Wie angreifbar ist Ihre Website?
Wir prüfen Ihre Website so, wie es der Scanner eines Angreifers tut, von außen: Ihre Software, ihre bekannten Schwachstellen und wie oft neue hinzukommen. Dann sagen wir Ihnen klar, ob Sie umziehen sollten, was es braucht und wie lange es dauert.
Beispiel: eine Arztpraxis in München mit WordPress, geprüft am 27.10.2026.
Sicherheitscheck
praxis-example.de: wie angreifbar ist die Website?
WordPress · PHP Version verborgen · HTTP Server
0 / 100
3 kritisch · 1 hoch · 5 mittel
Weg A · Raus aus der PHP-Falle
Jetzt umziehen: bekannte, schwerwiegende Sicherheitslücken auf Ihrer aktuellen Website
- JetEngine 3.0.8: 43 bekannte Schwachstellen
- Elementor Website Builder 3.11.5: 37 bekannte Schwachstellen
- Elementor Pro 3.9.1: 15 bekannte Schwachstellen
- JetMenu 2.2.4: 6 bekannte Schwachstellen
- 01
Inhalte umziehen. Seiten, Beiträge, Bilder und Dokumente werden importiert, nichts wird neu abgetippt.
- 02
Design. Wählen Sie eines unserer Designs; wir passen es an Ihre Marke an.
- 03
Formulare und Buchung. Kontaktformulare und Ihr Buchungstool funktionieren auf der neuen Website.
- 04
Weiterleitungsplan. Jede alte Adresse zeigt auf ihre neue Seite, damit Ihre Google-Platzierungen erhalten bleiben.
- 05
Ihre Vorschau. Sie prüfen die fertige Website über einen privaten Link, bevor sich irgendetwas ändert.
- 06
Mail-sichere Umstellung. Nur die Adresseinträge der Website ändern sich. Ihre E-Mail (MX, SPF, DKIM) bleibt unberührt.
- 07
Übergabe. Mit einer KI-Readiness-Scorecard: gefunden, verstanden, buchbar.
- 08
Alter Server aus. Sobald die neue Website läuft, wird die PHP-Installation abgeschaltet: Es bleibt nichts mehr zu patchen.
Zeit bis zum Livegang
3,5–4,5 Wochen
- Bis zu 10 Seiten: 2–3 Wochen.
- 12 Seiten: +1 Woche.
- DocMedico: +0,5 Wochen.
- Kein PHP, keine Plugins, keine Updates für Sie: eine Plattform, auf der ein Fix alle Websites zugleich erreicht.
- Ihre E-Mail wird nie angefasst: Nur die Einträge der Website ändern sich.
- Ihre Adressen bleiben erhalten, mit einer Weiterleitung für jede, die sich ändert.
- Sie sehen Ihre neue Website in einer privaten Vorschau, bevor Sie bezahlen.
Plugins und Themes, die wir sehen können
Bei dieser Rate sind über sie hinweg etwa 44 neue Schwachstellen pro Jahr zu erwarten (statistische Schätzung). Der Balken zeigt die Wahrscheinlichkeit für mindestens eine neue in den nächsten sechs Monaten.
