Prüfverkehr: wer hier abruft und warum

Sie haben conct in Ihrem Server-Protokoll gefunden und wollen wissen, wer das war. Hier steht es — vollständig, mit Adresse zum Widersprechen.

Was der Abruf war

Ein automatisierter Website-Check: Eine Adresse wird wie von einem Besucher aufgerufen, im Browser dargestellt und auf technische Mängel geprüft — Sicherheitskopfzeilen, Verschlüsselung, Cookies vor der Einwilligung, Pflichtangaben, Auffindbarkeit, Barrierefreiheit. Das Ergebnis geht an den Betreiber der geprüften Seite, nicht an Dritte, und wird nicht veröffentlicht.

Der Abruf ist passiv: Geladen wird, was ein Besuch mit einem Browser auch lädt, dazu Dateien, die zum Abruf durch Dritte bestimmt sind (robots.txt, sitemap.xml, security.txt).

Was dabei ausdrücklich nicht geschieht:

• keine Eingaben in Formulare, kein Einschleusen von Zeichenketten,
• keine Anmeldeversuche, kein Erraten von Kennwörtern,
• kein Durchprobieren von Pfaden, kein Fuzzing,
• keine Lasttests, keine parallelen Abrufe derselben Seite,
• kein Ausnutzen einer gefundenen Schwäche.

Das ist keine Einstellung, die jemand umlegen könnte: Diese Fähigkeiten sind in dem eingesetzten Werkzeug nicht gebaut.

Eine Ausnahme gibt es, und sie ist an eine Unterschrift gebunden: Liegt eine schriftliche Beauftragung des Betreibers vor, die das ausdrücklich einschließt, werden zusätzlich einige feste Pfade abgerufen, an denen typischerweise Dateien liegen, die nicht öffentlich sein sollten (/.git/config, /.env und Ähnliches). Auch das sind reine GET-Abrufe, wie sie jeder Browser stellt.

Woran Sie den Abruf erkennen

Im Protokoll steht:

WebAudit/0.1 (+https://conct.de/pruefverkehr/)

Davor steht eine gewöhnliche Browser-Kennung, weil die Prüfung mit einem echten Chromium arbeitet und eine Seite sonst anders ausgeliefert wird als einem Besucher — geprüft werden soll, was Ihre Besucher bekommen, nicht was ein Server einem Werkzeug schickt.

Warum Ihre Seite abgerufen wurde

Es gibt genau zwei Möglichkeiten:

1. Ein Auftrag liegt vor. Der Betreiber der Seite hat die Prüfung beauftragt. Die Freigabe ist mit Domain, Auftraggeber und Ablaufdatum hinterlegt; ohne diesen Eintrag prüft das Werkzeug nicht, und einen Schalter zum Umgehen gibt es nicht.
2. Jemand hat den kostenlosen Selbsttest benutzt. Auf der Startseite lässt sich eine Adresse eintragen. Wer das tut, muss vorher erklären, für diese Website verantwortlich zu sein oder im Auftrag der verantwortlichen Stelle zu handeln. Diese Erklärung wird mit Zeitpunkt und Verbindungsdaten festgehalten.

Der zweite Fall ist der, an dem ein Administrator zu Recht zweifelt: Eine Erklärung in einem Formular ist keine Prüfung der Berechtigung. Deshalb ist der Selbsttest eng gefasst — nur die Startseite, nur passiv, höchstens drei Prüfungen je Domain und Stunde, und ausgegeben werden nur Befunde, die dem Betreiber helfen. Serverfassungen, Bibliotheksversionen, erreichbare Pfade, Geheimnisse im Seitenquelltext und Details aus Fehlerseiten bleiben an eine hinterlegte Freigabe gebunden und erscheinen im Selbsttest nicht. Ein Fremder erfährt darüber also nichts, was ihm bei einem Angriff nützt.

Wenn Sie das nicht wollen

Schreiben Sie an abuse@conct.de und nennen Sie die Domain. Sie wird dann für weitere Abrufe gesperrt, unabhängig davon, wer sie einträgt. Eine Begründung brauchen Sie nicht.

Wenn Sie wissen wollen, ob und wann Ihre Domain geprüft wurde, fragen Sie unter derselben Adresse nach.

Was gespeichert wird

• Beim Selbsttest: die eingetragene Adresse, die Erklärung zur Beauftragung, der Zeitpunkt und die technischen Verbindungsdaten. Die Erklärung wird aufbewahrt, solange sie als Nachweis dafür gebraucht wird, dass der Abruf beauftragt war. Das Ergebnis wird nach 30 Minuten verworfen.
• Beim beauftragten Lauf: der Prüfbericht, beim Auftragnehmer, für die Dauer des Auftrags.
• Einzelheiten stehen in der Datenschutzerklärung.

Wer dahintersteht

Die Anschrift steht im Seitenfuß und vollständig im Impressum. Für Sicherheitsmeldungen zu conct.de selbst gibt es eine security.txt nach RFC 9116.