NoDSB · DIGITALE WERKZEUGE
Websites technisch untersuchen
Welche Dienste lädt eine Website? Welche Cookies werden vor einer Einwilligung gesetzt? Welches CMS und welche WordPress-Erweiterungen sind erkennbar? Mit den hier vorgestellten Werkzeugen lassen sich technische Sachverhalte nachvollziehen und dokumentieren. Sie ersetzen weder ein vollständiges Sicherheits-Audit noch die datenschutzrechtliche Prüfung.
Grundlage und Einordnung
Die Prüfmethoden zu Netzwerkaufrufen, Cookies, Consent, TLS und Hosting folgen dem von Eckhard Schneider verfassten Datenschutz Technik Guide von decareto (insbesondere Kapitel 3–9; Fassung mit Beispielen aus 2022). Die zusätzlichen Erkennungs- und Browserwerkzeuge wurden gesondert recherchiert. Da sich Technik und Rechtslage weiterentwickeln, sind historische Beispiele nicht als aktuelle Rechtsbewertung zu verstehen.
Mehr zum decareto, mehr zum decareto Technik-Guide
Prüfen mit Methode
Ein frisches Browserprofil verwenden, den Netzwerkverkehr vor und nach einer Einwilligung vergleichen, Unterseiten und nachgeladene Elemente berücksichtigen und die Ergebnisse dokumentieren. Aktive Sicherheitsprüfungen nur an eigenen oder ausdrücklich freigegebenen Systemen durchführen. Bei externen Scandiensten beachten, dass eingegebene URLs und Ergebnisse offengelegt werden können.
decareto
Art: Professionelles Monitoring
Automatisierte Untersuchung von Websites auf eingebundene Dienste, Cookies, Drittanbieter, technische Risiken und Abweichungen der dokumentierten Datenverarbeitung. Der beigefügte decareto-Leitfaden erläutert die zugrunde liegende Methodik.
Praxistipp: Wiederkehrende Prüfungen und dokumentierbare Berichte für eigene, autorisiert untersuchte Websites.
Technologien, CMS und WordPress
WhatCMS
Art: Online-Werkzeug
Erkennt Content-Management-Systeme sowie weitere öffentlich identifizierbare Technologien. Für eine erste Einschätzung geeignet, aber nicht jedes System ist eindeutig erkennbar.
Praxistipp: CMS erkennen und das Ergebnis mit Quelltext und Netzwerkverkehr abgleichen.
What WordPress Theme Is That
Art: Online-Werkzeug
Versucht, bei WordPress-Websites das Theme, gegebenenfalls das Parent-Theme und erkennbare Plugins zu ermitteln. Individuelle Themes oder verschleierte Ressourcen können die Erkennung verhindern.
Praxistipp: Theme-Namen und Plugin-Hinweise als Rechercheansatz dokumentieren.
WPThemeDetector
Art: Online-Werkzeug
Ein weiterer WordPress-Theme- und Plugin-Detektor als Gegenprobe. Angezeigte Pluginlisten sind keine vollständige Inventarisierung.
Praxistipp: Ergebnisse verschiedener Theme-Detektoren vergleichen.
Wappalyzer
Art: Browser-Erweiterung und Online-Dienst
Identifiziert erkennbare Frameworks, Content-Management-Systeme, Shops, Analytics und weitere Technologien. Die Browser-Erweiterung eignet sich für die schnelle Sichtung während des Besuchs.
Praxistipp: Technologie-Stack erfassen und Auffälligkeiten anschließend manuell überprüfen.
BuiltWith
Art: Online-Dienst
Technologie-Recherche einschließlich CMS, Skripten, Hosting- und Marketingdiensten; der Umfang verfügbarer Auswertungen hängt vom Angebot ab.
Praxistipp: Weitere Hinweise zu eingebundenen Diensten und technischer Infrastruktur gewinnen.
Tracker, Cookies und Browseranalyse
Browser-Entwicklertools
Art: Im Browser integriert
Über Netzwerk- und Speicheransichten lassen sich Requests, externe Domains, Cookies, Local Storage, Skripte und die Wirkung des Consent-Banners nachvollziehen. Im PDF von decareto ist dieses Verfahren die Grundlage des manuellen Audits.
