Methodik: wie HexWarte prüft und Ergebnisse belegt

Eine Beobachtung. Mehrere Fragen.

Jedes Ergebnis auf HexWarte beantwortet nacheinander drei Fragen, und wir halten die Antworten getrennt: Ist die Prüfung gelaufen? Was hat sie gesehen? Reicht das für eine Aussage? Wer diese Fragen vermischt, liest aus einer ausgebliebenen Antwort eine Entwarnung — genau das soll nicht passieren.

Was die Zustände und Stufen einzeln bedeuten und woraus ein Befund besteht, erklärt der Artikel Sicherheitsbefunde richtig lesen. Hier stehen die Regeln dahinter.

• Grün gibt es nur nach einer Messung. Im Browser-Einblick steht „Abgewehrt“ nur dort, wo eine Messung gelaufen ist und ergeben hat, dass nichts herauszuholen war. Eine ausbleibende Antwort kann am Netz, an der Gegenstelle oder an uns liegen; sie bleibt deshalb grau.
• Eine unklare Grundlage macht alle Befunde unklar. Fügst du in der Werkstatt mehrere Antworten auf einmal ein, eine Zeile, die kein Antwort-Header ist, oder die Header einer Antwort, die keine erfolgreich ausgelieferte Seite ist — etwa einer Weiterleitung, einer Fehlerseite oder einer leeren Antwort —, steht jeder Befund auf „unklar“, mit Grund. Ein leeres Feld ergibt gar keine Befunde, sondern eine Fehlermeldung.
• Was nicht geprüft wurde, steht im Bericht. Der Gesamtbericht des Browser-Einblicks nennt in einem eigenen Teil die Schritte, die du nicht gestartet hast, die Angaben ohne Antwort und die Verfahren, die HexWarte bewusst nicht anwendet. Was HexWarte überhaupt prüft, hält der Prüfkatalog fest.
• Ein Beispiel bleibt ein Beispiel. Erfundene Werte sind gekennzeichnet: im Browser-Einblick an jeder Karte, in der Werkstatt über dem Ergebnis.

Ein erfüllter Befund in der Werkstatt bestätigt eine Angabe im eingefügten Text, nicht den Zustand deiner Website im Betrieb. Weichen zwei Auswertungen nach einer Änderung voneinander ab, kann das auch an einem anderen Weg, einem vorgeschalteten Proxy oder einem anderen Antworttyp liegen.

Nicht jeder Wert ist gleich sicher.

Ein Wert, den HexWarte selbst an deiner Verbindung beobachtet, ist etwas anderes als ein Ort, der aus einer Datenbank geschätzt wird. Deshalb steht an jedem Ergebnis, woher es kommt. Wir unterscheiden sechs Arten von Belegen.

Dieselbe Strenge gilt für die Sprache. Eine Vermutung bleibt als Vermutung formuliert, „wahrscheinlich“ wird nie zu „sicher“ verkürzt. Zahlen aus Untersuchungen stammen ausschließlich aus veröffentlichten Arbeiten, die wir nennen; dort steht, an welcher Gruppe gemessen wurde. Eine Sicherheitsnote, eine Prozentzahl oder eine eigene Seltenheitsquote berechnet HexWarte nicht; warum eine solche Quote mehr verspricht, als sie halten kann, erklärt Wie selten bin ich?.

Belege in den Texten

Für Artikel, Anleitungen und Begriffe gilt derselbe Maßstab. Fachliche Aussagen stützen sich auf Primärquellen: Spezifikationen, RFCs, Gesetzestexte, Herstellerdokumentation und begutachtete Forschung. Jeder Artikel nennt seine Quellen, sein Prüfdatum und in einem eigenen Teil, was er ausdrücklich nicht sagt; ein Test lässt keinen Artikel durch, dem davon etwas fehlt. Die Recherche dahinter halten wir datiert fest und kennzeichnen darin, was belegt, was abgeleitet und was offen ist. Unsicheres bleibt als offen gekennzeichnet oder fehlt.

Welche Daten wohin gehen.

Wo ein Ergebnis entsteht, gehört zur Methode: in deinem Browser-Tab oder auf unserem Server. Die Übersicht zeigt es je Werkzeug. Rechtsgrundlagen, Hosting, Protokolle und deine Rechte stehen vollständig in den Datenschutzhinweisen und werden hier nicht wiederholt.

