Warum dieser Prüfbereich nie „kritisch" meldet

Dieser Prüfbereich vergibt nie die Stufe „kritisch". Die höchste verwendete Einstufung ist „schwer", und sie gibt es ausschließlich bei nachweislichem Wartungsende — belegt durch eine Herstellerangabe, nicht durch eine Einschätzung.

Was dazu geprüft wird

2 Prüfpunkte aus dem Software-Stand-Regelwerk des Prüfdienstes — die Liste stammt aus dem Messkern, nicht aus diesem Text.

Keine Bibliothek ohne Herstellerpflege eingebunden · lib-gepflegt
Antwort-Header nennen keine Software-Versionen · server-signatur-verborgen

Jeder dieser Punkte steht mit Erklärung in der vollständigen Prüfpunktliste.

Worauf es in der Praxis ankommt

Der Grund ist eine Grenze des Verfahrens: Das Modul weiß, dass eine Version sichtbar ist. Ob sie verwundbar IST, weiß es nicht. Eine kritische Meldung auf dieser Grundlage wäre eine Behauptung ohne Beleg.

Sichtbare Versionsangaben werden deshalb höchstens als „mittel" eingestuft. Das ist keine Verharmlosung, sondern die ehrliche Wiedergabe dessen, was festgestellt wurde.

Diese Zurückhaltung ist im ganzen Dienst dieselbe Linie: Ein Falsch-Positiv kostet Vertrauen in alle übrigen Befunde. Lieber eine vorsichtige Einstufung mit klarer Begründung als eine dramatische ohne.

Häufige Fragen

Bekommen wir eine Liste bekannter Sicherheitslücken?

Nein. Dafür bräuchte es eine Zuordnung von Version zu Schwachstellendatenbank und die Gewissheit, dass die erkannte Version die tatsächlich installierte ist. Beides leistet eine passive Betrachtung nicht.

Warum meldet ihr dann überhaupt sichtbare Versionen?

Weil sie die automatisierte Zuordnung erleichtern. Das ist eine belegbare Tatsache und ein sinnvoller Hinweis — nur eben kein kritischer Befund.

Weitere Themen aus Software-Stand

Website prüfen lassen Erst das Prüfverfahren verstehen →