Wissen · Tool-Anleitungen

Läuft meine Website auf veralteter Software?

Bekannte Sicherheitslücken erkennen — passiv, ohne Scan.

Die meisten erfolgreichen Angriffe auf kleine Websites brauchen keinen genialen Hacker. Sie brauchen nur eine Software-Version, für die längst eine bekannte Lücke veröffentlicht ist — und eine Website, die diese Version freundlich in ihren Antwort-Kopfzeilen ausplaudert. Angreifer durchsuchen das Netz automatisiert genau danach. Die gute Nachricht: Sie können in Sekunden dasselbe sehen wie sie — und die Lücke schliessen, bevor jemand sie nutzt.

Woran ein Server seine Version verrät

Jede Website antwortet auf eine Anfrage mit Kopfzeilen. Drei davon verraten oft die eingesetzte Software:

Server: — etwa Apache/2.4.7 (Ubuntu) oder nginx/1.18.0
X-Powered-By: — etwa PHP/7.4.3
<meta name="generator"> in der Seite — etwa WordPress 5.8

Steht dort eine konkrete Versionsnummer, lässt sich in einer öffentlichen Datenbank — der National Vulnerability Database (NVD) — nachschlagen, welche CVEs (offiziell erfasste Schwachstellen) für genau diese Version bekannt sind, samt Schweregrad (CVSS-Wert von 0 bis 10).

Ein Beispiel

Der Testserver scanme.nmap.org (vom nmap-Projekt ausdrücklich zum Üben freigegeben) nennt in seiner Kopfzeile Apache/2.4.7. Ein einziger, ganz normaler Seitenaufruf genügt, um das zu lesen. Die NVD kennt zu dieser Version zahlreiche Lücken — die schwersten zuerst:

Sichtbare Software — scanme.nmap.org Server Apache/2.4.7 (Ubuntu) Apache HTTP Server 2.4.7 — bekannte CVEs, höchste zuerst CVSS CVE-ID Beschreibung 9.8 CVE-2017-3167 ap_get_basic_auth_pw() — Authentifizierung umgehbar … 9.8 CVE-2017-7679 mod_mime liest über einen Puffer hinaus … 9.8 CVE-2018-1312 schwache Digest-Authentifizierung …

Ein CVSS von 9.8 ist «kritisch». Es lohnt sich also, hinzusehen. Aber — und das ist der wichtigste Satz dieses Beitrags:

Eine bekannte Lücke der Version ist ein Hinweis, kein Beweis. Dass eine Version CVEs hat, heisst nicht, dass Ihre Website angreifbar ist: die Lücke kann über ein Update der Distribution bereits geschlossen sein, das Banner kann veraltet oder absichtlich falsch gesetzt sein, und nicht jede Lücke betrifft jede Konfiguration. Der Wert liegt in der Priorisierung — er sagt Ihnen, wo Sie zuerst nachsehen sollten.

So prüfen Sie Ihre eigene Website

Auf stratdata gibt es dafür das Werkzeug CVE-Check: Sie geben Ihre Domain ein, es ruft einmal die Startseite ab, liest die Versions-Kennungen und fragt die NVD ab. Kein Portscan, kein Angriff — nur das, was jeder Browser ohnehin sieht. Wer möchte, kann denselben Auftrag auch dem KI-Agenten in normaler Sprache geben («Prüfe, ob meine Website veraltete Software ausliefert»).

Wenn eine Version mit Lücken auftaucht

Aktualisieren Sie die betroffene Software — bei Baukästen wie WordPress inklusive Themes und Plugins.
Blenden Sie die Version aus. Ein Server, der seine Version verschweigt, taucht in den automatisierten Suchen der Angreifer gar nicht erst auf (Apache: ServerTokens Prod; nginx: server_tokens off).
Prüfen Sie regelmässig — Lücken werden laufend neu bekannt. Was heute unauffällig ist, kann in einem Monat eine bekannte Schwachstelle sein.

Wo die passive Prüfung endet

Der CVE-Check sieht nur die Webschicht und nur, was der Server preisgibt. Offene Ports, andere Dienste (SSH, Datenbanken) oder eine absichtlich versteckte Version findet er nicht — dafür braucht es einen aktiven Scan mit Portabfrage, der Pakete an das Ziel sendet und nur mit ausdrücklicher Berechtigung zulässig ist. Für die eigene Website, die man besitzt, ist das erlaubt; gegen fremde Systeme ist es ohne Einwilligung unzulässig und kann strafbar sein.

Mit dem KI-Agenten prüfen Alle Tools ansehen Mehr aus «Wissen»