• Jede Zustimmung in Kammer 2 gilt für genau einen Durchlauf. Eine Sammelzustimmung für beide Kammern gibt es nicht.
• Kein Ergebnis wird gespeichert, mit früheren Besuchen verglichen oder an Dritte gegeben. HexWarte erzeugt keine Kennung, um dich wiederzuerkennen.
• Eine Freigabe deines genauen Standorts fragt HexWarte nie an. Eine angezeigte Adresse oder Region beweist weder deine Identität noch einen genauen Ort noch einen wirksamen VPN-Schutz.

Jedes Ergebnis hat einen Stand.

Dieselbe Eingabe kann nach einer Regeländerung anders ausfallen, dieselbe Adresse mit neueren Daten woanders landen. Deshalb steht überall dort, wo sich Regeln oder Daten ändern, die Fassung der Regeln oder der Stand der Daten dabei.

• Header-Werkstatt: Über dem Ergebnis steht die Regelversion, heute 0.2.0, an jedem Befund die Kennung seiner Regel. Der JSON-Export enthält zusätzlich die Fassung des Berichtsformats, heute 1.1, den Zeitpunkt der Auswertung und die Herkunft der Eingabe: eingefügt, Beispiel oder die eigene Antwort von HexWarte. Die Auswertung enthält keinen Zufall: Derselbe Text mit derselben Angabe, ob er von HTTPS stammt, ergibt mit derselben Regelversion dieselben Befunde.
• Browser-Einblick: Die Ortszuordnung nennt den Datenstand ihrer Datenbank, der Abgleich den Stand der Listen. Wie alt eine Liste ist, misst die Seite an der Uhr unseres Servers, nicht an der deines Geräts — eine falsch gehende Uhr soll keinen veralteten Stand für frisch erklären.
• Gesamtbericht: Er entsteht nur aus dem, was gerade angezeigt wird. Ändert sich danach eine Anzeige, entfernt die Seite den Bericht, statt einen Stand zu zeigen, den es nicht mehr gibt.
• Wissen: Jeder Artikel nennt sein Prüfdatum, Begriffsverzeichnis und Prüfkatalog nennen ihren Stand.
• Plattform: Die Seitenleiste nennt auf jeder Seite denselben Entwicklungsstand, das Datum, an dem die ausgelieferte Fassung gebaut wurde.

Fehler werden korrigiert, nicht versteckt.

Auch eine Prüfplattform irrt. Findest du einen Fehler — eine falsche Aussage, eine veraltete Quelle, einen Befund, der nicht stimmt —, schreib uns über die Kontaktdaten im Impressum. Jeder Artikel nennt diesen Weg an seinem Ende.

Wir prüfen den Hinweis an der Quelle oder im Code und korrigieren dort, wo der Fehler entsteht: im Text, in der Regel oder in der Bewertung. Die Regeln der Werkstatt tragen eine Versionsnummer, die mit ihnen wechselt — von 0.1.0 auf 0.2.0 etwa mit der Erweiterung am 21. September 2026. Eine öffentliche Liste aller Änderungen führen wir derzeit nicht.

Was wir bisher korrigiert haben

• Am 21. September 2026 haben zwei unabhängige Faktenprüfungen die damals neun Artikel und das Begriffsverzeichnis gegengelesen. Sie fanden 11 Fehler, 56 Ungenauigkeiten und 13 sprachliche Punkte, darunter nicht mehr erreichbare Quellen und veraltete Menüwege. Alle sind eingearbeitet.
• Dabei fiel ein Fehler im Produkt auf: Der Rat, das Browserfenster nicht zu maximieren, stand an jedem Browser. Er hilft aber nur bei einem Schutz, der das Fenster als Bildschirm meldet und nicht rundet. Seitdem erscheint er nur dort, wo er wirkt.
• Eine Tabelle im Gesamtbericht ragte nur in Firefox aus ihrem Rahmen; Chrome hatte alle Prüfungen bestanden. Seitdem laufen die Browserprüfungen in beiden Browsern.

Was altert, wird nachgezogen.

Sicherheitswissen veraltet: Browser ändern ihren Schutz, die Liste der Tor-Ausgänge wird stündlich neu gemessen, der Datenanbieter für Ort und Netzbetreiber veröffentlicht monatlich einen neuen Stand. Jede Quelle hat deshalb eine eigene Regel, wie sie aktuell bleibt — und was passiert, wenn das ausbleibt.

Änderungen an Regeln, Bewertung und Texten laufen vor der Auslieferung durch automatische Tests; Änderungen an der Oberfläche prüfen wir zusätzlich in Chrome und Firefox. Nach einer Auslieferung prüfen wir die Live-Seite von außen, und die vorige Fassung bleibt als Rückweg erhalten.

Quellen

Geprüft am 3. Oktober 2026.