TL;DR. Ein Timeout ist keine Sicherheitslücke, aber viele Sicherheitswerkzeuge melden ihn als eine. Solche Fehlalarme sind gefährlicher als eine fehlende Prüfung, weil sie dazu führen, dass der ganze Report ignoriert wird.
| Das Problem | Wenn eine Prüfung keine Antwort bekommt, melden viele Werkzeuge ein Sicherheitsproblem. Der Befund ist dann geraten, nicht gemessen. |
| Die Folge | Alarmmüdigkeit. Wer 3 von 10 Meldungen als falsch erlebt hat, prüft die übrigen 7 nicht mehr. |
| Die ehrliche Antwort | Ein dritter Zustand: nicht feststellbar. Er fließt nicht in die Bewertung ein, weder positiv noch negativ. |
| So macht es unser Plugin | Der kostenlose Security Check Report kennt diesen Zustand für jede seiner 60 Prüfungen. |
Veröffentlicht: 06.09.2026 · Letzte Aktualisierung: 06.09.2026
Sie öffnen den Sicherheitsbericht einer WordPress-Site und sehen rot: „SSL-Konfiguration unsicher“. Sie prüfen das Zertifikat von Hand, es ist gültig, die Verschlüsselung stimmt, alles in Ordnung. Was ist passiert? Der Prüfserver des Werkzeugs hat Ihre Site angefragt, die Antwort kam nicht innerhalb der Wartezeit an, und das Werkzeug hat aus „keine Antwort“ ein „unsicher“ gemacht. Der Befund war kein Messergebnis. Er war eine Vermutung.
Dieses Muster ist in der Klasse der Sicherheits- und Audit-Werkzeuge weit verbreitet, und zwar unabhängig vom Hersteller. Es betrifft externe Scanner genauso wie Plugins, die von innen prüfen. Der Grund ist eine Design-Entscheidung: Viele Prüfungen kennen nur 2 Ergebnisse, bestanden oder durchgefallen. Für den Fall „wir wissen es nicht“ gibt es keinen Platz, also wird er auf einen der beiden Zustände abgebildet. Meistens auf den schlechten, denn das wirkt vorsichtig.
Warum ein Fehlalarm mehr Schaden anrichtet als eine fehlende Prüfung
Auf den ersten Blick klingt „im Zweifel Alarm“ nach der sicheren Variante. In der Praxis ist das Gegenteil der Fall, und der Mechanismus dahinter hat einen Namen: Alarmmüdigkeit.
Ein Sicherheitsbericht lebt vollständig von seinem Vertrauensvorschuss. Beim ersten falschen Befund recherchieren Sie noch und stellen fest, dass nichts war. Beim zweiten ärgern Sie sich. Ab dem dritten haben Sie ein Muster gelernt: Rot in diesem Report bedeutet nicht „Problem“, sondern „vielleicht Problem, wahrscheinlich nicht“. Von diesem Punkt an lesen Sie den Bericht anders oder gar nicht mehr. Und genau dann rutscht der eine echte Befund durch, der zwischen den Fehlalarmen steht.
Eine fehlende Prüfung dagegen kostet Sie genau eine Information. Das ist nicht gut, aber es ist ein begrenzter, benennbarer Verlust. Ein Fehlalarm kostet Sie das Vertrauen in alle übrigen Befunde. Er entwertet nicht eine Zeile des Reports, sondern den Report als Ganzes.
Für Agenturen und Freelancer, die Kundensites betreuen, kommt eine zweite Ebene dazu. Wenn Sie einem Kunden auf Basis eines Reports eine Maßnahme berechnen und der Befund stellt sich als Timeout-Artefakt heraus, haben Sie ein Glaubwürdigkeitsproblem, das mit dem Werkzeug nichts mehr zu tun hat. Es klebt an Ihnen.
