FmindSo funktioniert die Prüfung
Eine Sofortprüfung beobachtet die öffentliche Startseite, TLS, das öffentliche DNS und security.txt. Sie trennt bestätigte Probleme von offenen Punkten. Anonyme Besucher sehen eine Note und Anzahlen; die Befunde bleiben privat.
Kurz gesagt
- Wir rufen Ihre Startseite einmal auf, wie ein Browser, und lesen öffentliche DNS-Einträge und Ihre Sicherheitskontaktdatei. Außerdem fragen wir Google, ob es Ihre Startseite als gefährlich einstuft, und die Registry Ihrer Domain nach dem Verlängerungsdatum. Von Ihrer Website wird nichts weiter abgerufen.
- 23 Prüfungen decken die sichere Verbindung, den Website-Schutz, E-Mail-Fälschung und Domain-Einstellungen ab; 10 davon ergeben die Note.
- Die Note beginnt bei 100 und verliert für jedes Problem Punkte: A ab 95, B ab 80, C ab 65, D ab 50, darunter F.
- Ihr vollständiger Bericht öffnet sich nur über einen Link, der an eine E-Mail-Adresse Ihrer eigenen Domain gesendet wird, oder über einen DNS-Eintrag.
- Weitere Prüfungen enthalten Korrekturen für Ihre Plattform, zählen aber noch nicht zur Note: Googles Liste gefährlicher Websites, Verlängerung und Transfersperre Ihrer Domain, unsichere Formulare und Inhalte, Website-Bibliotheken und WordPress-Versionen mit bekannten Schwachstellen, Schutz vor verstecktem Einbetten, eine Permissions-Policy, sichtbare Softwareversionen und die Referrer-Policy.
- Auf Ihrer Startseite sichtbare Softwareversionen werden mit täglich aktualisierten öffentlichen Sicherheits- und Supportdaten abgeglichen: OSV und die GitHub Advisory Database (CC BY 4.0), CISAs Known Exploited Vulnerabilities (CC0), WordPress.org und endoflife.date. Diese Abfragen nennen nur öffentliche Software, nie Ihre Website.
- Bezahlte Tarife wiederholen dieselbe passive Prüfung: Business jede Woche plus ein täglicher Blick auf kritische Signale, Pro jeden Tag. Jeder Durchlauf ist derselbe Startseitenbesuch mit denselben DNS-Abfragen und Google-Abfragen, höchstens einmal am Tag.
- Der KI-Analyst läuft in einer isolierten Sandbox auf der Agent Platform von Google Cloud mit Gemini-Modellen. Er liest die Belege Ihres Berichts und erkundet bis zu 8 Seiten Ihrer Website (16 bei einer Premium-Analyse): nur lesende Anfragen, gekennzeichnet als FmindCyber, beschränkt auf Ihre Domain und auf von ihr verlinkte Seiten, ohne Anmeldung, Absenden von Formularen oder erratene Pfade. Er beachtet die Regeln Ihrer robots.txt.
- Warnungen vergleichen jeden geplanten Lauf mit dem vorherigen und mit den veröffentlichten Sicherheitshinweisen. Kritische Warnungen gehen sofort raus, hohe im Laufe des Tages und mittlere gesammelt am Montagmorgen, höchstens eine E-Mail pro Domain und Tag und drei pro Woche; jede E-Mail nennt, wer handeln soll und wie die Behebung geprüft wird.
Technische Details
Geben Sie eine registrierte geschäftliche Domain ein. Öffnen Sie den privaten Bericht mit einer E-Mail-Adresse dieser Domain oder nutzen Sie die DNS-Bestätigung.
- Geben Sie Ihre Domain ein und lesen Sie die Note und die Anzahl je Kategorie.
- Öffnen Sie den einmalig gültigen Link aus der E-Mail oder bestätigen Sie einen DNS-Eintrag.
- Sehen Sie sich Ihre nächsten Schritte an (bis zu drei), dann die vollständige Liste und die offenen Punkte.
