Der Kontext macht aus einem technischen Wert eine brauchbare Entscheidung.
WO FÄNGST DU AN?
Artikel und Anleitungen, nach deiner Frage geordnet.
Jeder Artikel beantwortet eine Frage, nennt seine Quellen und sagt ausdrücklich, was er nicht sagt. Die Anleitungen führen Schritt für Schritt durch eine Einstellung oder Änderung — mit dem Weg zurück, falls etwas nicht passt.
Wie führe ich eine CSP ein, ohne dass meine Website kaputtgeht?
00 / NACHSCHLAGEN
Jeder Begriff, laienverständlich.
Das Begriffsverzeichnis erklärt die Fachwörter, die in den Befunden dieser Plattform vorkommen — von der IP-Adresse über Canvas-Fingerprinting bis zu § 25 TDDDG. Jeder Eintrag nennt seine Quellen und sagt ausdrücklich, was aus dem Begriff nicht folgt.
Der Prüfkatalog hält jeden Punkt fest, den diese Plattform misst, und jeden, den sie noch nicht misst — mit Begründung. Als Maßstab dient eine bekannte, seit Jahren gepflegte Sammlung solcher Werkzeuge.
HTTP-Antwort-Header geben dem Browser Regeln für den Umgang mit einer Antwort: nur verschlüsselt verbinden, keine eingeschleusten Skripte ausführen, sich nicht in fremde Seiten einbetten lassen. Die Werkstatt wertet diese Angaben als Text aus. Sie besucht keine fremde Website und sieht weder Anwendungscode noch andere Antworten.
Eine gesetzte Richtlinie ist kein Beweis für eine sichere Anwendung.
Ihre Wirkung hängt von Inhalt, Antwortkontext und Browserunterstützung ab. Ein fehlender Header belegt wiederum keinen erfolgreichen Angriff.
Jeder Befund trennt den sichtbaren Nachweis von seiner Bedeutung. Die aktuelle Werkstatt zeigt pro Prüfpunkt Status, Beleg und Grenzen. Eine spätere Priorisierung nach tatsächlichem Risiko benötigt zusätzlich den Anwendungskontext. Eine bestätigte Angabe im Text beweist keinen bestätigten Live-Zustand.
Kriterium erfüllt
Die erwartete Angabe wurde in diesem Text erkannt.
Hinweis
Eine Einstellung sollte im Kontext geprüft werden.
Unklar
Die Daten reichen für eine belastbare Aussage nicht aus.
Information
Eine Eigenschaft hilft bei der Einordnung.
Nach einer Änderung prüfst du dieselbe Antwort erneut. Unterschiede können auch durch andere Routen, Proxys oder Antworttypen entstehen. Eine bessere Konfiguration ersetzt keine Prüfung der Anwendungslogik.
Die aktuelle Werkstatt verarbeitet eingefügten Text im Arbeitsspeicher dieses Browser-Tabs. Sie sendet keine Eingaben oder Befunde an einen Analyse-, Telemetrie- oder KI-Dienst. Sie liest keine lokalen Dateien und fragt keine Geräteinformationen ab. Nur wenn du „HexWarte selbst prüfen“ wählst, ruft sie einmal die Startseite von HexWarte ab, ohne Cookies und ohne deine Eingaben; eine fremde Website kann sie nicht abrufen. Ausschließlich deine gewählte Hell-/Dunkel-Darstellung wird im Sitzungsspeicher gespeichert; Eingaben und Befunde nicht.
Zurücksetzen entfernt die Daten aus dem Anwendungszustand. Ein bewusst erzeugter JSON-Export ist eine lokale Kopie, die du selbst verwaltest. Schließen und Zurücksetzen sind keine garantierte sichere Überschreibung von Browser- oder Betriebssystemspeicher.