| Name | Ihre → aktuelle | Letztes Update | Bekannte Lücken | Nächste 6 Monate |
|---|---|---|---|---|
Hello Elementor Theme | 2.6.1 → 3.5.1 | 25.08.2026 | Mittel1 | 15 % · 1 in 3 J. |
JetMenu Plugin · Premium oder individuell | 2.2.4 | – | Hoch6 | 63 % · 1 alle 6 Mon. |
JetEngine Plugin · Premium oder individuell | 3.0.8 | – | Kritisch43 | 100 % · 1 alle 0,9 Mon. |
Elementor Website Builder Plugin | 3.11.5 → 4.3.5 | 13.10.2026 | Kritisch37 | 100 % · 1 alle 1,1 Mon. |
Elementor Pro Plugin · Premium oder individuell | 3.9.1 | – | Kritisch15 | 86 % · 1 alle 3 Mon. |
JetThemeCore Plugin · Premium oder individuell | 2.3.0.3 | – | keine bekannt | 49 % · 1 alle 9 Mon. |
JetElements For Elementor Plugin · Premium oder individuell | 2.7.11 | – | Mittel8 | 97 % · 1 alle 1,7 Mon. |
Tk Contact Form Plugin · Premium oder individuell | verborgen | – | Version verborgen | keine in 3 J. |
Elfsight Slider Cc Plugin · Premium oder individuell | 1.1.0 | – | keine bekannt | keine in 3 J. |
JetBlocks For Elementor Plugin · Premium oder individuell | 1.3.20.1 | – | Mittel3 | 89 % · 1 alle 2,8 Mon. |
Was wir gefunden haben
- Kritisch
JetEngine 3.0.8: 43 bekannte Schwachstellen
CVE-2026-49075, CVE-2026-52706, CVE-2026-66613 und 40 weitere. Schwerwiegendste: JetEngine <= 3.8.9.1 - Authenticated (Contributor+) PHP Object Injection (CVSS 9.8).
Diese Lücken sind öffentlich bekannt; automatisierte Scanner suchen gezielt nach genau dieser Version.
→ JetEngine 3.0.8 auf 3.9.0.1 oder neuer aktualisieren.
Quelle: CVE-2026-49075 - Kritisch
Elementor Website Builder 3.11.5: 37 bekannte Schwachstellen
CVE-2023-48777, CVE-2024-24934, CVE-2023-0329 und 34 weitere. Schwerwiegendste: WordPress Elementor Website Builder Plugin 3.3.0-3.18.1 is vulnerable to Arbitrary File Upload (CVSS 9.9).
Diese Lücken sind öffentlich bekannt; automatisierte Scanner suchen gezielt nach genau dieser Version.
→ Elementor Website Builder 3.11.5 auf 4.3.5 oder neuer aktualisieren.
Quelle: CVE-2023-48777 - Kritisch
Elementor Pro 3.9.1: 15 bekannte Schwachstellen
CVE-2026-32475, CVE-2023-3124, CVE-2024-23523 und 12 weitere. Schwerwiegendste: Elementor Pro <= 4.2.1 - Unauthenticated Arbitrary File Upload via Upload Field Array Validation Bypass (CVSS 9).
Diese Lücken sind öffentlich bekannt; automatisierte Scanner suchen gezielt nach genau dieser Version.
→ Elementor Pro 3.9.1 auf 4.2.2 oder neuer aktualisieren.
Quelle: CVE-2026-32475 - Hoch
JetMenu 2.2.4: 6 bekannte Schwachstellen
CVE-2023-48760, CVE-2025-26953, CVE-2025-53987 und 3 weitere. Schwerwiegendste: WordPress JetMenu Plugin <= 2.4.1 is vulnerable to Broken Access Control (CVSS 8.2).
Diese Lücken sind öffentlich bekannt; automatisierte Scanner suchen gezielt nach genau dieser Version.
→ JetMenu 2.2.4 auf 3.0.5.1 oder neuer aktualisieren.
Quelle: CVE-2023-48760 - Mittel
Browser werden nicht angewiesen, auf HTTPS zu bestehen
Kein Strict-Transport-Security-Header.
Ein Besucher in einem feindlichen WLAN kann auf eine unverschlüsselte Kopie umgeleitet werden.
→ Strict-Transport-Security mit einem max-age von mindestens sechs Monaten senden.
- Mittel
Keine Content Security Policy
Die Seite schränkt nicht ein, woher Skripte geladen werden dürfen.
Ein eingeschleustes Skript (z. B. über eine Plugin-Lücke) läuft ungehindert.
→ Eine Content-Security-Policy senden, die Ihre Skriptquellen benennt.
