Neun Bereiche. Ein nachvollziehbarer Standard.

Ausgangspunkt

Dokumentiert, breit und nachweisbar

Wir bewerten für jede Website den vollständigen festen Rahmen. Die Basisprüfungen werden immer durchgeführt; eine funktionsbezogene Prüfung wird nur dann mit Begründung als nicht anwendbar erfasst, wenn diese Funktion nachweislich nicht vorhanden ist.

OWASP ASVS 5.0.0, Artikel 32 DSGVO und das belgische CyberFundamentals Framework 2025 dienen als inhaltliche Referenzen für den Kontrollrahmen.

Prüfbereiche

83 Feste Kontrollpunkte in neun Bereichen

Alle Kontrollpunkte sind im Voraus festgelegt und öffentlich sichtbar. Wir protokollieren für jeden Punkt einzeln, ob er bestanden wurde, einen Befund liefert oder nachweislich nicht zutrifft.

Neun ist die Anzahl der Sicherheitsdomänen, nicht die Anzahl der Tests. Jeder Kontrollpunkt umfasst mehrere anwendbare Testszenarien. Die C9-Nummern behalten ihre ursprünglichen Aktenreferenzen. Version 1.2 lässt die frühere Anforderung K10-04 für Überwachung und rechtzeitige Warnungen bei Ausfällen, Missbrauch und Sicherheitsvorfällen weg. Dadurch bleiben 83 Kontrollpunkte übrig. Normales Hosting, Backups und Vorfallbearbeitung bleiben bestehen.

C9-01 - Prüfumfang, Architektur und sichere Vorbereitung

Wir erfassen die gesamte Website, ihre Funktionen und die sicheren Testbedingungen, bevor die Untersuchung beginnt.

• C9-01.001 Die genaue Domain, alle zugehörigen Subdomains und alle Website-Umgebungen wurden erfasst.Dossierreferenz: K01-01
• C9-01.002 Der Eigentümer oder ein berechtigter Auftraggeber hat die Untersuchung schriftlich genehmigt.Dossierreferenz: K01-02
• C9-01.003 Öffentliche Seiten, Verwaltungsfunktionen, Konten, Formulare, APIs und angebundene Dienste sind dokumentiert.Dossierreferenz: K01-03
• C9-01.004 Benutzerrollen, wichtige Aktionen und geschäftskritische Besucherabläufe wurden erfasst.Dossierreferenz: K01-04
• C9-01.005 Personenbezogene Daten, Datenflüsse und externe Empfänger der Website wurden erfasst.Dossierreferenz: K01-05
• C9-01.006 Erforderliche Testkonten und temporäre Zugänge werden sicher, persönlich und nachvollziehbar bereitgestellt.Dossierreferenz: K01-06
• C9-01.007 Sichere Testfenster, Notfallkontakte und Vereinbarungen zum Schutz des Geschäftsbetriebs sind bestätigt.Dossierreferenz: K01-07
• C9-01.008 Verfügbare Backups, Wiederherstellungsmöglichkeiten und ein Rücksetzverfahren wurden vor Änderungen geprüft.Dossierreferenz: K01-08

C9-02 - Infrastruktur, Konfiguration und Browsersicherheit

Wir prüfen, was öffentlich erreichbar ist und wie Domain, Hosting, Server, Cloud und Browsersicherheit eingestellt sind.

• C9-02.001 DNS, HTTPS, TLS-Zertifikate und Weiterleitungen führen Besucher sicher zur vorgesehenen Domain.Dossierreferenz: K02-01
• C9-02.002 Öffentlich erreichbare Subdomains, Dienste, Ports und Verwaltungszugänge sind bekannt und notwendig.Dossierreferenz: K02-02
• C9-02.003 Hosting-, Cloud- und Servereinstellungen begrenzen den Zugriff nach dem Prinzip der geringsten Rechte.Dossierreferenz: K02-03
• C9-02.004 Browser-Header schützen vor unerwünschtem Laden, Einbetten, Interpretieren und Weitergeben von Informationen.Dossierreferenz: K02-04
• C9-02.005 Zulässige Ursprünge für Browser- und API-Verkehr sind ausdrücklich und so eng wie möglich festgelegt.Dossierreferenz: K02-05
• C9-02.006 Fehlermeldungen, Debugging-Funktionen und Statusseiten geben keine sensiblen technischen Informationen preis.Dossierreferenz: K02-06
• C9-02.007 Temporäre Dateien, Backups, Source Maps, Konfigurationsdateien und Entwicklungswerkzeuge sind nicht öffentlich erreichbar.Dossierreferenz: K02-07
• C9-02.008 Caching und Zwischenschichten verhindern, dass persönliche oder vertrauliche Inhalte an falsche Besucher gelangen.Dossierreferenz: K02-08

C9-03 - Identität, Sitzungen und Zugriffsrechte

Wir bewerten, wie sich Benutzer und Administratoren anmelden, ihr Konto wiederherstellen und angemeldet bleiben. Wir überprüfen, dass jeder Benutzer nur auf erlaubte Daten und Aktionen zugreifen kann.

