CMS-Erkennung

WordPress, TYPO3, Joomla, Shopify oder ein Baukasten? Der Check erkennt das System hinter einer Website und prüft, ob die eingesetzte Version noch gepflegt wird. Bei WordPress sehen Sie zusätzlich die erkannten Plugins mit ihrer Version, verfügbaren Updates und öffentlich bekannten Sicherheitslücken.

Am besten die Startseite eingeben. Pro Website ist die Prüfung mehrmals pro Stunde möglich.

So lesen Sie das Ergebnis

Wir werten aus, was jede Website ohnehin öffentlich ausliefert: Quelltext, Server-Antworten und bei WordPress die Infodateien der Plugins, die auf der Seite geladen werden. Unbekannte Plugins probieren wir nicht durch. Die Prüfung belastet Ihre Website daher weniger als ein einzelner Seitenbesuch.

In Ordnung
Dieser Punkt ist korrekt umgesetzt.
Prüfen
Kein akuter Fehler, aber Verbesserungspotenzial.
Problem
Wirkt sich wahrscheinlich negativ aus und sollte behoben werden.
Info
Zur Information, ohne Wertung.

01
System und Version
Erkannt werden gängige Content-Management-Systeme, Shopsysteme, Website-Baukästen und Frameworks. Ist die Version sichtbar, gleichen wir sie mit den offiziellen Supportzeiträumen ab. Rot heißt: Diese Version bekommt keine Sicherheitsupdates mehr. Eine nicht sichtbare Version ist aus Sicherheitssicht gut, dann lässt sich der Stand aber nur im Backend prüfen.
02
Gehostete Baukästen
Bei Diensten wie Shopify, Wix, Squarespace oder Webflow spielt der Anbieter die Updates des Systems selbst ein. Hier zählen vor allem die Apps und Erweiterungen, die Sie zusätzlich installiert haben.
03
WordPress-Plugins und Themes
Für jedes erkannte Plugin lesen wir die installierte Version aus seiner öffentlichen Infodatei (readme.txt), für Themes aus der style.css. Dann vergleichen wir mit der aktuellen Version im offiziellen Verzeichnis. Steht in der Spalte „Quelle der Version“ der Hinweis „unsicher“, stammt die Angabe nur aus einem Dateiparameter und wird nicht bewertet.
04
Bekannte Sicherheitslücken
Die erkannten Versionen gleichen wir mit der offenen Datenbank WPVulnerability ab. Sie bündelt Meldungen aus mehreren großen Quellen wie dem CVE-Verzeichnis, Wordfence und Patchstack. Rot bedeutet: Für genau diese Version ist eine Lücke öffentlich bekannt. Die Spalte „Behoben in“ nennt die Version, die das Problem schließt.
05
Was der Check nicht sieht
Plugins, die auf der geprüften Seite nichts laden, etwa für Sicherheit, Backups oder die Verwaltung, sind von außen unsichtbar. Premium-Plugins ohne Eintrag im offiziellen Verzeichnis können wir nicht mit einer aktuellen Version vergleichen. Ein grünes Ergebnis ersetzt daher nicht den Blick ins Backend.

Warum veraltete Systeme so gefährlich sind

Die meisten gehackten Websites werden nicht gezielt angegriffen. Bots durchsuchen das Netz rund um die Uhr nach Versionen mit bekannten Lücken und schlagen automatisch zu, sobald sie fündig werden. Ob es Ihre Website trifft, entscheidet sich also vor allem daran, ob Updates eingespielt sind.

Bei WordPress liegt das Risiko fast immer bei den Plugins. Eine typische Website nutzt zwanzig oder mehr davon, jedes mit eigenem Update-Rhythmus. Wird für ein Plugin eine Lücke veröffentlicht, vergehen oft nur Stunden, bis die ersten automatisierten Angriffe laufen.