- Mittel
Hello Elementor 2.6.1: 1 bekannte Schwachstelle
CVE-2024-31289. Schwerwiegendste: WordPress Hello Elementor Theme <= 3.0.0 is vulnerable to Cross Site Request Forgery (CSRF) (CVSS 4.3).
Diese Lücken sind öffentlich bekannt; automatisierte Scanner suchen gezielt nach genau dieser Version.
→ Hello Elementor 2.6.1 auf 3.0.1 oder neuer aktualisieren.
Quelle: CVE-2024-31289 - Mittel
JetElements For Elementor 2.7.11: 8 bekannte Schwachstellen
CVE-2026-24958, CVE-2026-66579, CVE-2026-105879 und 5 weitere. Schwerwiegendste: JetElements For Elementor <= 2.7.12.2 - Authenticated (Contributor+) Stored Cross-Site Scripting (CVSS 6.5).
Diese Lücken sind öffentlich bekannt; automatisierte Scanner suchen gezielt nach genau dieser Version.
→ JetElements For Elementor 2.7.11 auf 2.9.2.6 oder neuer aktualisieren.
Quelle: CVE-2026-24958 - Mittel
JetBlocks For Elementor 1.3.20.1: 3 bekannte Schwachstellen
CVE-2026-66576, CVE-2026-62049, CVE-2026-61976. Schwerwiegendste: JetBlocks for Elementor <= 1.5.2 - Authenticated (Contributor+) Stored Cross-Site Scripting (CVSS 6.5).
Diese Lücken sind öffentlich bekannt; automatisierte Scanner suchen gezielt nach genau dieser Version.
→ JetBlocks For Elementor 1.3.20.1 auf 1.5.2.2 oder neuer aktualisieren.
Quelle: CVE-2026-66576
- Niedrig
Die Website kann von anderen eingebettet werden
Weder X-Frame-Options noch CSP frame-ancestors ist gesetzt.
Eine andere Website kann Ihre Seite in einem Frame anzeigen, um Klicks zu erschleichen.
→ frame-ancestors 'self' senden (oder X-Frame-Options: SAMEORIGIN).
- Niedrig
MIME-Sniffing nicht deaktiviert
Kein X-Content-Type-Options: nosniff.
→ X-Content-Type-Options: nosniff senden.
- Niedrig
Die Seite nennt ihre CMS-Version
<meta name="generator" content="Elementor 3.11.5; features: e_dom_optimization, e_optimized_">.
→ Das Generator-Tag entfernen.
- Niedrig
DMARC beobachtet nur
Die Richtlinie ist p=none: Gefälschte Mails werden gemeldet, nicht gestoppt.
→ Auf p=quarantine umstellen, sobald die Berichte unauffällig sind.
- Info
Keine Referrer-Policy
Vollständige Seitenadressen können an andere Websites weitergegeben werden.
→ Referrer-Policy: strict-origin-when-cross-origin senden.
- Info
Jede Zertifizierungsstelle darf für die Domain ausstellen
Kein CAA-Eintrag.
→ Einen CAA-Eintrag veröffentlichen, der Ihre Zertifizierungsstelle nennt.
- Info
Kein Sicherheitskontakt
Keine /.well-known/security.txt.
→ Eine security.txt veröffentlichen, damit Menschen, die eine Lücke finden, Sie erreichen können.
- Wir haben nur geprüft, was der Browser jedes Besuchers empfängt. Dies ist kein Penetrationstest.
- 10 Plugins und Themes laden Dateien auf der Startseite. Meist laufen auf einer Website mehr; der vom Inhaber verifizierte Tiefencheck findet alle.
- Wo keine Version sichtbar ist, melden wir die Software nicht als verwundbar.
- Die Prognose ist die Rate, mit der in den letzten drei Jahren neue Schwachstellen veröffentlicht wurden, eine statistische Schätzung und keine Vorhersage einer bestimmten Lücke.
- Geprüft am 27.10.2026, 10:07 Uhr.