Was der decivo Scan prüft

Die drei Regeln, je Dimension

1. Stopp: mindestens ein Befund mit Schweregrad „kritisch“ UND Belastbarkeit „bestätigt“. Beides zusammen — „bestätigt“ gibt es nur aus einem Lauf mit Domain-Nachweis oder mit Repo-Zugang. Das heißt ausdrücklich: Ein rein anonymer Außen-Scan sagt nie „Stopp“. Er kennt keinen Befund, den er selbst ausgelöst oder im Quelltext gelesen hätte.
2. Iterate: sonst — mindestens ein Befund ab „hoch“ aufwärts, oder mindestens 3 Befunde mit Schweregrad „mittel“ in derselben Dimension, oder ein einzelner mittlerer Befund in Sicherheit oder Datenschutz. Ein einzelner mittlerer Befund ist in einem MVP normal; 3 in einem Bereich sind ein Muster. In den zwei Bereichen, die Vertrauen tragen, genügt aber schon einer: Neben einer anonym lesbaren Tabelle oder Tracking ohne Einwilligung können wir nicht „tragfähig“ sagen.
3. Go: sonst. Befunde mit Schweregrad „niedrig“ kippen das grüne Licht nie — acht fehlende HTTP-Header sind kein kaputtes Fundament. Und zwei mittlere Befunde sind davon ausgenommen: „Content-Security-Policy fehlt“ und „HSTS-Header fehlt“ beschreiben eine fehlende zusätzliche Schutzschicht, keinen Defekt. Nicht gehärtet ist nicht dasselbe wie kaputt.

Das Gesamturteil ist das schlechteste Verdikt über die sechs Dimensionen. Befunde werden dabei nicht über Bereiche hinweg zusammengezählt: Die Schwelle soll ein Muster in EINEM Bereich erkennen. Befunde, die ein verbundenes Repository widerlegt hat, zählen nicht mehr mit.

Was nicht geprüft werden konnte, wird als „begrenzt prüfbar“ ausgewiesen und zeigt „—“, nie eine Null und nie eine geschönte Bestnote. Daneben steht die Prüftiefe in Zahlen: wie viele Prüfungen in eurem Fall anwendbar waren und wie viele davon tatsächlich liefen. Prüfungen, die für euch gar nicht gelten, verlassen den Nenner — Prüfungen, die wir nicht ausführen konnten, bleiben darin.

Methodik-Version 2026.36. Jede inhaltliche Regeländerung erhöht sie, damit ältere Ergebnisse einordenbar bleiben.