Die passive Prüfung ruft die HTTPS-Startseite ab und folgt höchstens zwei Weiterleitungen innerhalb derselben Website, zum Beispiel zu www oder einer Sprachseite. Sie beobachtet die HTTP-Weiterleitung und die TLS-Verbindung und liest das öffentliche DNS sowie /.well-known/security.txt. Im DNS werden A-, AAAA-, NS-, MX-, SPF-, DMARC-, CAA- und DNSSEC-(DS-)Einträge sowie gängige DKIM-Selektoren gelesen. Sie durchsucht keine weiteren Seiten, öffnet keine Postfächer, validiert keine DKIM-Signaturen und überprüft nicht die DNSSEC-Kette.
Unterstützte Social-Media-Links auf der Startseite können eine HEAD-Anfrage erhalten, um ihre Antwort zu prüfen, mit höchstens einer Weiterleitung, die beim selben Profil bleibt. Es werden keine Profilinhalte gelesen. Wir suchen außerdem genau diesen Link in den Contact-Feldern der erfassten security.txt, wenn dieses Dokument gültig und aktuell ist. Kontaktseiten, Profilinhaberschaft und Kontosicherheit werden nicht geprüft; diese Beobachtungen beeinflussen die Note nicht.
Die Note beginnt bei 100: Jedes mittlere Problem zieht 15 Punkte ab, jedes geringe Problem 5. A beginnt bei 95, B bei 80, C bei 65 und D bei 50; darunter gilt F. Ein ungültiges TLS-Zertifikat oder eine Website, die nur über unverschlüsseltes HTTP funktioniert, bedeutet F. Unbekannte Ergebnisse bei notenrelevanten Prüfungen begrenzen das Ergebnis auf B. Ohne erfolgreiche HTTPS-Antwort der Startseite wird keine Note vergeben, es sei denn, einer dieser Fälle wurde beobachtet.
TLS, HTTPS-Weiterleitung, Sicherheits-Header für Browser, Cookies, MX, SPF und DMARC fließen in die Note ein. DKIM-Erkennung, CAA, DNSSEC-Signale und security.txt erscheinen im Bericht, ändern die Note aber nicht. Auch eine gute Note ersetzt nicht die Prüfung der offenen Punkte.
Öffentliche Beobachtungen werden 24 Stunden lang wiederverwendet, oder 10 Minuten nach einer Zeitüberschreitung oder einem Ausfall. Anonyme Besucher sehen nur die Note und die Anzahlen. Ein einmal verwendbarer E-Mail-Link läuft nach 15 Minuten ab und beweist den Besitz einer Adresse unter derselben registrierten Domain. Kostenlose E-Mail-Anbieter und öffentliche Hosting-Suffixe werden abgelehnt. Die DNS-Bestätigung steht zur Verfügung, wenn Sie kein Postfach unter der Domain haben.
Offene Ergebnisse verstehen
Nicht bewertete, fehlgeschlagene und nicht zutreffende Prüfungen zählen nicht als erfolgreiche Sicherheitsprüfungen. Der Bericht hält die Einschränkung und die verfügbaren Belege fest.
Ein von außen sichtbarer Versionshinweis bestätigt keine zutreffende Schwachstelle. Eine öffentliche Registrierung beweist nicht, dass die Zwei-Faktor-Anmeldung erzwungen wird, und eine öffentliche Seite kann nicht beweisen, dass sich Backups wiederherstellen lassen.
Öffentliche Prüfungen können weder die Zustellung in Postfächer, den tatsächlichen Schutz durch SPF/DMARC, die Zwei-Faktor-Anmeldung von Konten, interne Patch-Prozesse, die Wiederherstellung von Backups noch die Sicherheit insgesamt feststellen. Postfachzugriff, Test-E-Mails, Tests mit Anmeldung und das Ausnutzen von Schwachstellen sind nicht enthalten.
Die Ergebnisse beschreiben die durchgeführten Prüfungen. Sie sind keine Sicherheitszertifizierung.