Praxistipp: Im frischen Browserprofil vor und nach Einwilligung prüfen, inklusive Unterseiten und nachgeladenen Inhalten.
Ghostery
Art: Browser-Erweiterung
Zeigt erkannte Tracker an und kann Tracking und Werbung blockieren. Die Erkennung hilft bei der ersten Orientierung; ein blockierter Request bedeutet nicht, dass die Website ohne Erweiterung datenschutzkonform wäre.
Praxistipp: Zum Aufspüren von Tracking-Kategorien nutzen; für die belastbare Erhebung Blockierung deaktivieren bzw. zweites Testprofil verwenden.
Webbkoll
Art: Online-Scanner
Untersucht öffentlich sichtbare Datenschutz- und Browser-Sicherheitsmerkmale wie Tracker, Cookies und Schutzheader. Der Dienst eignet sich für einen ersten Überblick.
Praxistipp: Auffällige Beobachtungen mit Browser-Entwicklertools nachvollziehen.
Transportverschlüsselung und Sicherheitsheader
Qualys SSL Labs
Art: Online-Scanner
Analysiert TLS-Konfigurationen öffentlich erreichbarer Webserver, etwa Zertifikate, Protokolle und unterstützte Verschlüsselungsverfahren. Im decareto-Leitfaden ausführlich vorgestellt.
Praxistipp: TLS-Befunde technisch bewerten; Ergebnisse können veröffentlicht oder zwischengespeichert werden.
Mozilla HTTP Observatory
Art: Online-Scanner
Prüft HTTP-Sicherheitsheader und weitere browserseitige Sicherheitsmaßnahmen. Es liefert verständliche Hinweise zur Härtung der Webkonfiguration.
Praxistipp: Fehlende oder schwache Header mit der Administration besprechen.
SecurityHeaders
Art: Online-Scanner
Gibt einen Überblick über das Vorhandensein wichtiger HTTP-Sicherheitsheader und bewertet sie anhand eines Punktesystems.
Praxistipp: Ergänzende Kontrolle von CSP, HSTS und weiteren Response-Headern.
Server, Infrastruktur und URL-Analyse
ip-api
Art: Online-Dienst
Liefert zu öffentlichen IP-Adressen Schätzungen zum geografischen Standort und Angaben zum Netzbetreiber. Der Leitfaden nutzt das Werkzeug zur Recherche von Hosting-Infrastruktur.
Praxistipp: IP-Adresse und Provider ermitteln; Standortangaben nicht mit tatsächlichem Speicherort gleichsetzen.
RIPEstat
Art: Online-Dienst
Stellt Informationen zu IP-Präfixen, autonomen Systemen, Routing und Registry-Daten bereit. Dies hilft bei der technischen Einordnung der Infrastruktur.
Praxistipp: Betreiber- und Netzwerkangaben gegenüber Geolokalisierungsdiensten gegenprüfen.
urlscan.io
Art: Online-Sandbox
Besucht eine URL automatisiert und dokumentiert unter anderem angeforderte Domains, Ressourcen und einen Screenshot. Für die Analyse verdächtiger und öffentlich erreichbarer Seiten geeignet.
Praxistipp: Bei vertraulichen URLs auf die Scan-Sichtbarkeit achten: öffentliche Scans können Adressen und Inhalte offenlegen.
Ein pragmatischer Website-Prüfablauf
1. CMS und sichtbare Technologien mit WhatCMS oder Wappalyzer erfassen. 2. Netzwerk-Requests in den Entwicklerwerkzeugen zunächst ohne Einwilligung beobachten. 3. Cookies, Local Storage und nachgeladene Skripte prüfen. 4. TLS und HTTP-Sicherheitsheader analysieren. 5. Hosting- und Dienstebetreiber recherchieren und Befunde fachlich bewerten. Die reine IP-Geolokalisierung beweist weder einen Drittlandtransfer noch dessen Rechtswidrigkeit.
Weiterführende Informationen
Technische Befunde allein sind noch keine datenschutzrechtliche Bewertung. Für deren Einordnung können die methodischen Grundlagen des Datenschutzrechts und des Standard-Datenschutzmodells hilfreich sein. Standard-Datenschutzmodell · Datenschutz verstehen.