So ist diese Website gebaut, und so messen wir sie

• Lighthouse 13.5.0 (Google), mobil und Desktop, je drei Läufe, genannt wird der mittlere Wert.
• check-external.mjs und check-headers.mjs aus dem Prüfwerkzeug tr-website (Playwright 1.63.0, Chromium 153): Verbindungen zu fremden Domains, Cookies und Sicherheits-Header auf allen Seiten der Sitemap.
• check-a11y.mjs aus demselben Prüfwerkzeug, mit axe-core über Playwright 1.63.0: Barrierefreiheit nach WCAG 2.2 AA bei 390 und 1280 Pixel Breite.
• EDPS Website Evidence Collector 4.3.1, das Prüfwerkzeug des Europäischen Datenschutzbeauftragten: Cookies, fremde Hosts, Speicher im Endgerät.

Mit diesen Werkzeugen in diesen Versionen haben wir die neue Fassung dieser Website am 12.10.2026 live gemessen, nach dem Relaunch. Die Werte oben stehen jeweils mit Werkzeug und Datum. Die bisherige Fassung haben wir am 11.10.2026 mit denselben Werkzeugen gemessen.

Eine Komponente, die es nicht gibt, kann niemand angreifen. Diese Website besteht aus vorgefertigten HTML-Dateien. Es gibt kein Redaktionssystem, keine Datenbank, keinen Login-Bereich und keine serverseitige Ausführung von Programmcode beim Aufruf einer Seite. Damit fallen die Angriffswege weg, die ein Redaktionssystem mitbringt: veraltete Plugins, gestohlene Redaktionszugänge, Einschleusen von Datenbankbefehlen.

Diese Website ist so gebaut, dass sie beim Aufruf nichts von einer Domain außerhalb dieser Website lädt. Keine Schriftarten von einem Schriftdienst, keine Programmbibliothek von einem Auslieferungsnetz, keine eingebettete Karte, kein Video von einer Plattform, kein Social-Widget, kein Tracking-Skript.

• Die Schriften Clash Display und Satoshi liegen als lokale Dateien auf dem eigenen Server.
• Animationen laufen mit eigenem Code, ohne nachgeladene Bibliothek.
• Es gibt kein Google Analytics, kein Meta-Pixel, kein LinkedIn Insight, kein Hotjar.
• Es gibt keine eingebettete Karte. Die Videos liegen auf dieser Domain.

Wo nichts von außen geladen wird, erfährt auch kein Werbe- oder Analysedienst vom Seitenaufruf. Im Endgerät legt diese Website keine Kennung ab.

Der Server schickt bei jeder Antwort einen Satz Regeln mit, an die sich der Browser halten muss. Diese Header sind mit einem Aufruf von außen prüfbar, zum Beispiel über securityheaders.com (externe Website, neues Fenster) oder das Mozilla Observatory (externe Website, neues Fenster).

• Content-Security-Policy: Legt fest, von wo überhaupt Inhalte geladen werden dürfen. Ein eingeschleustes Skript von einer fremden Domain wird vom Browser abgelehnt, bevor es läuft.
• Strict-Transport-Security: Zwingt jeden künftigen Aufruf auf eine verschlüsselte Verbindung, auch wenn jemand die Adresse ohne https eintippt. Mit Preload-Kennzeichnung.
• X-Frame-Options / frame-ancestors: Verhindert, dass die Seite in einem fremden Rahmen eingebettet und für Klick-Täuschung missbraucht wird.
• X-Content-Type-Options: Unterbindet, dass der Browser den Dateityp errät statt ihn zu lesen.
• Referrer-Policy: Gibt an fremde Server nur die Domain weiter, von der ein Besucher kommt, nicht die vollständige Adresse mit Pfad.
• Permissions-Policy: Schaltet Kamera, Mikrofon, Standort, Zahlungsschnittstelle und die Interessenszuordnung des Browsers ab.
• Cross-Origin-Opener-Policy / -Resource-Policy: Trennt die Seite von anderen Browsing-Kontexten, damit fremde Fenster keinen Zugriff auf sie bekommen.

