Software-Stand · Prüfpunkt
Was verraten Plugin-Versionen im Quelltext Ihrer Website?
Plugin-Versionen im Quelltext verraten jedem Betrachter, welche Erweiterungen Ihre Website nutzt und wie alt sie sind. Erweiterungen — bei WordPress „Plugins“ und „Themes“ genannt — rüsten Funktionen nach: Kontaktformulare, Bildergalerien, Shop-Anbindungen. Ihre Dateipfade tragen oft eine Versionsangabe wie „?ver=5.8“. Der Prüfbereich Software-Stand liest diese Angaben aus der ausgelieferten Seite und meldet sie als Befund.
Versionsangaben in Dateipfaden dienen der Cache-Steuerung
Browser merken sich Dateien einer Website, damit sie beim nächsten Besuch schneller lädt. Damit nach einem Update wirklich die neue Datei ankommt, hängen viele Systeme die Versionsnummer an den Dateipfad — der Browser sieht einen neuen Pfad und lädt frisch. Das ist verbreitet und technisch begründet. Die Nebenwirkung: Die Versionsnummer steht damit öffentlich im Quelltext. Der Prüfbereich wertet das deshalb als geringfügigen Befund mit 20 von 100 Punkten — deutlich leichter als eine Bibliothek ohne Herstellerpflege. Gemeldet wird, welche Erweiterungen ihre Version preisgeben, samt der genauen Fundstellen, damit Ihre Agentur gezielt nachsehen kann.
Sichtbare Erweiterungs-Versionen zeigen Fremden Ihren Pflegestand
Wer den Quelltext Ihrer Seite liest, sieht bei sichtbaren Versionsangaben auf einen Blick, welche Erweiterungen installiert sind und wie alt sie sind — ohne Anmeldung, ohne Werkzeuge, ohne Spuren. Veraltete Erweiterungen lassen sich so von außen erkennen. Auch hier gilt die saubere Trennung: Die Prüfung stellt Sichtbarkeit fest, keine Verwundbarkeit. Eine alte Versionsnummer beweist nicht, dass etwas angreifbar ist. Aber Erweiterungen stammen von vielen verschiedenen Herstellern und werden unterschiedlich gut gepflegt — gerade deshalb lohnt der Blick auf genau die Erweiterungen, deren Version jeder sehen kann. Der Befund ist eine priorisierte Arbeitsliste für die nächste Wartung.
Die Prüfung liest nur, was Ihre Seite selbst ausliefert
Der Prüfbereich erkennt Erweiterungen an den typischen Pfadmustern der verbreiteten Systeme: WordPress-Plugins und -Themes, Joomla- und PrestaShop-Module, TYPO3-Extensions, Drupal-Module. Er folgt dabei ausschließlich Verweisen, die im ausgelieferten Quelltext stehen. Er probiert keine Adressen durch, sucht keine versteckten Dateien und meldet nichts, wofür es keine Belegstelle gibt. Daraus folgt auch die ehrliche Untergrenze: Von außen ist immer nur ein Teil der installierten Erweiterungen erkennbar. Ein leerer Befund heißt „nichts erkennbar“, nie „alles aktuell“. Die vollständige Liste Ihrer Erweiterungen kennt nur der Administrationsbereich Ihrer Website — fragen Sie danach.
So gehen Sie es an
- Bitten Sie Ihre Agentur um eine Liste aller installierten Erweiterungen samt Datum der letzten Aktualisierung.
- Lassen Sie Erweiterungen entfernen, die niemand mehr braucht — jede installierte Erweiterung ist Pflegeaufwand.
- Prüfen Sie zuerst die Erweiterungen, deren Version im Quelltext sichtbar ist: Genau diese kann jeder Außenstehende auf Aktualität abklopfen.
- Vereinbaren Sie regelmäßige Update-Fenster, damit Aktualisierungen nicht liegen bleiben.
- Fragen Sie bei wichtigen Erweiterungen nach, ob der Hersteller sie noch aktiv weiterentwickelt.
Häufige Fragen
Was ist ein Plugin?
Ein Plugin ist eine Zusatzsoftware, die ein Redaktionssystem um eine Funktion erweitert — zum Beispiel ein Kontaktformular, eine Bildergalerie oder eine Terminbuchung. Themes bestimmen das Aussehen der Website. Beide stammen oft von anderen Herstellern als das System selbst und brauchen eigene Updates. Je mehr Erweiterungen installiert sind, desto mehr Pflege braucht die Website.
Warum steht „?ver=“ hinter Dateien meiner Website?
Das ist eine Versionsangabe zur Cache-Steuerung: Browser speichern Dateien zwischen, und der Versionszusatz sorgt dafür, dass nach einem Update die neue Datei geladen wird. Der Mechanismus ist verbreitet und sinnvoll. Seine Nebenwirkung ist die Preisgabe: Jeder kann an diesen Angaben ablesen, welche Erweiterungen in welcher Version im Einsatz sind.
Sind sichtbare Plugin-Versionen ein Sicherheitsproblem?
Sie sind ein Hinweisgeber, kein Beweis für eine Lücke. Die Prüfung bewertet die Sichtbarkeit der Versionen, nicht deren Verwundbarkeit — ob eine konkrete Erweiterung angreifbar ist, lässt sich von außen nicht seriös feststellen. Sichtbare Versionen erlauben aber jedem, veraltete Erweiterungen zu erkennen. Deshalb gehören genau diese Erweiterungen zuerst auf die Update-Liste.
Wie viele Plugins sollte eine Website haben?
So wenige wie nötig. Eine feste Zahl gibt es nicht — entscheidend ist, dass jede installierte Erweiterung gebraucht, gepflegt und aktualisiert wird. Vergessene Erweiterungen sind das eigentliche Problem: Sie laufen unbeachtet weiter und bekommen keine Updates. Eine jährliche Durchsicht mit der Frage „Brauchen wir das noch?“ hält die Liste kurz.
Weiter im Prüfbereich Software-Stand
- Was verraten Server-Header über die Software Ihrer Website?Antwort-Header wie „Server“ oder „X-Powered-By“ nennen oft Software-Versionen. Das erleichtert Angreifern die Zuordnung und lässt sich abschalten.
- Warum ist eine Bibliothek ohne Herstellerpflege ein Risiko für Ihre Website?Eine Bibliothek ohne Herstellerpflege erhält keine Sicherheitskorrekturen mehr. Was das Wartungsende bedeutet und wie Sie den Wechsel anstoßen.
- Warum sollte Ihre Website ihre CMS-Version verbergen?Eine sichtbare CMS-Version macht Ihre Website für versionsgezielte Angriffe sortierbar. Die Angabe lässt sich meist ohne Funktionsverlust entfernen.
Dieser Prüfpunkt gehört zum Prüfbereich Software-Stand — dort stehen alle Prüfpunkte im Überblick. Was die Prüfung insgesamt leistet, zeigt die Leistungsseite; wie ein Ergebnis zustande kommt, erklärt das Prüfverfahren. Alle Prüfbereiche im Überblick: Wissensbasis.