Du hast eine WordPress-Website, sie läuft seit Monaten ohne Probleme, und du gehst davon aus, dass alles in Ordnung ist. Aber weißt du eigentlich, was ein Browser oder ein Angreifer von außen sieht, wenn er deine Seite aufruft? Fehlen Security-Header? Ist deine Domain versehentlich auf einer Malware-Blacklist gelandet? Lädt deine Seite auf dem Handy so langsam, dass die Hälfte der Besucher abspringt, bevor sie überhaupt etwas sieht?
Mit dem kostenlosen Website Check von WP Helping Hand bekommst du innerhalb von Sekunden eine ehrliche Antwort, ganz ohne Login, ohne Plugin-Installation und ohne dass du irgendwelche Zugangsdaten preisgeben musst.
Was der Website Check konkret prüft
Der Check kombiniert fünf öffentlich abrufbare Signale zu einem Gesamtbild:
- HTTPS-Status: Läuft deine Seite über eine verschlüsselte Verbindung?
- Security-Header: Sind die wichtigsten Schutzmechanismen wie Content-Security-Policy oder X-Frame-Options gesetzt?
- WordPress-Erkennung: Lässt sich eine WordPress-Installation und gegebenenfalls ihre Version öffentlich erkennen?
- Performance auf mobilen Geräten: Wie schnell lädt deine Seite laut Google PageSpeed Insights auf dem Smartphone?
- Blacklist-Status: Taucht deine Domain in der URLhaus-Malware-Datenbank von abuse.ch auf?
Aus allen fünf Werten errechnet das Tool einen Gesamt-Score von 0 bis 100 sowie eine von vier Bewertungsstufen: Ausgezeichnet, Gut, Verbesserungswürdig oder Kritisch.
Warum “die Seite läuft doch” keine Sicherheitsaussage ist
Das ist der Denkfehler, dem fast jeder Websitebetreiber irgendwann unterliegt: Solange nichts sichtbar kaputt ist, wird angenommen, dass alles in Ordnung ist. Fehlende Security-Header verursachen aber keinen Absturz. Sie öffnen im Ernstfall nur eine zusätzliche Angriffsfläche, die erst genutzt wird, wenn es zu spät ist. Ein niedriger PageSpeed-Score führt nicht zu einer Fehlermeldung, sondern nur zu stillschweigend abspringenden Besuchern. Und eine Blacklist-Listung merkst du oft erst, wenn Kunden dir schreiben, dass ihr Browser vor deiner Website warnt.
Diese Dinge zeigt dir kein Blick ins WordPress-Dashboard. Man muss von außen draufschauen, so wie es ein Browser oder ein Angreifer auch tut.
Warum wir nicht einfach jede beliebige Website scannen
An dieser Stelle ein wichtiger Unterschied zu vielen anderen “Website-Scannern” im Netz: Der Website Check führt keine aktiven Angriffs- oder Schwachstellen-Scans gegen fremde Server durch. Er ruft ausschließlich Informationen ab, die ohnehin öffentlich sichtbar sind, sobald jemand die URL im Browser öffnet. Es sind dieselben Daten, die auch ein normaler Seitenaufruf liefert. Aktives Scannen fremder Server ohne Zustimmung des Betreibers bewegt sich rechtlich in einer Grauzone, die je nach Land unterschiedlich streng gehandhabt wird. Deshalb ist das Tool von vornherein so gebaut, dass es diese Grenze gar nicht erst überschreitet, unabhängig davon, wessen URL eingegeben wird.
So funktioniert der Check in der Praxis
Der Ablauf ist bewusst simpel gehalten:
- URL eingeben: die Adresse der Website, die geprüft werden soll.
- E-Mail-Adresse angeben: damit dir das Ergebnis zugestellt werden kann und, optional, damit wir uns bei erkanntem Handlungsbedarf melden dürfen.
- Bis zu 30 Sekunden warten: in dieser Zeit ruft das Tool die Website ab, fragt Google PageSpeed Insights ab und prüft die URLhaus-Datenbank.
- Ergebnis lesen: Gesamt-Score, Bewertungsstufe und fünf einzelne Karten mit Detail-Erklärung.
Was dein Gesamt-Score bedeutet
| Score | Bewertung |
|---|---|
| 90–100 | Ausgezeichnet |
| 70–89 | Gut |
| 40–69 | Verbesserungswürdig |
| 0–39 | Kritisch |
Eine Ausnahme gibt es: Taucht deine Domain auf der URLhaus-Blacklist auf, wird die Gesamtbewertung unabhängig vom errechneten Zahlenwert immer als “Kritisch” eingestuft. Eine Malware-Listung wiegt schwerer als jeder andere Einzelwert. Zu Recht.
Die häufigsten Probleme, die der Check aufdeckt
Fehlende Security-Header. Der mit Abstand häufigste Befund. Nutze dafür unseren HTTP Security Headers Checker für eine detaillierte Analyse und fertigen Code, oder direkt den CSP Generator, um eine Content-Security-Policy für deine Website zu bauen.
WordPress wird nicht erkannt, obwohl es WordPress ist. Wie oben in den FAQ erklärt: kein Fehler, sondern häufig ein Zeichen guter Härtung. Wenn du unsicher bist, ob das bei dir Absicht war oder Zufall, lohnt sich ein genauerer Blick.
Niedriger Performance-Score. Häufige Ursachen: zu viele Plugins, unoptimierte Bilder, kein Caching, veraltetes Theme. Genau das behalte ich für Kunden im Rahmen meiner WordPress-Wartung laufend im Blick.
Domain auf der Blacklist. Das dringendste Signal von allen. Wenn das bei dir auftaucht, sprich am besten zeitnah mit jemandem, der sich mit WordPress-Sicherheit auskennt, zum Beispiel über ein kurzes Beratungsgespräch.
Für wen sich der Check besonders lohnt
Websitebetreiber, die einen Wartungsvertrag abwägen: Der Check liefert eine objektive Momentaufnahme des Ist-Zustands, bevor überhaupt über Preise oder Leistungsumfang gesprochen wird.
Agenturen und Freelancer, die ein neues Kundenprojekt übernehmen: Ein schneller erster Eindruck über den Sicherheits- und Performance-Zustand, bevor der eigentliche Code-Review beginnt.
Alle anderen, die einfach mal nachsehen wollen: Manchmal reicht schon die Neugier, um ein Problem zu entdecken, das sonst niemand angeschaut hätte.
Neugierig, wie deine WordPress-Website abschneidet? Jetzt kostenlos prüfen. Und wenn der Check Handlungsbedarf zeigt, kümmere ich mich im Rahmen meiner WordPress-Wartung gerne laufend darum.