Wie aus einem Timeout ein falscher Befund wird
Technisch passiert dabei Folgendes. Viele Prüfungen brauchen eine Netzwerkantwort: Ist die Site per HTTPS erreichbar, antwortet die REST-Schnittstelle, ist eine bestimmte Datei wie wp-config.php.bak von außen abrufbar, liefert api.wordpress.org die aktuelle Versionsnummer. Jede dieser Anfragen kann aus Gründen scheitern, die mit Sicherheit nichts zu tun haben:
- Der Hoster blockiert ausgehende HTTP-Anfragen oder erlaubt sie nur zu einer Positivliste von Zielen. Bei Shared Hosting im DACH-Raum ist das eine gängige Härtungsmaßnahme, also ein Zeichen für mehr Sicherheit, nicht für weniger.
- Eine Firewall oder ein Bot-Schutz vor der Site beantwortet die Anfrage des Prüfwerkzeugs mit einem Fehlercode oder gar nicht. Die Site tut damit genau das, wofür die Firewall da ist.
- Der Server steht unter Last und antwortet erst nach 8 Sekunden, das Werkzeug wartet aber nur 5. Das ist ein Performance-Thema, kein Sicherheitsthema.
- Eine DNS-Auflösung schlägt kurzzeitig fehl oder ein Wartungsfenster beim Hoster fällt zufällig auf den Prüfzeitpunkt.
In allen 4 Fällen ist die korrekte Aussage: Diese eine Prüfung konnte gerade nicht durchgeführt werden. Ein Werkzeug mit nur 2 Zuständen kann diese Aussage nicht treffen. Es muss sich entscheiden, und beide Entscheidungen sind falsch. Meldet es „bestanden“, verschweigt es eine Wissenslücke. Meldet es „durchgefallen“, erfindet es ein Problem. Besonders heikel wird es, wenn das Ergebnis in eine Gesamtnote einfließt: Dann verändert ein Lastproblem des Servers die Sicherheitsbewertung der Website, und die Note schwankt von Lauf zu Lauf, ohne dass sich an der Konfiguration irgendetwas geändert hat.
Der dritte Zustand: nicht feststellbar
Die Lösung ist unspektakulär und gerade deshalb selten: Man gesteht dem Werkzeug einen dritten Zustand zu. Bestanden, durchgefallen, nicht feststellbar.
Genau so haben wir es in unserem kostenlosen Plugin Security Check Report umgesetzt. Das Plugin führt 60 rein lesende Konfigurationsprüfungen durch und errechnet daraus eine gewichtete Note von A bis F. Bekommt eine Prüfung keine verwertbare Antwort, etwa weil der Hoster ausgehende Anfragen blockiert, meldet sie „nicht feststellbar“. Und der entscheidende Teil: Dieses Ergebnis fließt nicht in die Note ein, weder positiv noch negativ. Die Bewertung stützt sich ausschließlich auf das, was tatsächlich gemessen wurde.
Das fühlt sich beim Bauen eines Werkzeugs zunächst wie ein Eingeständnis an. Ein Report, in dem „nicht feststellbar“ steht, wirkt weniger vollständig als einer, in dem jede Zeile grün oder rot ist. Aber er ist ehrlicher, und Ehrlichkeit ist bei einem Audit-Werkzeug keine Stilfrage, sondern die Kernfunktion. Ein Audit, dessen Befunde teilweise geraten sind, ist kein Audit.
Zur Einordnung: Security Check Report ist ein Konfigurations-Audit, keine Firewall und kein Malware-Scanner. Es blockiert nichts und entfernt nichts, es prüft die Einstellungen Ihrer WordPress-Installation und sagt Ihnen, welche 5 Maßnahmen Sie zuerst angehen sollten. Eine Firewall schützt vor dem, was hereinkommt. Dieses Plugin prüft, was schon offen steht. Beide Werkzeugklassen ergänzen sich und ersetzen einander nicht.