• C9-03.001 Anmeldung und Registrierung prüfen die Identität, ohne unnötige Kontoinformationen offenzulegen.Dossierreferenz: K03-01
• C9-03.002 Passwortregeln, Speicherung und Änderungsprozesse unterstützen starke und eindeutige Passwörter.Dossierreferenz: K03-02
• C9-03.003 Verwaltungskonten und andere sensible Rollen verwenden eine geeignete Mehrfaktorauthentifizierung.Dossierreferenz: K03-03
• C9-03.004 E-Mail-Verifizierung und Kontowiederherstellung verwenden temporäre, einmalige und sicher zugestellte Links oder Codes.Dossierreferenz: K03-04
• C9-03.005 Sitzungscookies sind geschützt, auf die richtige Umgebung begrenzt und für unerwünschte Skripte unzugänglich.Dossierreferenz: K03-05
• C9-03.006 Sitzungen werden nach der Anmeldung und sensiblen Änderungen erneuert und können nicht mithilfe einer zuvor bekannten Sitzung übernommen werden.Dossierreferenz: K03-06
• C9-03.007 Abmeldung, automatischer Ablauf, Passwortänderung und Kontosperrung beenden bestehende Zugänge korrekt.Dossierreferenz: K03-07
• C9-03.008 Wiederholte Anmeldeversuche und automatisierter Kontomissbrauch werden begrenzt, protokolliert und angemessen nachverfolgt.Dossierreferenz: K03-08
• C9-03.009 Jede geschützte Seite, API und Aktion prüft Rechte auf dem Server und nicht nur in der Oberfläche.Dossierreferenz: K04-01
• C9-03.010 Benutzer können nur ihre eigenen Daten, Dokumente, Bestellungen und sonstigen Objekte ansehen oder ändern.Dossierreferenz: K04-02
• C9-03.011 Rollen und Rechte folgen dem Prinzip der geringsten Rechte und werden in allen Bereichen der Website konsequent angewendet.Dossierreferenz: K04-03
• C9-03.012 Verwaltungsfunktionen und sensible Aktionen sind nur für ausdrücklich berechtigte Konten zugänglich.Dossierreferenz: K04-04
• C9-03.013 Daten verschiedener Organisationen, Kunden oder Arbeitsbereiche bleiben technisch voneinander getrennt.Dossierreferenz: K04-05
• C9-03.014 Dateilinks, Exporte und Downloads führen dieselbe Zugriffskontrolle wie die zugehörige Webseite durch.Dossierreferenz: K04-06
• C9-03.015 Deaktivierte Konten und widerrufene Rollen verlieren sofort ihren bisherigen Zugriff.Dossierreferenz: K04-07
• C9-03.016 Hintergrundaufgaben, Integrationen und Systemkonten erhalten nur die Rechte, die ihre konkrete Funktion erfordert.Dossierreferenz: K04-08

C9-04 - Eingaben, APIs und Dateiverarbeitung

Wir prüfen, wie die Website Daten empfängt, verarbeitet, anzeigt, weiterleitet und als Dateien behandelt.

• C9-04.001 Alle Eingaben werden auf dem Server auf zulässiges Format, Länge, Typ und Bedeutung geprüft.Dossierreferenz: K05-01
• C9-04.002 Datenbankabfragen, Befehle und Vorlagen verarbeiten Eingaben, ohne Daten als Anweisungen auszuführen.Dossierreferenz: K05-02
• C9-04.003 Angezeigte Inhalte werden geeignet kodiert, damit eingegebener Text nicht zu unerwünschtem Browsercode wird.Dossierreferenz: K05-03
• C9-04.004 Aktionen, die Daten oder Einstellungen ändern, sind vor Anfragen von unerwünschten Websites geschützt.Dossierreferenz: K05-04
• C9-04.005 Datei-Uploads begrenzen Typ, Größe, Namen und Speicherort und werden sicher verarbeitet oder isoliert.Dossierreferenz: K05-05
• C9-04.006 Downloads und Dateipfade können nur auf zulässige Dateien im vorgesehenen Speicher zugreifen.Dossierreferenz: K05-06
• C9-04.007 APIs prüfen Methoden, Datenstrukturen, Inhaltstypen, Fehler, Zugriffsrechte und Anfragehäufigkeit konsequent.Dossierreferenz: K05-07
• C9-04.008 Webhooks, Weiterleitungen und ausgehende Serververbindungen akzeptieren nur vertrauenswürdige Ziele und gültige Nachrichten.Dossierreferenz: K05-08

C9-05 - Privatsphäre und Datenschutz

Wir vergleichen die tatsächliche Datenverarbeitung der Website mit ihren Datenschutzinformationen und den geltenden DSGVO-Pflichten.

