Jede Prüfung, in klarem Deutsch.

Deine Supabase-Tabelle antwortet jedem, der fragt, ganz ohne Login. Das sind die Daten deiner Nutzer, lesbar für Fremde. Wir fragen einmal nur die Zeilenzahl ab, nie eine Zeile, und berichten, was zurückkam. OWASP A01:2025

Deine Firebase-Daten lassen sich ohne Anmeldung lesen. OWASP A01:2025

Der Supabase Service Key liegt im Code deiner Seite. Wer ihn liest, hat deine ganze Datenbank, alle Schlösser wirkungslos. CWE-798

Wir durchsuchen den Code deiner Seite nach Schlüsseln (Stripe, OpenAI, AWS, GitHub), die nie öffentlich sein dürfen. Damit kann jemand dein Geld ausgeben oder deine Daten lesen. CWE-798

Die .env-Datei mit Passwörtern und Schlüsseln wird ausgeliefert wie jede andere Seite. CWE-538

Nicht über HTTPS ausgeliefert, oder das Zertifikat ist abgelaufen oder nicht vertrauenswürdig. Das zuerst, alles andere wartet. GDPR Art. 32

Der Ordner .git ist erreichbar, damit lässt sich dein ganzer Quellcode samt alter Versionen herunterladen. CWE-538

Supabase Storage beantwortet eine anonyme Anfrage nach der Bucket-Liste und lässt Fremde die Dateien darin auflisten. Öffentliche Buckets liefern jede Datei an jeden mit Link. CWE-284

Dein Build-Werkzeug kopiert jede Variable mit VITE_ oder NEXT_PUBLIC_ in die Seite. Heißt eine davon SERVICE_ROLE oder SECRET, ist auch ihr Wert öffentlich. CWE-798

Eine lesbare Tabelle enthält Felder wie E-Mail, Telefon oder Passwort-Hashes. Genau solche Lecks landen bei der Aufsichtsbehörde. CWE-359

Eine Freigabe-Einstellung (CORS) spiegelt jede Herkunft und erlaubt Zugangsdaten, also kann jede fremde Website dein Backend nach den Daten einer angemeldeten Besucherin fragen. Ein schlichtes "*" für öffentliche Daten ist in Ordnung und wird nicht gemeldet. CWE-942

Der Code schaltet dangerouslyAllowBrowser ein, was nur mit dem Modell-Schlüssel in der Seite geht. Wer die Seite liest, kann auf deine Rechnung Geld ausgeben. Wir probieren den Schlüssel nie. CWE-798

Source Maps lassen jeden deinen Code, deine Kommentare und interne Adressen lesen. CWE-540

Der GraphQL-Endpunkt von Supabase beantwortet eine anonyme Abfrage und listet jede Tabelle und Spalte. Wir nutzen die Antwort, um genau diese Tabellen zu prüfen, rein lesend. CWE-200

Eine openapi.json oder swagger.json listet jede Route und jeden Parameter deines Backends zum Mitlesen. CWE-200

GraphQL-Introspection ist an, jeder kann deine API auffordern, alles aufzulisten, was sie kann. CWE-200

Eine Einstellung, die eingeschleuste Skripte stoppt. Ohne sie läuft fremder Code wie deine eigene Seite. CWE-693

Du schickst eine CSP, aber sie setzt überhaupt keine Skriptregel. Gegen ein eingeschleustes Skript schützt sie dich damit genau so viel wie keine CSP, deshalb zählt sie auch gleich. CWE-693

Browsern wird nicht gesagt, dass sie immer HTTPS nutzen sollen, der erste Besuch lässt sich abfangen. CWE-319

Eine fremde Seite kann deine Anmeldeseite in sich einbetten und deine Nutzer zu Klicks verleiten. CWE-1021

Ein Cookie, das nach Login oder Sitzung aussieht, hat nicht die Flaggen, die es von unverschlüsselten Verbindungen und von Skripten fernhalten. Analyse-Cookies melden wir getrennt als niedrig. CWE-1004

Die Seite ruft OpenAI, Anthropic oder Google direkt aus dem Browser. Das braucht einen Schlüssel in der Seite, der öffentlich ist. Läuft es über einen eigenen Proxy, ist es ein Fehlalarm. Wir rufen den Endpunkt nie auf. CWE-201

Die Registrierung ist offen und die Bestätigung per E-Mail ist aus. Ein Skript kann tausende Konten anlegen, auch mit fremden Adressen. CWE-287

Kamera, Mikrofon, Standort und Bezahlen bleiben für deine Seiten und alles darin Eingebettete eingeschaltet. CWE-16

Deine Anwendung und der davor liegende Proxy oder das CDN setzen denselben Schutz-Header und sind sich uneinig. Browser führen die beiden nicht zusammen, jeder greift sich einen heraus. Es schützt also nicht das, was du eingestellt hast. RFC 9110

