Warum Security 2026 wichtig ist
Im Jahr 2026 ist die Hürde für einen erfolgreichen Phishing- oder Betrugsversuch gegen ein kleines oder mittelständisches Unternehmen so niedrig wie nie. Nicht weil Angreifer klüger geworden sind — sondern weil bei vielen Unternehmen die Grundlagen immer noch nicht in Ordnung sind. Ein fehlender DMARC-Eintrag, ein abgelaufenes TLS-Zertifikat, eine vergessene Subdomain, die noch auf einem alten Server läuft: Das sind keine exotischen Probleme. Das sind die Signale, die jeder automatisierte Angriff zuerst prüft.
Dieser Artikel erklärt welche Signale wir prüfen in einem passiven Security-Audit, warum sie wichtig sind, und wie Sie die Basis strukturiert in Ordnung bringen — ohne dass daraus ein großes Projekt werden muss.
Was meinen wir mit “passivem Security-Audit”?
Ein passives Audit betrachtet ausschließlich öffentlich verfügbare Signale. Wir scannen nichts intrusiv, wir versuchen nichts zu umgehen, und wir testen keine Passwörter. Alles, was wir bewerten, sind Informationen, die Ihr eigener Webserver, Ihr DNS und Ihre Mail-Konfiguration selbst ans öffentliche Internet senden — und die jeder Angreifer mit einem Browser und einem Terminal innerhalb von drei Minuten abrufen könnte.
Das ist bewusst der Umfang. Wir wollen keine technische Auswirkung verursachen; wir wollen Ihnen zeigen, was die Außenwelt heute bereits sieht über Ihr Unternehmen.
Die sechs Säulen, die wir prüfen
1. TLS- / HTTPS-Konfiguration
Ein gültiges Zertifikat ist 2026 das Minimum, nicht das Ziel. Was wir darüber hinaus betrachten: Unterstützt Ihr Server noch veraltete TLS-Versionen (1.0, 1.1)? Sind schwache Cipher Suites aktiviert? Ist HSTS so konfiguriert, dass Browser nicht versehentlich eine HTTP-Verbindung öffnen können?
Warum es wichtig ist: Ein Browser, der mit Ihrer Seite TLS 1.0 sprechen darf, darf das auch mit einem Proxy, der dazwischen sitzt. Genau so funktionieren Man-in-the-Middle-Angriffe in WLAN-Netzwerken.
2. HTTP-Security-Header
Header wie Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy und Permissions-Policy bestimmen, was der Browser Ihrer Besucher im Namen Ihrer Seite tun darf und was nicht. Fehlen sie, kann ein Angreifer, der irgendwo ein Skript einschleusen kann (denken Sie an ein kompromittiertes Marketing-Tag), erheblich mehr Schaden anrichten.
Warum es wichtig ist: Das sind Einstellungen, die Ihr Hosting-Anbieter oder CDN mit einem einzigen Commit hinzufügen kann. Es ist niedrig hängende Frucht, und der Unterschied zwischen einem Mozilla-Observatory-A und einem F ist meist ein Nachmittag Arbeit.
3. E-Mail-Authentifizierung (SPF, DKIM, DMARC)
Das ist 2026 die Säule, die den meisten direkten finanziellen Schaden verhindert. Ohne eine strenge DMARC-Policy (p=quarantine oder p=reject) kann jeder E-Mails versenden, die für den Empfänger so aussehen, als kämen sie von Ihrer Domain. Gefälschte Rechnungen, CEO-Betrug, falsche Mahnungen — alles beginnt hier.
Warum es wichtig ist: Google und Microsoft akzeptieren E-Mails von Absendern ohne korrektes DMARC seit 2024 immer strenger. Ein fehlender Eintrag ist nicht nur ein Sicherheitsrisiko — es ist auch ein Zustellbarkeitsrisiko für Ihre eigene Mail.
4. DNS-Hygiene
Wir betrachten Ihren DNSSEC-Status, ob Ihre CAA-Einträge festlegen, welche Zertifizierungsstellen für Ihre Domain zeichnen dürfen, und ob Ihre MX-Einträge offene Ports oder Legacy-Server offenlegen. Darüber hinaus erstellen wir eine passive Bestandsaufnahme von Subdomains über öffentliche Certificate-Transparency-Logs — nicht um anzugreifen, sondern um sichtbar zu machen, was alles im Namen Ihres Unternehmens online steht.
