Erklärungen & Bewertungsmethodik

Jeder Check erzeugt ein Finding mit einem Status und einem Gewicht. Die gewichteten Findings eines Moduls ergeben eine Prozentzahl, die in eine Buchstabennote (A+ … F) umgerechnet wird. Die Startseite fasst alle Module zu einer Gesamtnote zusammen.

• pass – bestanden (volle Punktzahl)
• good – erfüllt, zählt aber nicht in die Note (optionale Härtung)
• warn – Verbesserungspotenzial (halbe Punktzahl)
• fail – Problem/Risiko (0 Punkte)
• info / skip – rein informativ oder nicht prüfbar (zählt nicht in die Note)

Bewertungs-Caps (nach dem Vorbild von SSL Labs)

Ein einzelnes schweres Finding darf nicht durch viele „pass“-Ergebnisse weggemittelt werden. Deshalb deckeln bestimmte Findings die Modulnote unabhängig vom Durchschnitt (Minimum-Logik):

• Cap A-: kein TLS 1.3.
• Cap B: veraltetes TLS 1.0/1.1, keine Forward Secrecy, keine AEAD-Cipher, unvollständige Zertifikatskette, schwache DH-Parameter, RC4.
• Cap C: RC4/3DES mit TLS 1.1+, MX nur im Klartext (kein STARTTLS), DMARC p=none, DANE-TLSA ohne DNSSEC.
• Cap F: abgelaufenes/zu schwaches Zertifikat, NULL-/Export-/anonyme Cipher, abgelaufene DNSSEC-Signaturen.
• T (Trust) bzw. M (Mismatch): nicht vertrauenswürdiges Zertifikat oder Zertifikat, das nicht zum Hostnamen passt – übersteuert die Buchstabennote.

Methodik angelehnt an den SSL Labs Server Rating Guide, Mozilla, OWASP und die einschlägigen RFCs.