Scan-Ergebnis verstehen

Für: Geschäftsführer, IT-Leiter, Webmaster Lesezeit: 5 Minuten

Sie haben Ihren ersten Scan durchgeführt – jetzt sehen Sie eine Zahl zwischen 0 und 100 und viele Häkchen, Warnungen und Kreuze. Diese Seite erklärt, was das alles bedeutet.

Der DSGVO-Score (0–100)

Der Score ist ein gewichteter Durchschnitt aus allen 29 Einzelchecks. So lesen Sie ihn:

Score	Farbe	Bedeutung
90–100	Grün	Sehr gut. Keine kritischen Probleme.
70–89	Hellgrün	Gut. Einzelne Verbesserungen möglich.
50–69	Gelb	Mittelmäßig. Sie haben blinde Flecken.
30–49	Orange	Schlecht. Mehrere ernste Probleme.
0–29	Rot	Kritisch. Abmahn-Risiko.

Ergebnis-Seite mit Score-Kreis

⚠️ Wichtig: Ein Score von 100 heißt nicht „rechtssicher”. Hugo Check prüft technische Punkte, die automatisiert messbar sind. Ob Ihr Impressum inhaltlich korrekt ist oder Ihre Cookie-Zwecke wirklich passen, kann nur ein Mensch beurteilen.

Die vier Kategorien

1. Datenschutz (8 Checks)

Hier prüfen wir alles, was direkt mit der DSGVO zu tun hat:

Cookie-Banner vorhanden? – Auch dann, wenn Sie nur einen Tracker haben
Cookie-Banner mit echter Ablehnen-Option? – „OK” und „Mehr erfahren” reicht nicht
Impressum erreichbar? – Vollständig, mit Pflichtangaben
Datenschutzerklärung erreichbar? – Verlinkt im Footer und im Cookie-Banner
Tracking-Tools erkannt? – Google Analytics, Meta Pixel, etc.
Tracker laden vor Einwilligung? – Häufiger Fehler bei selbstgebauten Bannern
Externe Schriften? – Google Fonts ohne Selbsthosting ist problematisch
YouTube/Vimeo-Embeds? – Mit oder ohne Cookie-Schutz?

2. E-Mail (6 Checks)

E-Mail-Sicherheit ist Datenschutz, weil Phishing in Ihrem Namen ein Schadensfall sein kann.

SPF-Eintrag – Wer darf in Ihrem Namen Mails versenden?
DKIM-Eintrag – Sind Ihre Mails kryptografisch signiert?
DMARC-Eintrag – Was passiert, wenn jemand fälscht?
DMARC-Modus – none, quarantine oder reject?
MX-Einträge – Wer empfängt Ihre Mails?
TLS-Verschlüsselung – Verschlüsselte Übertragung zum Mailserver?

3. Header (10 Checks)

HTTP-Header sind technische Anweisungen, die Browser vor Angriffen schützen:

HTTPS aktiv? – Sollte 2025 selbstverständlich sein
HSTS gesetzt? – Erzwingt HTTPS auch beim ersten Besuch
HSTS Preload – Im Browser fest verankert
Content-Security-Policy – Verhindert Code-Injection
X-Frame-Options – Schutz vor Clickjacking
X-Content-Type-Options – Schutz vor MIME-Sniffing
Referrer-Policy – Welche Daten werden bei Links weitergegeben?
Permissions-Policy – Welche Browser-APIs darf die Seite nutzen?
Cross-Origin-Resource-Policy – Schutz vor Ressourcen-Diebstahl
Server-Header – Verrät Ihre Server Software und Version?

4. Domain (5 Checks)

DNSSEC aktiv? – Schutz vor DNS-Spoofing
CAA-Eintrag? – Wer darf Zertifikate für Ihre Domain ausstellen?
TLS-Version – Ist Ihr Server auf dem neuesten Stand?
Zertifikat gültig? – Nicht abgelaufen, korrekte Domain
HTTP/2 oder HTTP/3? – Performance und Sicherheit

Die Symbole

Jeder Check zeigt ein Symbol:

✅ – Alles in Ordnung
⚠️ – Verbesserungswürdig, aber kein Showstopper
❌ – Problem. Sollten Sie beheben.

Klicken Sie auf einen Check, um Details zu sehen: was geprüft wurde, was wir gefunden haben, und (im Pro-Tarif) eine Schritt-für-Schritt-Anleitung zur Behebung.

Aufgeklappter Check mit Details

„Mein Score ist schlecht – was jetzt?”

Keine Panik. Die meisten KMU haben beim ersten Scan einen Score zwischen 40 und 60. Das ist normal – kaum jemand setzt sich freiwillig mit HSTS und CSP auseinander.

So gehen Sie vor:

Quick Wins zuerst: Was können Sie heute beheben? Cookie-Banner austauschen, Google Fonts selbst hosten – das sind Aufgaben, die ein guter Webdesigner in einer Stunde erledigt.
Mittelfristig: Header-Konfiguration. Viele Hoster haben dafür eigene Anleitungen.
Langfristig: E-Mail-Authentifizierung (SPF/DKIM/DMARC) – das braucht oft Hilfe vom Mailprovider.

Im Pro-Tarif bekommen Sie für jeden Punkt eine konkrete Fix-Anleitung – inklusive Beispiel-Code für die häufigsten CMS (WordPress, Webflow, Shopify, Typo3).