So läuft ein formexposed-Check ab: passiv, transparent, rücksichtsvoll

Wenn Sie im kostenlosen Check auf formexposed.com eine Domain eingeben, besucht ein Scanner diese Website und liefert anschließend einen Bericht. Dieser Beitrag zeigt, was dazwischen geschieht: was der Scanner lädt, worauf er achtet, was er bewusst unterlässt – und warum manche Details erst erscheinen, wenn Sie nachgewiesen haben, dass die Domain Ihnen gehört.

Von der Domain zum Bericht

Der Scanner lädt die öffentlichen Seiten der Website so, wie es ein Browser tut – einschließlich der Skripte, die dort laufen. Das ist wichtig, weil viele Formulare, CAPTCHA-Widgets, Cookie-Banner und Tracking-Tags erst nach dem Laden per JavaScript eingefügt werden; ein Blick in das reine HTML würde sie übersehen. Auf diesen Seiten sucht der Scanner nach Formularen und ordnet jedes nach seinem Zweck ein – Kontaktformular, Newsletter-Anmeldung, Login und so weiter. Diese Einordnung stellt die Befunde in den richtigen Zusammenhang: Ein Newsletter-Feld hat andere Anforderungen als ein Kontaktformular, das Nachrichten direkt in ein Postfach schickt.

Worauf der Scanner achtet

• Schutz vor Spam und Missbrauch: ob ein CAPTCHA vorhanden ist (reCAPTCHA, hCaptcha, Turnstile, Friendly Captcha, ein eigenes Rechen- oder Bild-Captcha oder ein serverseitiger Anti-Spam-Dienst) und ob es wirksam eingerichtet ist – ein öffentlicher Test-Sitekey oder ein Widget ohne sein Skript schützt nichts. Außerdem Honeypot-Felder, CSRF-Token und Zeitfallen.
• Das Umfeld: bekannte verwundbare Kombinationen aus CMS und Plugins, ob das Formular an einen Drittdienst sendet und ob eine WAF oder ein CDN vor der Website sitzt.
• DSGVO-Signale: ein Link zur Datenschutzerklärung am Formular, ob das Ablehnen im Cookie-Banner das Tracking tatsächlich stoppt, Werbe- oder Tracking-Pixel auf Formularseiten, Session-Replay-Tools, die Eingaben mitschneiden können, und eine im Quelltext sichtbare Empfänger-E-Mail-Adresse.
• Signale zur Barrierefreiheit: axe-core-Prüfungen am Formular (Labels, Fehlermeldungen, Kontraste und mehr), ob das CAPTCHA barrierefrei ist, Honeypots, die Screenreader vorlesen, und wie sich das Formular auf dem Smartphone verhält – Tippflächen, Overlays über dem Absende-Button, horizontales Scrollen.

Passiv, transparent, rücksichtsvoll

Der anonyme Check ist passiv. Der Scanner liest Seiten; er füllt keine Felder aus, schickt kein einziges Formular ab und versucht nirgends, sich anzumelden. Niemand erhält eine Testnachricht, und nichts landet im Postfach oder in der Datenbank der Website. Außerdem verhält er sich wie ein höflicher Besucher: Er liest die robots.txt und hält sich daran, und er gibt sich als FormExposedBot zu erkennen, statt sich als gewöhnlicher Browser auszugeben. Wer diesen Namen in seinen Server-Logs findet, kann unter formexposed.com/bot nachlesen, was der Bot tut.

Geschützt, teilweise geschützt, ungeschützt

• Geschützt: Die gefundenen Formulare haben einen Schutz, der wirksam erscheint, und von außen sind keine nennenswerten Lücken zu erkennen.
• Teilweise geschützt: Es gibt Schutz, aber mit Lücken – etwa ein CAPTCHA, das mit einem Testschlüssel läuft, oder ein Formular ist geschützt und ein anderes nicht.
• Ungeschützt: Formularen fehlt ein erkennbarer Schutz, oder sie zeigen Schwächen, die Missbrauch leicht machen.

Die Stufe fasst zusammen, was von außen sichtbar ist; sie ist keine Garantie, weder in die eine noch in die andere Richtung. Berichte aus anonymen Checks sind bewusst nur kurz verfügbar und werden nicht von Suchmaschinen indexiert. Und weil jeder jede Domain eingeben kann, enthalten sie keine Details zu Schwachstellen: Der Bericht zeigt, dass etwas Aufmerksamkeit braucht, aber nicht die genaue Stelle, die ein Angreifer nutzen könnte. Diese Details sehen nur verifizierte Inhaber der Domain.

Was sich mit einer verifizierten Domain ändert

Zwei Punkte verdienen einen genaueren Blick. Aktive Prüfungen sind aus, solange Sie sie nicht einschalten, und es gibt sie nur für eine Domain, die Sie verifiziert haben. Der Scanner schickt dann einige wenige, deutlich gekennzeichnete Testeinsendungen ab, damit Sie und Ihr Team sie erkennen. Zusammen mit der Zustellprüfung beantwortet das eine Frage, die kein passiver Scan klären kann: Kommt eine Nachricht, die über das Formular abgeschickt wird, tatsächlich an? Das Monitoring dagegen ist darauf ausgelegt, ruhig zu bleiben. Sie erhalten einen Alarm – per E-Mail, Webhook, Slack, Discord, Telegram oder Google Chat – nur dann, wenn sich etwas ändert, zum Beispiel wenn nach einem Update das CAPTCHA verschwindet oder auf der Kontaktseite ein neues Tracking-Pixel auftaucht.

Wenn Sie sehen möchten, was der Scanner sieht, beginnen Sie mit dem kostenlosen Check auf formexposed.com: Domain eingeben, Bericht lesen. Gehört die Website Ihnen und möchten Sie die Details, ein regelmäßiges Monitoring und die Zustellprüfung, verifizieren Sie die Domain in einem Konto.