HTTPS und TLS
Weiterleitung auf HTTPS, Ablaufdatum des Zertifikats und veraltete TLS-Versionen.
Mehr erfahrenPassiver Sicherheitscheck
Finde die Lücken deiner Website, bevor es andere tun.
PatchWatch prüft HTTPS, TLS, Security-Header, Cookies, offene Dateien und E-Mail-Records in einem Lauf. Du bekommst einen klaren Bericht mit einem konkreten Schritt pro Befund.
- Kostenlos, ohne Konto
- Nur für Hosts, die du belegst
- Keine Angriffe, nur normale Anfragen
Adresse prüfen
- Belegdatei auf dem Host nötig
- Antwortinhalte werden nicht gespeichert
- Kein Penetrationstest
So funktioniert es
Adresse eingeben
Website oder öffentliche Adresse deiner App. Ohne Konto.
Host belegen
Lege eine kurze Belegdatei unter /.well-known/sitecheck.txt ab. So prüft niemand fremde Hosts.
Bericht lesen
Befunde nach Schwere sortiert, je mit einem konkreten Handlungssatz. Zum Drucken oder als PDF.
Was PatchWatch prüft
Sieben Bereiche, die bei Livegängen am häufigsten liegen bleiben.
Security-Header
CSP, HSTS, X-Frame-Options, Referrer- und Permissions-Policy, auch schwache Werte.
Mehr erfahrenCookies und CORS
Cookies ohne Secure, HttpOnly oder SameSite und CORS, das jede Herkunft mit Credentials zulässt.
Mehr erfahrenÖffentliche Dateien
/.env, /.git, phpinfo und Statusseiten. Gezählt wird nur, wenn die Signatur passt.
Mehr erfahrensecurity.txt
Fehlende oder abgelaufene Kontaktdatei für Sicherheitsmeldungen.
Mehr erfahrenSPF, DMARC, DKIM
E-Mail-Records der Domain, damit niemand leicht in deinem Namen Mails verschickt.
Externe Skripte
Fremde Skripte ohne Subresource Integrity und mögliche gemischte Inhalte auf der Startseite.
Ein Bericht, den auch Kunden verstehen
Jeder Befund hat eine Schwere, die betroffene Adresse und einen Satz, was zu tun ist. Ohne Fachjargon, ohne Scoring-Theater. Mit Konto vergleicht PatchWatch jeden Lauf mit dem letzten und markiert, was neu oder schlimmer ist.
Den Bericht kannst du drucken oder als PDF an die Abnahme hängen. Ideal für die Übergabe an Kunden.
- 1Kritisch
- 2Warnung
- 3Hinweis
- KritischTLS-Zertifikat ist abgelaufen
Zertifikat erneuern und automatische Verlängerung prüfen.
- WarnungNeuSession-Cookie ohne HttpOnly
HttpOnly für das Sitzungs-Cookie setzen.
- HinweisKein DMARC-Eintrag für diesen Hostnamen
Einen DMARC-Record mit mindestens p=quarantine anlegen.
Für wen PatchWatch gemacht ist
Freelancer
Vor der Übergabe an den Kunden einmal prüfen und den Abnahmebericht mitliefern.
Agenturen
Bis zu 30 Kundenseiten wöchentlich im Blick. Mail nur, wenn sich etwas verschlechtert.
Betreiber
Die eigene Seite und Shop-Domains, ohne Sicherheitsabteilung und ohne Agent auf dem Server.
Klar, was passiert und was nicht
Nur eigene Hosts
Ohne Belegdatei unter /.well-known/sitecheck.txt wird nichts geprüft. Niemand kann PatchWatch gegen fremde Seiten richten.
Keine Inhalte gespeichert
Seiteninhalte, Header-Werte und Dateiinhalte werden weder angezeigt noch gespeichert. Keine Tracker, keine Reichweitenmessung. Datenschutz
Ehrlich passiv
Normale Anfragen an feste Pfade, kein Penetrationstest und keine Garantie. Was nicht geprüft werden kann, steht so im Bericht.
Kostenlos starten, bei Bedarf überwachen
Der Check und ein gemerkter Host bleiben kostenlos. Wöchentliche Überwachung mit E-Mail-Alarm ab 19 € im Monat.
Häufige Fragen
Ist PatchWatch ein Penetrationstest?
Nein. PatchWatch stellt normale Anfragen an die Startseite und an eine feste Liste öffentlicher Pfade und liest DNS-Records. Es gibt keine Angriffe, keine Exploits und keine Last auf dem Server. Der Bericht ist keine Garantie, dass der Host sicher ist.
Warum muss ich eine Belegdatei ablegen?
Damit nur geprüft wird, wer den Host kontrolliert. PatchWatch lädt zuerst nur /.well-known/sitecheck.txt. Stimmt der Inhalt nicht, passiert nichts weiter.
Was wird gespeichert?
Ohne Konto nur der Zeitpunkt des letzten Laufs. Mit Konto die gemerkten Hosts und die Befunde: Schwere, Titel, Adresse, Handlungssatz. Seiteninhalte, Header-Werte und Dateiinhalte werden nie gespeichert. Es gibt keine Reichweitenmessung.
Kann ich auch eine App prüfen?
Die öffentliche Webadresse der App, etwa die API oder die Login-Seite. Nicht das Gerät und nicht die Funktion der App.
Brauche ich ein Konto?
Für den einzelnen Check nicht. Ein Konto brauchst du, um einen Host zu merken und Läufe zu vergleichen. Ein Host bleibt dabei kostenlos.
Was bringt ein bezahlter Tarif?
Wöchentliche Wiederholungschecks, eine E-Mail bei neuen oder verschärften Befunden und den Bericht als PDF. Betreiber ab 19 € im Monat für 5 Hosts, Agentur 49 € für 30 Hosts.
Wie wird abgerechnet?
Über Stripe. Wir sehen und speichern keine Kartennummern. Die Rechnung stellt Stripe aus.
Aktuelle Hinweise
- [UPDATE] [hoch] Node.js: Mehrere Schwachstellen
Beobachtet
- [UPDATE] [kritisch] Adobe Magento: Mehrere Schwachstellen
Beobachtet
- [NEU] [mittel] Nextcloud (Server, Tables, Whiteboard, Files Confidential, Collectives, Richdocuments): Mehrere Schwachstellen
Beobachtet