Risiko der Anwendung passen. |
| Webbkoll (öffnet in neuem Fenster) | Cookies, Tracker und Drittanbieter beim Seitenaufruf, also die Datenschutzsicht | Wie die erhobenen Daten weiterverwendet werden. Beobachtet wird ein einzelner Seitenaufruf ohne Interaktion. |
Hinweise zur Anwendung
- Fremde Webseiten prüfen: Die Dienste rufen die geprüfte Seite aktiv ab und führen technische Tests durch. Zu beachten ist, dass manche Ergebnisse öffentlich einsehbar sind: bei internet.nl über einen Link zum Ergebnis, beim HTTP Observatory in der Liste früherer Prüfungen der Domain. Bei SSL Labs lässt sich das Ergebnis mit der Option «Do not show the results on the boards» aus der öffentlichen Liste ausnehmen.
- Befund und Bewertung trennen: Ein auffälliges Testergebnis ist zuerst zu validieren und eine Frage an die Verantwortlichen, noch keine Feststellung. Danach ist zu beurteilen, welche Anforderung betroffen ist und ob die Abweichung angemessen behandelt wird. Eine dokumentierte Risikoakzeptanz ersetzt keine verbindliche Vorgabe.
- Vertiefung: Ein Online-Test ersetzt keine Prüfung. Wie Selbstdeklaration, Nachweiskontrolle, Vor-Ort-Besuch und Audit risikobasiert gewählt werden, beschreibt das Whitepaper Prüfwerkzeuge in der Cyber- und Informationssicherheit.