Subdomains und Angriffsfläche prüfen: was Ihre Website verrät

Die Prüfung der Angriffsfläche zeigt, was jeder aus öffentlichen Quellen über Ihre Website und Domain erfährt: wie viele und welche Subdomains Zertifikats-Logs verraten, DNS-Einträge auf gekündigte Dienste, geheime Schlüssel im Code der Seiten und Tippfehler-Domains mit Ihrem Namen. WebMeter prüft das kostenlos und passiv, ohne etwas knacken zu wollen.

Aktualisiert 28.10.2026

Was die Angriffsfläche einer Website ausmacht

Certificate-Transparency-Logs (CT)

Jedes öffentlich vertrauenswürdige HTTPS-Zertifikat wird in öffentlichen Logs eingetragen. Chrome verlangt das für Zertifikate, die nach dem 30. April 2018 ausgestellt wurden. Im Log steht auch der Name der Subdomain, etwa test., db. oder vpn., und jeder kann ihn lesen.

Verwaiste DNS-Einträge und Subdomain-Übernahme

Ein verwaister DNS-Eintrag ist ein Alias (CNAME) oder die Delegation einer Subdomain auf einen Dienst oder eine Domain, die es nicht mehr gibt. Wer den gekündigten Dienst neu anlegt, übernimmt Ihre Subdomain (Subdomain-Übernahme, englisch Subdomain Takeover) und betreibt dort eigene Inhalte unter Ihrer Adresse, samt gültigem HTTPS. Vorbeugen ist einfach: den DNS-Eintrag am selben Tag wie den Dienst entfernen. Ablauf der Domain, DNSSEC und Nameserver deckt die Prüfung von Domain und DNS ab.

Code der Website

HTML und JavaScript lädt jeder Besucher herunter. Was darin landet, etwa ein Schlüssel zu einem kostenpflichtigen Dienst, ist öffentlich. Fremde Skripte und wohin die Website Daten sendet, zeigt der Ratgeber zu Drittanbietern auf der Website.

Warum die Angriffsfläche für kleine Firmen zählt

Automatisierte Bots lesen diese Quellen laufend und suchen leichte Ziele, etwa eine vergessene Testversion der Website. Das ist kein gezielter Angriff auf Ihr Unternehmen, sondern massenhaftes Durchsuchen des Internets.

Ob die NIS2-Regeln zur Cybersicherheit Ihr Unternehmen betreffen und was sie für die Website bedeuten, erklärt ein eigener Ratgeber.

Häufige Probleme mit der Angriffsfläche

Häufige Befunde, Risiken und Abhilfe
Befund	Risiko	Abhilfe
Vergessene Test- oder Altversion der Website auf einer Subdomain	Bots finden sie in Zertifikats-Logs; Updates bekommt sie oft nicht.	Nicht genutzte Version abschalten oder den Zugang beschränken.
Datenbankverwaltung, Remotedesktop oder internes System aus dem Internet erreichbar	Lockt automatisierte Login-Versuche an.	Hinter VPN oder Firewall verlegen.
Gekündigter Onlineshop oder Cloud-Dienst, dessen CNAME-Eintrag im DNS blieb	Subdomain-Übernahme: fremde Inhalte unter Ihrer Adresse.	Eintrag löschen; beim Kündigen eines Dienstes auch das DNS bereinigen.
Schlüssel für Zahlungs-, E-Mail- oder KI-Dienst im JavaScript der Website	Jeder kann ihn auf Ihre Kosten nutzen, etwa für Zahlungen oder E-Mails.	Schlüssel sperren, neu ausstellen und nur auf dem Server ablegen.
Google-API-Schlüssel für Karten ohne Domain-Beschränkung	Eine fremde Website kann ihn auf Ihre Kosten nutzen.	Schlüssel auf Ihre Domain und die nötigen APIs beschränken.
Tippfehler-Domain mit Ihrem Namen und Mailserver	Gefälschte Rechnungen und E-Mails, die nach Ihnen aussehen.	Registrierung der wichtigsten Varianten erwägen; betrügerische Domain dem Registrar melden.

Die Abhilfe übernimmt in der Regel, wer Ihre Website, Ihr Hosting oder Ihr DNS betreut.

Subdomains finden: was wir prüfen

Die Prüfung ist passiv: WebMeter liest öffentliche Quellen und das, was die Website selbst jedem Besucher sendet. Es versucht nichts zu knacken.