Deine Domain hat keine DMARC-Regel, also können Mailserver gefälschte Absender in deinem Namen nicht abweisen. Genau das ermöglicht Phishing in deinem Namen. Nur DNS gelesen. RFC 7489

Deine Domain nennt keine erlaubten Mailserver (SPF). Ohne SPF und DMARC ist das Fälschen deiner Absenderdomain trivial. Nur DNS gelesen. RFC 7208

Bei geschäftsmäßigen Websites erwartet das deutsche Recht eine Anbieterkennzeichnung (§5 DDG). Wir sagen, was wir gefunden haben, und verlinken die Regel. Allgemeine Information, keine Rechtsberatung. §5 DDG

Das EU-Recht erwartet eine (Art. 13 DSGVO). Wir suchen unter den üblichen Adressen und in den Links der Seite. Allgemeine Information, keine Rechtsberatung. Art. 13 DSGVO

Wir vergleichen die Dienste, die deine Seite tatsächlich lädt (Analyse, Schriften, Karten), mit dem, was deine Datenschutzerklärung nennt. Art. 13 DSGVO

In einem echten Browser beobachten wir beim ersten Besuch, welche Analyse- oder Werbedienste Daten senden und welche Cookies geschrieben werden, bevor jemand klickt, und noch einmal nach einem Klick auf „Ablehnen“. Ein Tag, das nur lädt und per Consent Mode auf „abgelehnt“ steht, wird von einem Pixel unterschieden, das feuert. Ohne Browser-Durchlauf: Tracker im Code ohne Einwilligungslösung. Allgemeine Information (§25 TDDDG). §25 TDDDG

Die Impressumsseite gibt es, aber der Server liefert sie fast leer aus, die Angaben erscheinen erst, wenn JavaScript gelaufen ist. Ohne JavaScript, im Archiv oder für eine automatische Prüfung wirkt die Seite leer. Allgemeine Information, keine Rechtsberatung. §5 DDG

Die Datenschutzseite gibt es, aber ihr Text erscheint erst, wenn JavaScript gelaufen ist. Wir können sie dann nicht lesen und ein Besucher ohne JavaScript auch nicht. Wir sagen das, statt zu raten, was drinsteht. Allgemeine Information, keine Rechtsberatung. Art. 12 DSGVO

Die Adresse jeder Besucherin geht bei jedem Aufruf an Google; seit einem Münchner Urteil von 2022 ein häufiges Abmahnthema. Im Tiefenscan in einem echten Browser bestätigt. Allgemeine Information. LG München I

YouTube, Google Maps oder Social-Einbettungen laden fremden Code und setzen Cookies schon beim Aufruf. Wir prüfen darauf, wenn keine Einwilligungslösung da ist. §25 TDDDG

Wer online verkauft, für den erwartet das BFSG eine Erklärung zur Barrierefreiheit. Wir prüfen, ob eine verlinkt ist. Allgemeine Information. §14 BFSG

Wir messen jeden Text gegen die Farbe, die tatsächlich dahinter liegt. Die WCAG verlangt 4,5:1 bei normalem Text und 3:1 bei großem. Das braucht einen echten Browser, läuft also im Tiefenscan. Allgemeine Information. WCAG 1.4.3 / BFSG

Eine Schaltfläche, die nur aus einem Symbol besteht, wird ohne Beschriftung als "Schaltfläche" vorgelesen und sonst nichts. Wir prüfen jedes Bedienelement auf einen Namen, den ein Screenreader vorlesen kann. Allgemeine Information. WCAG 4.1.2 / BFSG

Ein Platzhaltertext ist keine Beschriftung, er verschwindet beim Tippen. Wir prüfen, ob jedes Feld eine Beschriftung hat, die Hilfsmittel auslesen können. Allgemeine Information. WCAG 3.3.2 / BFSG

Wir gehen mit der Tabulatortaste durch die ersten Bedienelemente und prüfen, ob sich sichtbar etwas ändert, und ob es einen Sprunglink oder eine Landmarkenstruktur gibt, um das Menü zu überspringen. Allgemeine Information. WCAG 2.4.7 / 2.4.1 / BFSG

Wenn US-Werbetechnik eingebunden ist, erwartet kalifornisches Recht einen "Do Not Sell / Your Privacy Choices"-Link. Wir prüfen, ob es einen gibt. CCPA

Wenn wir eine Kasse sehen, suchen wir, was ein deutscher Verbraucher-Shop braucht: AGB, Widerrufsbelehrung, Preise "inkl. MwSt." und einen Button "zahlungspflichtig bestellen". Wir melden nur, was nicht erkannt wurde. Allgemeine Information. §312j BGB / PAngV