Der Browser-Einblick arbeitet in zwei Kammern. Kammer 1 zeigt beim Öffnen ohne Klick, was bei HexWarte für die Auslieferung ohnehin ankommt: deine Adresse, eine grobe Zuordnung, den Netzbetreiber, die Zeilen, die dein Browser von sich aus mitschickt, und die Eigenschaften der Verbindung bis hin zu ihrem ersten Paket. Dafür fragt die Seite nur eigene Adressen von HexWarte ab. Ob deine Adresse zu Tor, iCloud Private Relay oder VPN by Google gehört, prüft dein Browser selbst gegen die Listen, die diese Dienste veröffentlichen; deine Adresse geht dafür nirgendwohin.
Kammer 2 liest erst nach deinem ausdrücklichen Start aus deinem Gerät: Browsermerkmale, die Tiefenmessung und, als eigener Schritt, die Netzmessung über den eigenen Messpunkt. Die Zustimmung gilt für genau einen Durchlauf. Alle Ergebnisse bleiben in diesem Tab. Gespeichert, mit früheren Besuchen verglichen oder an Dritte gegeben wird nichts, und eine Geräte-Standortberechtigung wird nie angefordert. Eine angezeigte Adresse oder Region beweist weder deine Identität noch einen genauen Ort noch einen wirksamen VPN-Schutz.
Schon beim Öffnen dieser Website fallen Verbindungsdaten für die Auslieferung an. Das ist unabhängig davon, ob du einen Check startest. Die Datenschutzhinweise erklären Hosting, technische Betriebsprotokolle und deine Rechte.
04 / KLARE VERANTWORTUNG
Die Erlaubnis muss zur Prüfung passen.
Für aktive Prüfungen müssen Ziel, Methoden, Intensität, Zeitfenster und Datennutzung konkret feststehen. Technische Domainkontrolle, tatsächliche Befugnis und Providerbedingungen sind getrennte Voraussetzungen.
Ein späterer Prüfauftrag wird serverseitig begrenzt und widerrufbar. Fremde Berichtstexte und KI-Erklärungen können weder Rechte erweitern noch eigenständig weitere Prüfungen auslösen.
HexWarte entsteht als Prüfplattform. Wir bauen Bereiche einzeln aus: mit verständlichem Umfang, überprüfbaren Regeln und nachvollziehbaren Berichten. Den Anfang machten die Header-Werkstatt und der Browser-Einblick.
Browser & Datenschutz
Der Browser-Einblick zeigt ohne Klick, was bei jeder Website ohnehin ankommt: Adresse, Netzbetreiber, mitgesendete Zeilen, Verschlüsselung und die Fingerabdrücke des Verbindungsaufbaus. Er erkennt anhand der Listen, die die Dienste selbst veröffentlichen, ob du über Tor, iCloud Private Relay oder VPN by Google kommst, und nennt Hinweise auf andere VPNs und Proxys ausdrücklich als Hinweise.
Nach deinem Start liest er 16 Browsermerkmale, misst in der Tiefenmessung neun weitere und prüft in der Netzmessung, ob WebRTC einen anderen Weg nimmt als der Seitenabruf. Er erkennt Schutzprofile wie die von Tor Browser, Mullvad Browser, LibreWolf, Brave oder Safari und bewertet ihre Einheitswerte als das, was sie sind. Am Ende steht ein Bericht, der auch nennt, was nicht geprüft wurde. Die Ortszuordnung kommt aus einer eigenen Kopie von DB-IP City Lite (CC BY 4.0).
Eine Website kann durch einen Zustimmungsklick weder den PC vollständig inventarisieren noch den Virenschutz zuverlässig überprüfen. Browserangaben können verändert, gerundet oder blockiert sein. Wir erzeugen keine Kennung zur Wiedererkennung und keine Sicherheitsquote.
Dateien & Konfiguration
Spätere Dateichecks lesen ausschließlich bewusst ausgewählte Daten. Lokale Verarbeitung und Upload werden getrennt angeboten. Eine Prüfsumme allein sagt nichts über Schadsoftwarefreiheit.
TLS & Erreichbarkeit
Geplante externe Prüfungen benötigen passende Zielbefugnis, zulässige Infrastruktur und feste Profile. Die aktuelle Werkstatt stellt keine Verbindung zu Prüfzielen her.