Warum es wichtig ist: Viele Vorfälle beginnen bei einer vergessenen Subdomain. Ein staging.firma.de, das einmal für einen Test aufgesetzt wurde, noch DNS hat, aber auf einen Server zeigt, den niemand mehr verwaltet — genau dort schauen Angreifer zuerst hin.
5. Passive Infrastruktur-Exposition
Dienste wie Shodan und Censys indexieren das öffentliche Internet kontinuierlich. Wir lesen, was sie bereits über Ihre IP-Adressen gesammelt haben. Offene Datenbank-Ports, vom öffentlichen Internet aus erreichbare Admin-Panels, oder Services mit bekannten CVEs — das sind die Signale, die wir herausarbeiten.
Warum es wichtig ist: Wenn Shodan es schon weiß, weiß es jeder. Das ist kein Angriff; das ist öffentliche Information.
6. Bekannte Datenlecks (Have I Been Pwned)
Für Ihre eigene Domain prüfen wir über die offizielle HIBP-API, ob E-Mail-Adressen Ihrer Mitarbeitenden in bekannten Datenlecks auftauchen. Wir tun das ausschließlich für Ihre eigene Domain — und nur aggregiert, nicht pro einzelner Adresse im Bericht.
Warum es wichtig ist: Ein wiederverwendetes Passwort aus einem LinkedIn-Leak von 2021 ist 2026 immer noch der Ausgangspunkt vieler erfolgreicher Account-Übernahmen.
Was bekommen Sie aus einem Audit?
Einen Bericht mit einer Punktzahl von 0 bis 100, aufgebaut aus den sechs Säulen, plus eine Priorisierung: Welche drei bis fünf Verbesserungen Sie zuerst umsetzen sollten, damit Ihre Punktzahl am stärksten steigt. Keine Liste mit hundert technischen Anmerkungen — eine Handvoll konkreter Empfehlungen, die Ihr IT-Partner oder Webentwickler in einem Sprint aufgreifen kann.
Was Sie nicht bekommen: eine Geschichte darüber, wie “hackbar” Ihre Seite ist. An dieses Framing glauben wir nicht. Was Sie sehr wohl bekommen: ein nüchternes Bild davon, was die Außenwelt heute über Ihr Unternehmen sehen kann, und eine Roadmap, um dieses Bild zu verbessern.
Warum 2026 der richtige Moment ist
Drei Entwicklungen machen dieses Jahr anders als die vorherigen:
- NIS2 ist operativ. Viele KMU, die bislang nicht im Visier der Aufsichtsbehörde waren, fallen nun doch unter die neue Richtlinie — direkt oder über ihre Kunden in der Lieferkette.
- KI senkt die Hürde für Angreifer. Phishing-Mails lassen sich nicht mehr an schlechten Übersetzungen erkennen. Die technische Ebene muss das ausgleichen.
- Cyber-Versicherer verlangen nachweisbare Basis-Hygiene. Kein DMARC, keine MFA-Policy, kein periodisches Audit? Dann erstattet die Police auch nichts.
Was ist ein sinnvoller nächster Schritt?
Wenn Sie wissen wollen, wo Ihre eigene Domain heute steht, machen wir ein kostenloses passives Audit und schicken Ihnen den Bericht innerhalb eines Werktags zu. Kein Verkaufsgespräch vorab, kein Formular mit zwanzig Fragen. Sie bekommen den Bericht, Sie entscheiden selbst, was Sie damit tun.
Vereinbaren Sie ein Gespräch — oder schicken Sie uns Ihre Domain direkt an [email protected] und wir legen los.
Dieser Artikel beschreibt, wie wir Security-Audits bei LevelsTech durchführen. Wir führen ausschließlich passive, nicht-intrusive Analysen auf Basis öffentlich verfügbarer Informationen durch. Wir scannen nichts intrusiv, wir testen keine Passwörter, und wir versuchen nicht, Zugriff auf Systeme zu erlangen, für die wir keine schriftliche Genehmigung haben.