Woran Sie einen brauchbaren Sicherheitsreport erkennen
Der Umgang mit Timeouts ist ein guter Lackmustest für Werkzeug-Qualität insgesamt, denn er zeigt, ob die Entwickler über den unglücklichen Fall nachgedacht haben. Übertragbar auf jedes Audit-Werkzeug, egal von wem, können Sie 5 Fragen stellen:
- Kennt es einen dritten Zustand? Provozieren Sie einen Fehlschlag, etwa indem Sie den Scan während hoher Serverlast laufen lassen. Wird daraus ein Sicherheitsbefund oder ein „nicht prüfbar“?
- Ist die Bewertung stabil? Lassen Sie denselben Scan 3 Mal im Abstand von Minuten laufen, ohne etwas zu ändern. Schwankt die Note, bewertet das Werkzeug Tagesform statt Konfiguration.
- Sagt jeder Befund, was gemessen wurde? „SSL unsicher“ ist eine Behauptung. „Der Server bietet TLS 1.0 an“ ist ein Messwert, den Sie nachprüfen können.
- Priorisiert es? 60 gleichrangige Zeilen sind kein Arbeitsplan. Ein brauchbarer Report sagt, welche 3 bis 5 Punkte zuerst drankommen und warum.
- Können Sie Befunde begründet akzeptieren? Manche Meldungen sind auf einer konkreten Site bewusst so gewollt. Ein gutes Werkzeug lässt Sie das festhalten, ohne für den Punkt dauerhaft blind zu werden.
Ein Werkzeug, das diese 5 Fragen besteht, dürfen Sie ernst nehmen. Eines, das schon an der ersten scheitert, wird Sie früher oder später mit Fehlalarmen trainieren, seine Berichte zu ignorieren. Das ist der teuerste Zustand, den ein Sicherheitswerkzeug erreichen kann.
Häufige Fragen
Ist ein Timeout nicht trotzdem ein Warnsignal?
Ein Warnsignal ja, ein Sicherheitsbefund nein. Ein Timeout sagt: Hier konnte gerade nicht gemessen werden. Das kann ein Lastproblem sein, eine restriktive Hosting-Konfiguration oder ein Wartungsfenster. Es lohnt sich, der Ursache nachzugehen. Aber es rechtfertigt keine schlechtere Sicherheitsnote, denn über die Konfiguration der Website sagt es nichts aus.
Wäre „im Zweifel Alarm“ nicht die vorsichtigere Strategie?
Nur auf dem Papier. Jeder Fehlalarm senkt die Wahrscheinlichkeit, dass der nächste echte Alarm ernst genommen wird. Ein Werkzeug, dessen Meldungen zu einem messbaren Teil falsch sind, wird nach wenigen Wochen gar nicht mehr gelesen. Damit ist der Schutzeffekt aller korrekten Befunde ebenfalls verloren.
Was mache ich, wenn mein Report „nicht feststellbar“ zeigt?
Zuerst den Grund klären: Blockiert der Hoster ausgehende Anfragen, steht eine Firewall dazwischen, war der Server überlastet? In vielen Fällen ist die Ursache harmlos oder sogar eine gewollte Härtung. Lässt sich die Ursache beheben, liefert der nächste Lauf ein echtes Messergebnis. Wichtig ist nur: Der Punkt ist offen, nicht bestanden und nicht durchgefallen.
Prüft Security Check Report von außen oder von innen?
Von innen, als Plugin in Ihrer WordPress-Installation, rein lesend. Externe Verbindungen baut es ausschließlich zu api.wordpress.org und zur eigenen Site auf, Telemetrie gibt es keine. Es ist kostenlos, unter GPLv2 lizenziert und ohne Pro-Version oder Upsell. Sie finden es im WordPress-Verzeichnis, der Quelltext liegt offen auf GitHub.
Weiterführend
Wie ein Konfigurations-Audit in eine umfassende Sicherheitsstrategie passt und welche Maßnahmen wir für betreute WordPress-Sites standardmäßig umsetzen, lesen Sie auf unserer Seite zur WordPress-Sicherheit. Wenn Ihre Website akut kompromittiert ist, hilft ein Audit allein nicht weiter. Für diesen Fall gibt es unsere Soforthilfe bei gehackten WordPress-Websites.