Studie: Jede zweite Website kleiner Betriebe hat keine einzige Schutzeinstellung
Bei rund der Hälfte dieser Betriebe fehlt jede der vier gängigen Schutz-Kopfzeilen, mit denen ein Server dem Browser mitteilt, wie er eine Seite absichern soll. Zum Vergleich: Bei einer Stichprobe aus 352 bekannteren deutschen Websites, gezogen aus der für die Forschung gepflegten Tranco-Liste, fehlen alle vier nur bei 27 Prozent. Der Abstand beträgt damit etwa das Doppelte.
Am häufigsten fehlt die Content-Security-Policy — jene Einstellung, die verhindert, dass fremder Code auf einer Seite ausgeführt wird. Bei den bekannteren Websites fehlt sie bei rund drei von vier.
Cookie-Banner kommen häufig zu spät
Für einen zweiten Teil der Untersuchung wurden 2.490 Betriebswebsites in einem echten Browser aufgerufen und beobachtet, was geschieht, bevor ein Besucher auf\“Zustimmen\“klickt. Bei 10,8 Prozent der Betriebe mit Einwilligungsbanner läuft die Messung der Besucher bereits vorher. Das Banner ändert dort nichts an der Datenverarbeitung — es verdeckt nur, dass sie schon begonnen hat.
Auch beim Schutz gegen gefälschte Absender zeigt sich ein Muster: Rund ein Drittel der geprüften Domains hat zwar einen DMARC-Eintrag hinterlegt, dieser steht aber auf der Beobachtungsstufe\“p=none\“. Dabei wird der Empfänger zwar informiert, dass eine E-Mail gefälscht ist — sie wird ihm aber trotzdem zugestellt. Zusammen mit den Domains ganz ohne DMARC sind rund zwei Drittel nicht wirksam geschützt.
\“Diese Einstellungen sind unsichtbar\“, sagt Patrick Neumann, der die Erhebung durchgeführt hat.\“Sie stehen in der Serverkonfiguration, nicht auf der Seite. Wer nicht gezielt danach sucht, erfährt nie, dass sie fehlen. Das ist keine Nachlässigkeit einzelner Betriebe, sondern eine Lücke in dem, was man überhaupt mitbekommt.\“
Zur Methode
Gemessen wurden ausschließlich öffentlich abrufbare Angaben: HTTP-Kopfzeilen und DNS-Einträge, erhoben mit je einem einzigen Abruf der Startseite. Es wurden keine Pfade durchprobiert und keine Zugänge getestet. Die Namen der geprüften Betriebe werden nicht veröffentlicht.
Die Erhebung nennt ausdrücklich auch ihre Grenzen: Angaben zu Impressum und Datenschutzerklärung wurden weggelassen, weil ein erster Auswertungsversuch unbrauchbare Werte lieferte — auf vielen Seiten wird der Link per JavaScript nachgeladen und war für eine Textsuche unsichtbar. Die Werte zu eingebundenen Drittanbietern sind Untergrenzen. Bei der Stichprobe von 352 Websites liegt die statistische Schwankungsbreite bei etwa fünf Prozentpunkten.
Alle Zahlen, die Methode und eine Aufschlüsselung nach Bundesland und Ort sind öffentlich einsehbar:
Studie zur Website-Sicherheit 2026
Wie sich ein DMARC-Eintrag von der Beobachtungsstufe auf eine wirksame Regel umstellen lässt, ist hier Schritt für Schritt beschrieben:
SPF, DKIM und DMARC richtig einrichten
Über Apexly
Apexly ist ein Prüfdienst für Websites aus Döbern in Brandenburg. Er untersucht Websites auf Sicherheits- und Datenschutzmängel und erklärt Befunde in verständlicher Sprache. Die Erhebung stammt vom Anbieter selbst; die Methode ist deshalb vollständig offengelegt und die Werte lassen sich mit einem Browser und Werkzeugen wie dig an jeder beliebigen Domain nachvollziehen.
Categories: Allgemein
No Responses Yet
You must be logged in to post a comment.