Häufige Fragen.

Passive Prüfungen lösen nur lesende Zugriffe aus, wie sie jeder Browser erzeugt. Aktive und Hacking-Prüfungen gegen fremde Systeme sind ohne Berechtigung illegal. Deshalb schaltet Redcheck sie erst frei, wenn Sie das Eigentum an der Domain nachgewiesen haben.

Auf drei Wegen: ein DNS-TXT-Eintrag unter _redcheck.<domain>, eine Datei unter /.well-known/ oder ein Meta-Tag im Quelltext der Startseite. Redcheck prüft ausstehende Nachweise alle zehn Minuten selbst; anstoßen können Sie die Prüfung jederzeit von Hand. Nach dem Nachweis werden die aufgelösten IP-Adressen fixiert.

„Bestätigt“ steht nur dort, wo die genaue Version erkannt wurde und der Abgleich mit NVD, OSV oder Wordfence eindeutig ist. „Möglich“ heißt: die Schwachstelle passt zur erkannten Produktfamilie, aber die Version ist nicht sicher. Mögliche Treffer stehen standardmäßig nicht im Bericht; Sie können sie pro Lauf zuschalten.

Passive Prüfungen erzeugen die Last eines normalen Besuchs. Aktive Prüfungen sind gedrosselt und auf die fixierten IP-Adressen Ihrer Domain begrenzt. Schreibende Zugriffe gibt es nur in der Hacking-Stufe, nur nach zweiter Freigabe und nur auf Test-Benutzer und Test-Beiträge.

Der Lauf bricht nicht ab. Das ausgefallene Werkzeug wird im Bericht als Lücke im Prüfumfang ausgewiesen, die übrigen Ergebnisse bleiben gültig. Im Audit-Log steht, welches Werkzeug wann und woran gescheitert ist.

Ein passiver Lauf ist meist in zwei bis vier Minuten fertig. Kommen aktive Prüfungen dazu, sind es je nach Größe der Website etwa zehn bis zwanzig Minuten. Sie können die Seite währenddessen schließen; eine E-Mail meldet das Ergebnis.

Weil er gelesen werden soll – von Geschäftsführung, Datenschutzbeauftragten und Agenturkund:innen, nicht nur von Sicherheitsfachleuten. Jeder Befund erklärt Auswirkung und Behebung in normaler Sprache; die technischen Kennungen (CVE, CWE, Katalog-ID) stehen unverändert daneben.

In der EU, betrieben aus Dresden. Artefakte liegen verschlüsselt im Objektspeicher, jeder Datensatz ist genau einer Organisation zugeordnet. Nach Ablauf der planabhängigen Aufbewahrung werden PDF, findings.json und Evidenz gelöscht; das Audit-Log bleibt als Nachweis der Berechtigung erhalten.

Ja, im Agentur-Plan. Name, Logo und Absenderangaben erscheinen auf Titel- und Fußzeile des PDFs. Die Methodik-Seite bleibt unverändert, damit nachvollziehbar bleibt, womit geprüft wurde.