Security Labs
Im lokalen Lernlabor Wer sieht was? vergleichst du Verbindungswege, sichtbare Daten und Schutzgrenzen anhand fiktiver Beispiele. Es leitet keinen Datenverkehr weiter und prüft keine reale Verbindung.
Lernziele entstehen in eigenen wegwerfbaren Umgebungen. Absichtlich verwundbare Anwendungen werden von produktiven Diensten und Daten getrennt.
Systeme & Geräte
Weitergehende OS-Diagnosen benötigen einen separat installierten, geprüften Collector oder bewusst ausgewählte Exporte. Module, Rechte und Datenübertragung bleiben einzeln sichtbar.
06 / TRANSPARENTER ENTWICKLUNGSSTAND
Was heute verfügbar ist.
HexWarte enthält die Header-Werkstatt, den Browser-Einblick mit seinen zwei Kammern, Artikel und Anleitungen, das Begriffsverzeichnis, den offenen Prüfkatalog, das Lernlabor „Wer sieht was?“, einen synthetischen Beispielbericht und die Vorschau eines Prüfauftrags. Der Auftrag löst keine Zielprüfung aus. Konten, externe Scanner, Datei-Uploads, Geräteagent und Fernbrowser sind noch nicht verfügbar.
Betreiber von hexwarte.de ist die Rehfeldt & Massing GbR. HexWarte wird schrittweise weiterentwickelt. Die Ergebnisse beziehen sich auf den jeweils beschriebenen Umfang und sind keine Sicherheitszertifizierung. Unser Ziel ist eine umfassende, eigenständige Plattform mit nachvollziehbarer Prüfqualität.
Fachliche Grundlagen werden mit Primärquellen überprüft. Stand dieser Seite: 21. September 2026. Nutzer- und vollständige Barrierefreiheitstests stehen noch aus.
07 / NUTZUNG UND HAFTUNG
Kostenlos, ohne Vertrag – und mit klaren Grenzen.
HexWarte ist ein kostenloses Angebot der Rehfeldt & Massing GbR. Es gibt keine Anmeldung, keinen Vertrag und keine Gegenleistung; ein Anspruch auf Verfügbarkeit, Fortführung oder bestimmte Funktionen besteht nicht.
Die Werkzeuge, Befunde, Artikel und Anleitungen dienen der Information und der eigenen Prüfung. Sie sind keine Sicherheits- oder Rechtsberatung im Einzelfall, keine Zertifizierung und keine Zusicherung, dass ein System sicher, eine Einstellung ausreichend oder eine Verbindung anonym ist. Jeder Befund gilt nur für den bei ihm beschriebenen Umfang und den angezeigten Datenstand; Browserangaben können verändert, gerundet oder blockiert sein, und eine Ortszuordnung kann fehlen oder abweichen.
Änderungen, die du auf Grundlage eines Befunds oder einer Anleitung vornimmst – an einer Website, einem Server oder deinen Browsereinstellungen –, nimmst du in eigener Verantwortung vor. Prüfe sie zuerst in einer Testumgebung und sichere den vorherigen Zustand; jede Anleitung nennt dafür den Weg zurück.
Nutze die Werkzeuge nur für Systeme, für die du die erforderliche Befugnis hast. Die Werkstatt verarbeitet ausschließlich Text, den du selbst einfügst, und stellt keine Verbindung zu fremden Systemen her; was für autorisierte Prüfungen gilt, steht unter „Autorisierte Prüfungen“ auf dieser Seite.
Für dieses unentgeltliche Angebot haften wir, soweit gesetzlich zulässig, nur für Vorsatz und grobe Fahrlässigkeit. Unberührt bleibt die Haftung für Schäden aus der Verletzung von Leben, Körper oder Gesundheit sowie nach zwingenden gesetzlichen Vorschriften. Für Inhalte verlinkter fremder Seiten sind deren Betreiber verantwortlich; zum Zeitpunkt der Verlinkung waren keine Rechtsverstöße erkennbar.