Die strengste Form einer Content-Security-Policy arbeitet mit einem Einmalkennwort (Nonce), das der Server für jede einzelne Antwort neu erzeugt und in die erlaubten Skripte schreibt. Das setzt voraus, dass jede Seite bei jedem Aufruf neu erzeugt wird.

Diese Website besteht aus fertigen Dateien, die unverändert ausgeliefert werden. Das ist ein bewusster Kompromiss: Der statische Aufbau entfernt eine ganze Klasse von Angriffswegen, dafür gibt es keine Einmalkennwörter, die bei jedem Aufruf neu entstehen. Die Policy erlaubt deshalb nur Skriptdateien von dieser Domain. Skripte, die direkt im Quelltext stehen, führt der Browser nicht aus. Da keinerlei fremde Quellen zugelassen sind und keine Nutzereingabe in die Seite zurückgeschrieben wird, bleibt der praktische Angriffsweg dünn.

Auch Stilangaben sind nur aus Dateien dieser Domain erlaubt (style-src 'self'). Eingebettete Styles enthält diese Website nicht, und die ausgelieferte Policy lässt auch keine zu (abgerufen am 12.10.2026).

Formulare brauchen Schutz vor automatisiertem Massenversand. Der übliche Weg dafür sind Bilderrätsel oder unsichtbare Prüfdienste, und jeder davon ist ein Request an eine fremde Domain. Damit wäre das Kernargument dieser Seite aufgehoben.

• Honigtopf-Feld: ein für Menschen unsichtbares Eingabefeld. Wer es ausfüllt, ist keiner.
• Zeitschwelle: Ein Mensch braucht für ein Formular länger als zweieinhalb Sekunden. Wird schneller abgesendet, wartet die Seite still, bis die Schwelle erreicht ist, für echte Nutzer unmerklich, für Massenversand unbrauchbar.
• Datenminimierung: Wir fragen nur, was wir für die Antwort brauchen.

Kein reCAPTCHA, kein hCaptcha, kein Turnstile. Die Übertragung ist verschlüsselt, die Zieladresse steht in der Dienstleisterliste.

Unter /.well-known/security.txt liegt eine maschinenlesbare Datei nach RFC 9116 mit Kontaktadresse, Ablaufdatum und bevorzugten Sprachen. Wer eine Schwachstelle findet, muss nicht suchen, an wen er sich wendet. Wir bestätigen den Eingang innerhalb von zwei Tagen.

Jedes zusätzliche Programmpaket ist eine zusätzliche Stelle, an der etwas schiefgehen kann. Diese Website kommt mit zwei Paketen aus: dem Seitengenerator und einer Erweiterung für die Sitemap. Der Formulardienst auf dem Server nutzt zusätzlich ein Paket für den E-Mail-Versand (nodemailer). Kein Paket wird eingesetzt, ohne dass wir sagen können, warum es da ist.

Hosting und Formularverarbeitung laufen auf einem Server in Deutschland. Die Namensauflösung der Domain liegt bewusst bei einem anderen Anbieter, bei Cloudflare, einer Gesellschaft mit Sitz in den USA: So hängen Domain und Hosting nicht vom selben Anbieter ab. Über Cloudflare läuft nur die Namensauflösung, nicht der Datenverkehr der Website. Die vollständige Aufstellung steht in der Dienstleisterliste.

Sie müssen uns nichts davon glauben. Alle genannten Punkte lassen sich von außen messen, ohne Zugang und ohne unsere Mitwirkung:

• Netzwerk-Ansicht in den Entwicklerwerkzeugen des Browsers: zeigt jede Verbindung beim Seitenaufruf.
• Speicher-Ansicht: zeigt Cookies und Einträge im lokalen Speicher.
• securityheaders.com (externe Website, neues Fenster) und Mozilla Observatory (externe Website, neues Fenster): prüfen die Sicherheits-Header.
• Qualys SSL Labs (externe Website, neues Fenster): prüft Zertifikat und Verschlüsselung.
• Eine WHOIS- oder DNS-Abfrage: zeigt, wer die Domain betreibt und wo sie aufgelöst wird.