Auch Systeme ohne Plugins altern. Jede Version eines CMS wird nur eine bestimmte Zeit mit Sicherheitsupdates versorgt. Danach bleiben neu entdeckte Lücken offen, ein Upgrade ist dann keine Kür mehr, sondern Pflicht.

Die gute Nachricht: Mit regelmäßigen Updates, einer schlanken Plugin-Auswahl und funktionierenden Backups sinkt das Risiko drastisch. Der Check zeigt Ihnen in Sekunden, wo Sie anfangen sollten.

WordPress-Version im Quelltext ausblenden

<?php
// functions.php im Child-Theme oder eigenes kleines Plugin:
// WordPress-Version nicht mehr im Quelltext ausgeben
remove_action('wp_head', 'wp_generator');
add_filter('the_generator', '__return_empty_string');

Das Ausblenden ersetzt keine Updates, erschwert aber automatisierte Suchen nach verwundbaren Versionen. Viele Sicherheits-Plugins bieten dieselbe Einstellung per Klick an.

Häufige Fragen zur CMS-Erkennung

Ist es legal, das CMS einer fremden Website zu prüfen?

Ja. Wir rufen nur Inhalte ab, die jede Website öffentlich an alle Besucher ausliefert, so wie es auch Suchmaschinen tun. Es werden keine Zugänge ausprobiert und keine Lücken getestet. Am meisten nützt der Check aber für die eigene Website oder die Ihrer Kunden.

Das Ergebnis meldet eine Sicherheitslücke. Wie dringend ist das?

Sehr dringend, besonders bei Schweregrad „hoch“ oder „kritisch“. Spielen Sie das Update auf die genannte Version möglichst noch heute ein. Gibt es noch kein Update, deaktivieren Sie das Plugin vorübergehend oder fragen Sie den Hersteller nach einer Lösung.

Warum findet der Check nicht alle meine Plugins?

Erkennbar sind nur Plugins, die auf der geprüften Seite Dateien oder Kennungen ausgeben. Viele Plugins wirken nur im Hintergrund oder nur auf Unterseiten. Testen Sie bei Bedarf auch Seiten mit Formular, Shop oder Slider.

Die angezeigte Version stimmt nicht mit meinem Backend überein.

Das kommt selten vor, etwa wenn ein Plugin-Autor seine Infodatei nicht gepflegt hat oder ein Cache eine alte Fassung ausliefert. Maßgeblich ist immer die Angabe im WordPress-Backend unter „Plugins“.

Woher stammen die Daten zu Sicherheitslücken und Supportzeiträumen?

Sicherheitslücken für WordPress-Plugins und -Themes stammen aus der offenen Datenbank WPVulnerability (wpvulnerability.com), die unter anderem das CVE-Verzeichnis, Wordfence und Patchstack zusammenführt. Supportzeiträume von CMS und Shopsystemen beziehen wir aus den offiziellen Release-Informationen der Hersteller. Beide Quellen gleichen wir mindestens täglich ab.

Wie verhindere ich, dass andere mein CMS erkennen?

Ganz verbergen lässt sich ein System kaum. Sinnvoll ist, Versionsangaben im Quelltext und öffentliche Infodateien wie readme.html auszublenden. Wichtiger als Tarnung sind aber aktuelle Versionen, denn Bots probieren bekannte Lücken oft einfach blind aus.

Werden meine Eingaben gespeichert?

Wir speichern die geprüfte Adresse und das Ergebnis anonym zu Statistikzwecken. Ihre IP-Adresse wird dabei nicht gespeichert. Mehr dazu in unserer Datenschutzerklärung.

Updates, um die Sie sich nicht mehr kümmern müssen

Wir übernehmen die laufende Wartung Ihrer Website: Updates von System, Plugins und Theme, getestet und mit Backup, dazu Überwachung auf neue Sicherheitslücken. Sie erfahren davon nur, wenn es etwas zu entscheiden gibt.

Kontakt aufnehmen