Subdomains aus CT-Logs (crt.sh, ersatzweise Cert Spotter), nur aus gültigen Zertifikaten. Nach dem Namen ordnet es sie Typen zu, etwa Datenbank, Fernverwaltung, interne Administration, ERP, E-Mail, Entwicklung und Test. Für höchstens 25 Namen prüft es im DNS, ob sie noch existieren. Die Zuordnung beruht nur auf dem Namen und bestätigt nicht, dass der Dienst aus dem Internet erreichbar ist. Der öffentliche Bericht zeigt nur Anzahlen je Typ, keine vollständigen Namen.
Verwaiste Einträge: ein Alias (CNAME) auf ein Ziel, das im DNS nicht existiert, und eine Subdomain, die an einen Nameserver auf einer nicht existierenden Domain delegiert ist. Gemeldet wird nur bei eindeutiger DNS-Antwort.
Geheime Schlüssel im HTML der Startseite und in höchstens 8 JavaScript-Dateien Ihrer Domain. Gesucht werden nur Schlüssel mit festem Anbieterformat (zum Beispiel Stripe, AWS, GitHub, Slack, OpenAI oder ein privater Schlüssel). Einen Schlüssel verwendet oder speichert es nie; der Bericht zeigt nur seinen maskierten Anfang.
Ähnliche Domains: bis zu 40 Varianten (andere Endung, Tippfehler, ähnlich aussehendes Zeichen), nur über DNS-Abfragen. Domains mit denselben Nameservern oder derselben Adresse wie Ihre zählt es nicht mit.

WebMeter ist weder ein Penetrationstest noch ein Schwachstellenscanner: Es probiert keine Passwörter oder bekannten Lücken aus, füllt keine Formulare aus und scannt keine Ports. Prüfungen, die auf webmeter.eu starten, rufen keine Admin-Adressen auf und suchen auf dem Server nicht nach Dateien wie .git oder .env. Mit Subdomains und ähnlichen Domains verbindet es sich nicht und sieht daher nicht, was dort läuft. Veraltete Versionen des Redaktionssystems und von PHP bewertet die Prüfung von CMS, WordPress und PHP.

Wie das Ergebnis aussieht, zeigt der Beispielbericht im Bereich Angriffsfläche.

Angriffsfläche kostenlos prüfen

Geben Sie eine Domain ein und sehen Sie, was öffentliche Quellen über Ihre Website verraten, zusammen mit den übrigen Bereichen.

Website messen →

Unsicher, was das Ergebnis bedeutet? Wir bieten ein unverbindliches Gespräch an. Schreiben Sie einfach an kontakt@webmeter.eu.

Website erstellen lassen, die nicht mehr verrät als nötig

Eine alte Website hinterlässt oft Test-Subdomains, vergessene DNS-Einträge und Schlüssel im Code der Seiten. Wir bauen eine neue Website von Grund auf ohne sie, mit eingerichteter Absicherung von E-Mail und Domain. Vor der Übergabe prüfen wir sie mit derselben Prüfung wie hier.

So läuft die Website-Erstellung ab → Fallstudie: von 73 auf 97 Punkte →

Häufige Fragen zur Angriffsfläche

Ist das ein Schwachstellenscan oder ein Penetrationstest?

Nein. WebMeter liest nur passiv, was über die Website öffentlich zugänglich ist, und versucht nichts zu knacken. Einen Penetrationstest führt eine Fachperson mit Zustimmung des Inhabers durch und probiert aktiv aus, was sich ausnutzen lässt. Das Ergebnis von WebMeter bedeutet deshalb nicht, dass die Website keine Schwachstellen hat.

Wie finde ich alle Subdomains meiner Domain?

Die vollständige Liste steht in den DNS-Zoneneinstellungen bei dem, der Ihre Domain verwaltet. Subdomains mit öffentlichem HTTPS-Zertifikat stehen zudem in den öffentlichen Certificate-Transparency-Logs, die jeder lesen kann. Daher kennt sie auch WebMeter und prüft im DNS, welche noch existieren. Der öffentliche Bericht zeigt nur Anzahlen je Typ.

Speichert WebMeter gefundene geheime Schlüssel?

Nein. Der vollständige Wert liegt während der Prüfung nur kurz im Arbeitsspeicher. Der Bericht nennt den Schlüsseltyp und den maskierten Anfang, und der Schlüssel wird nie ausprobiert. Betrachten Sie einen gefundenen Schlüssel als offengelegt, denn jeder konnte ihn aus dem Code der Seite lesen: Er muss beim Anbieter gesperrt und durch einen neuen ersetzt werden.

Kann jemand betrügerische E-Mails von einer ähnlichen Domain wie meiner senden?

Ja. Eine Domain mit Tippfehler oder anderer Endung kann jeder registrieren und darauf einen Mailserver einrichten. WebMeter prüft bis zu 40 Varianten und nennt die, die wahrscheinlich nicht Ihnen gehören, samt der Angabe, ob sie einen Mailserver haben. Oft gehören sie aber ganz legitim einer anderen Firma. Die Prüfung von SPF, DKIM und DMARC zeigt, ob Einträge Ihre eigene Domain vor Fälschung schützen.

Weitere Prüfbereiche

Wie sich die Prüfung gegenüber Ihrer Website verhält, beschreibt die Seite über den Robot WebMeterBot; was gespeichert wird und wie lange, steht in der Datenschutzrichtlinie.