Bewertung der Tools

Drei Tools geben anstelle einer Liste eine Zahl zurück: die E-Mail-Prüfung, die Header-Prüfung und der Netzwerkbericht. Jedes dieser Tools gewichtet seine Ergebnisse, da eine Checkliste, die jeden fehlenden Eintrag gleich bewertet, einer Website ohne „Content-Security-Policy“ dieselbe Bewertung zuweist wie einer ohne „Permissions-Policy“. Auf dieser Seite sind alle Gewichtungen sowie die Gründe für deren jeweilige Werte aufgeführt.

E-Mail-Sicherheit

Sieben Prüfungen, 100 Punkte. Die Authentifizierung entscheidet darüber, ob jemand anderes E-Mails in Ihrem Namen versenden kann, weshalb ihr das größte Gewicht zukommt. Transport und Berichterstattung folgen.

BIMI erhält aufgrund seiner Konzeption null Punkte. Es wird überprüft und gemeldet, da ein fehlerhafter BIMI-Eintrag beachtenswert ist und da seine Voraussetzungen erwähnenswert sind; es benötigt DMARC bei p=quarantine oder p=reject , um überhaupt eine Wirkung zu erzielen. Was es jedoch nicht tut, ist, eine Domain sicherer zu machen; daher hat es keinen Einfluss auf die Punktzahl.

Nur die tatsächlich angeforderten Prüfungen zählen. Wird eine davon abgewählt, wird sie aus der Berechnung entfernt, anstatt mit Null bewertet zu werden, weshalb ein Durchlauf mit drei Prüfungen immer noch 100 erreichen kann. Die Punktzahl entspricht dem Anteil der verfügbaren Punkte, nicht der Anzahl der grünen Häkchen.

HTTP-Security-Header

Sieben bewertete Befunde, gewichtet danach, was der jeweilige Header verhindert, und nicht danach, wie einfach er sich einrichten lässt.

Wie die Punktzahl ermittelt wird

Jeder Befund erhält 0 bis 100 eigene Punkte, die anschließend gewichtet werden. Ein als „nicht zutreffend“ markierter Befund wird sowohl aus dem Zähler als auch aus dem Nenner herausgenommen, sodass er weder positiv noch negativ wirkt:

score = sum(points x weight) / sum(100 x weight) x 100

Deshalb kann eine Website auch bei fehlendem Header gut abschneiden, wenn alle anderen Aspekte überzeugend sind, und deshalb rettet ein perfekter CSP keine Website, die sonst nichts zu bieten hat.

Drei Befunde, bei denen es sich nicht um ein einfaches „vorhanden oder nicht vorhanden“ handelt

• max-age=0 schneiden schlechter ab als ein fehlender HSTS-Header. Dies ist die dokumentierte Vorgehensweise, um HSTS zu deaktivieren: Jeder Besucher wird bei seiner nächsten ersten Anfrage wieder auf reines HTTP umgeleitet. Eine Website, die den Header nie gesendet hat, hat zumindest nie ein Versprechen abgegeben, das sie nun widerruft.
• frame-ancestors gilt als Schutz vor Framing. Es ist der vorgeschriebene Ersatz für X-Frame-Options; daher wird eine Website, die ihn korrekt setzt, nicht dafür abgestraft, dass sie den älteren Header weglässt.
• Eine CSP wird gelesen, nicht nur erkannt. unsafe-inline oder unsafe-eval in einer Skript-Direktive oder ein fehlendes default-src , um die nicht namentlich genannten Direktiven zu erfassen, verursacht Punktabzüge, auch wenn der Header vorhanden ist.

Jeder Befund nennt die zu ändernde Direktive und nicht nur den fehlenden Header. Siehe Security Headers .

Netzwerk-Rangliste

Der Netzwerkbericht vergibt keine Punktzahlen, sondern erstellt eine Rangliste. Eine reine Gesamtzahl der Reports lässt jeden großen Hosting-Anbieter in einem schlechten Licht erscheinen: Ein Anbieter mit einer Million Kunden wird stets mehr Reports sammeln als ein Adressbereich mit zehn Adressen, und das sagt nichts darüber aus, wie er betrieben wird.

Daher werden für jedes andere Netzwerk in den Daten drei Kennzahlen angegeben:

Die Differenz zwischen den ersten beiden Positionen ergibt sich daraus. Ein großer Anbieter rangiert bei den Adressen weit oben und bei den Reports pro Adresse weit unten. Ein konzentriertes Netzwerk verhält sich umgekehrt, und genau dieses Muster ist es, auf das man reagieren sollte: Die Sperrung eines gesamten Bereichs ist eine Entscheidung, die durch die zweite Zahl gestützt wird, nicht jedoch durch die erste.

Wie das Perzentil berechnet wird

Jedes Netzwerk mit mindestens einer Report und ohne Eintrag in der Whitelist wird gruppiert, die drei Zahlen werden sortiert, und eine 101-stufige Skala vom 0. bis zum 100. Perzentil wird gespeichert. Bei einer Abfrage wird das Netzwerk dann auf dieser Skala eingeordnet. Die Skala wird einmal täglich neu erstellt und von jeder Anfrage gemeinsam genutzt, sodass bei einer einzelnen Abfrage niemals die Adresstabelle durchsucht wird.

Adressen auf der Whitelist werden vollständig aus der Rangliste ausgeschlossen. Andernfalls würden sie die Verteilung in Richtung Null verschieben und jedes gewöhnliche Netzwerk schlechter erscheinen lassen, als es tatsächlich ist.

Was ein hoher Rang nicht bedeutet

Zwei der am dichtesten besetzten Netzwerke in den Daten sind Scan-Dienste. Sie generieren Reports, weil sie das Internet absichtlich scannen, nicht weil sie kompromittiert sind. Die Reports pro Adresse zeigen, wo sich die Aktivität konzentriert; was dies bedeutet, muss noch im Kontext des Betreibers betrachtet werden. Das Gleiche gilt für Verbraucher-ISPs hinter Carrier-Grade-NAT, bei denen eine Adresse den Datenverkehr vieler Teilnehmer überträgt.

Siehe ASN-Bericht. Für den Wert einer einzelnen Adresse, bei dem eine völlig andere Berechnungsmethode zum Einsatz kommt, siehe Confidence Score.

Zuletzt aktualisiert: 20. September 2026 · Betreut vom ReportedIP-Team