Beobachtung, Bedeutung, Grenzen und nächster Schritt — und warum HexWarte keine Punktzahl vergibt
Ein guter Befund trennt, was beobachtet wurde, von dem, was es bedeutet. Er sagt, unter welchen Voraussetzungen er gilt, was er nicht beweist, was du tun kannst und wie du es danach prüfst. Wie ernst er ist, hängt immer auch von deiner Seite ab: Derselbe fehlende Header wiegt auf einer Seite mit Anmeldung schwerer als auf einer ohne. Und „unbekannt“ heißt, dass die Daten nicht reichen — nicht, dass alles in Ordnung ist.
Jeder Befund auf dieser Plattform hat dieselben Teile. Sie sollen verhindern, dass aus einer Beobachtung mehr gelesen wird, als sie hergibt.
In der Header-Werkstatt stehen die Befunde nach Themen geordnet. Klappst du einen auf, findest du diese Teile unter „Beleg im eingegebenen Text“, „Was bedeutet das?“, „Dein nächster Schritt“, „So prüfst du erneut“ und „Voraussetzungen & Grenzen“. Der erste Hinweis ist schon geöffnet.
Die Werkstatt ordnet jeden Befund einem von vier Zuständen zu. Sie beschreiben, was in dem eingefügten Text steht, nicht wie gefährlich die Website ist.
| Zustand | bedeutet |
|---|---|
| Kriterium erfüllt | Die erwartete Angabe steht in diesem Text. |
| Hinweis | Eine Einstellung sollte im Zusammenhang der Seite geprüft werden. |
| Unklar | Die Daten reichen für eine belastbare Aussage nicht. |
| Information | Eine Eigenschaft, die bei der Einordnung hilft. |
Der Browser-Einblick beantwortet eine andere Frage: Wie sehr macht dich ein Wert wiedererkennbar? Dafür gibt es fünf Stufen, jede mit Wort und Zeichen, damit sie nicht nur an der Farbe hängt.
| Stufe | bedeutet |
|---|---|
| Erkennbar | Zeigt auf dich oder deinen Anschluss. |
| Eingrenzend | Verkleinert die Menge, in der du steckst. |
| Unauffällig | Entspricht dem, was die Mehrheit sendet. |
| Abgewehrt | Gemessen und nichts zu holen: nicht herausgegeben. |
| Unbekannt | Nicht geprüft oder nicht auslesbar. |
Eine Gesamtnote ist verführerisch: eine Zahl, die steigt, wenn man etwas richtig macht. Sie rechnet aber Ungleiches zusammen. Ein fehlender Einbettungsschutz auf einer Seite ohne Anmeldung und eine schwache Richtlinie auf einer Seite mit Kundenkonten ergeben vielleicht dieselbe Zahl — und bedeuten etwas völlig anderes.
Auch das verbreitete Bewertungssystem für Schwachstellen, CVSS, sagt ausdrücklich, dass seine Basiswerte die Schwere einer Lücke messen und nicht allein zur Einschätzung des Risikos dienen sollen. Das Risiko entsteht erst im Zusammenhang: was die Seite tut, wer sie nutzt, was ein Angreifer davon hätte.
HexWarte vergibt deshalb keine Note und keine Prozentzahl. Stattdessen steht an jedem Befund, unter welchen Voraussetzungen er zählt — die Gewichtung für deine Seite nimmst du vor, mit dem Wissen, das nur du über sie hast.
Geprüft am 21. September 2026. Die Einordnung ist eine fachliche Bewertung, keine Rechtsberatung. Einen Fehler gefunden? Die Kontaktdaten stehen im Impressum.