Alles Weitere, was axe-core gegen WCAG 2.1 AA findet, zusammengefasst in einer Zeile mit den Regelnamen, damit der Bericht lesbar bleibt. Allgemeine Information. WCAG 2.1 AA / BFSG

Wenn die Seite einen Dauervertrag verkauft, erwartet §312k BGB einen klar beschrifteten Kündigungsbutton. Wir prüfen, ob es einen gibt. Allgemeine Information. §312k BGB

Wenn ein Chat oder KI-Assistent eingebettet ist, erwartet der EU AI Act (Art. 50, seit 02.08.2026) einen Hinweis, dass man mit KI spricht, falls das nicht offensichtlich ist. Wir prüfen darauf. Allgemeine Information. Art. 50 EU AI Act

Wir lösen die Adresse auf und fragen das Internet-Register, um Hoster, Land und EU-Zugehörigkeit zu nennen. Für EU-Besucher ist Hosting außerhalb der EU ein Drittlandtransfer, den die Datenschutzerklärung nennen sollte. Eine Tatsache, kein Urteil, kostet keine Punkte. Art. 44 DSGVO

Ein noindex in der Seite oder im Header, oder eine robots.txt, die alles sperrt, ist noch aktiv. Vorschau-Builds haben das mit Absicht; eine veröffentlichte Seite damit ist unsichtbar. SEO

Im Tab steht "Vite + React" oder "Lovable App". Das ist die Überschrift deines Suchergebnisses. SEO

Der Code ruft noch eine Adresse auf, die es nur auf dem Rechner der Entwicklerin gibt, also scheitert eine Funktion still bei jeder Besucherin. Reliability

Suchergebnisse und Browser-Tabs zeigen die nackte Adresse statt deines Namens. SEO

Deine Seite entsteht erst, wenn Code im Browser läuft, Suchmaschinen und Link-Vorschauen sehen also nichts. SEO

Screenreader und Google können nicht erkennen, was deine Bilder zeigen. Eine Grundregel der Barrierefreiheit (WCAG). WCAG 1.1.1

Mehr als ein paar Megabyte Skript beim ersten Laden brauchen auf dem Handy Sekunden. Wir wiegen, was die Seite wirklich lädt. Web performance

Unsere eigene Anfrage nach robots.txt, sitemap.xml oder dem Favicon blieb unbeantwortet. Dann sagen wir das, statt zu behaupten, die Datei fehle. Kostet keine Punkte. Scan coverage

Deine Seite sagt nicht, in welcher Sprache sie ist, das verwirrt Screenreader und Übersetzer. WCAG 3.1.1

Die Seite deklariert eine Sprache und ist in einer anderen geschrieben, ein Screenreader liest sie also mit der falschen Aussprache vor. Builder, die auf Englisch trainiert sind, lassen lang="en" stehen, auch wenn du eine andere Sprache verlangst. WCAG 3.1.1

Zwei kleine Dateien, die Suchmaschinen sagen, wo sie schauen sollen. Wir prüfen außerdem den Canonical-Link, das Favicon und eine <h1>. SEO

Wir suchen unter /.well-known/security.txt eine Datei nach RFC 9116 mit den Feldern Contact und Expires, oder eine sichtbare Seite mit einem Kontakt für Sicherheitsmeldungen. CRA (EU) 2024/2847

Wir suchen deutsche und englische Formulierungen wie „Schwachstelle melden“, „Responsible Disclosure“, „Coordinated Disclosure“ oder „CVD“, außerdem das Feld Policy in einer security.txt. CRA (EU) 2024/2847

Wir suchen Hinweise auf eine Seite oder einen Feed für Sicherheitshinweise: „Sicherheitshinweise“, „Security Advisories“, „PSIRT“, „CSAF“. CRA (EU) 2024/2847

Wir suchen auf den gelesenen Seiten Formulierungen wie „Supportdauer“, „Supportzeitraum“, „Sicherheitsupdates bis“ oder „End of Support“. CRA (EU) 2024/2847

Wir suchen die Begriffe „SBOM“, „Software Bill of Materials“, „Software-Stückliste“, „CycloneDX“ und „SPDX“. CRA (EU) 2024/2847

Wir suchen „EU-Konformitätserklärung“, „Declaration of Conformity“ und Wendungen zur CE-Kennzeichnung. CRA (EU) 2024/2847

Wir suchen „PGP“, „GPG“ und „OpenPGP“ sowie in einer security.txt die Felder Encryption und Policy. CRA (EU) 2024/2847

Wir nutzen dieselbe Impressumsprüfung wie im Deckproof-Test und melden nur, welche Art von Kontaktweg wir sehen (E-Mail, Telefon, Formular). Namen, Adressen und Nummern werden weder angezeigt noch gespeichert. CRA (EU) 2024/2847