• C9-05.001 Personenbezogene Daten, Kategorien betroffener Personen, Quellen, Zwecke, Empfänger und Speicherorte sind vollständig erfasst.Dossierreferenz: K06-01
• C9-05.002 Für jede websitebezogene Verarbeitung sind Erforderlichkeit, Rechtsgrundlage und gegebenenfalls Bedingungen für sensible Daten begründet.Dossierreferenz: K06-02
• C9-05.003 Die Datenschutzerklärung beschreibt verständlich und aktuell, was die Website tatsächlich mit personenbezogenen Daten macht.Dossierreferenz: K06-03
• C9-05.004 Formulare, Konten und Standardeinstellungen erfragen und zeigen nur personenbezogene Daten, die für den Zweck erforderlich sind.Dossierreferenz: K06-04
• C9-05.005 Cookies, Pixel und andere Tracker sind korrekt kategorisiert; erforderliche Einwilligungen werden im Voraus, freiwillig und nachweisbar eingeholt.Dossierreferenz: K06-05
• C9-05.006 Die Einwilligung kann genauso leicht widerrufen wie erteilt werden, und die Website respektiert die geänderte Auswahl.Dossierreferenz: K06-06
• C9-05.007 Aufbewahrungsfristen und Löschprozesse funktionieren nachweislich für Anwendungsdaten, Uploads, Protokolle und relevante Backups.Dossierreferenz: K06-07
• C9-05.008 Website-Prozesse unterstützen Anträge auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch, soweit anwendbar.Dossierreferenz: K06-08
• C9-05.009 Websitebezogene Auftragsverarbeiter, externe Dienste und internationale Übermittlungen sind bekannt und durch geeignete Vereinbarungen oder Garantien abgesichert.Dossierreferenz: K06-09
• C9-05.010 Datenschutz durch Technikgestaltung, Rechenschaftsnachweise, ein möglicher Bedarf an einer DSFA und die Vorbereitung auf eine websitebezogene Datenschutzverletzung wurden bewertet.Dossierreferenz: K06-10

C9-06 - Geheimnisse und Kryptografie

Wir bewerten, wie Passwörter, Schlüssel, Token und sensible Daten während ihrer gesamten Lebensdauer geschützt werden.

• C9-06.001 Schlüssel, Token und Passwörter stehen nicht in Browsercode, öffentlichen Dateien, Quellcodeverlauf oder Protokollen.Dossierreferenz: K07-01
• C9-06.002 Geheimnisse werden zentral verwaltet, nur begrenzt zugänglich gehalten und bei Bedarf sicher ersetzt.Dossierreferenz: K07-02
• C9-06.003 Passwörter werden mit einer geeigneten, langsamen und aktuellen Passwort-Hashfunktion gespeichert.Dossierreferenz: K07-03
• C9-06.004 Sensible Daten sind während der Übertragung durch aktuelle Verschlüsselung und korrekte Zertifikatsprüfung geschützt.Dossierreferenz: K07-04
• C9-06.005 Sensible gespeicherte Daten werden verschlüsselt, wenn Risiko und Nutzung dies erfordern.Dossierreferenz: K07-05
• C9-06.006 Kryptografische Algorithmen, Schlüssellängen und Einstellungen sind aktuell und werden für ihren vorgesehenen Zweck verwendet.Dossierreferenz: K07-06
• C9-06.007 Sicherheitstoken und Wiederherstellungscodes sind unvorhersehbar, zeitlich begrenzt gültig, bei Bedarf einmalig nutzbar und sicher widerrufbar.Dossierreferenz: K07-07
• C9-06.008 Vertrauliche Werte erscheinen nicht in Webadressen, ungeschütztem Browserspeicher, Analysedaten oder gemeinsam genutzten Caches.Dossierreferenz: K07-08

C9-07 - Abhängigkeiten und Softwarelieferkette

Wir prüfen Herkunft, Aktualität und Sicherheit von Paketen, externen Skripten sowie des Build- und Veröffentlichungsprozesses.

• C9-07.001 Anwendungspakete, Laufzeitumgebungen, externe Skripte und andere Abhängigkeiten sind vollständig und reproduzierbar erfasst.Dossierreferenz: K08-01
• C9-07.002 Bekannte Schwachstellen und nicht mehr unterstützte Versionen wurden ermittelt und entsprechend ihrem Risiko behandelt.Dossierreferenz: K08-02
• C9-07.003 Versionen und Lockfiles verhindern unerwartete Änderungen während Installation und Build.Dossierreferenz: K08-03
• C9-07.004 Abhängigkeiten stammen aus vertrauenswürdigen Quellen; unnötige Pakete oder Skripte wurden entfernt.Dossierreferenz: K08-04
• C9-07.005 Externe Browserskripte sind begrenzt, geprüft und durch geeignete Browserregeln abgesichert.Dossierreferenz: K08-05
• C9-07.006 Der Build- und Veröffentlichungsprozess schützt Quellcode, Artefakte, Freigaben und Produktionsdaten vor unerwünschten Änderungen.Dossierreferenz: K08-06
• C9-07.007 Automatisierungskonten und CI/CD-Geheimnisse haben minimale Rechte und werden nicht unnötig mit externem Code geteilt.Dossierreferenz: K08-07
• C9-07.008 Entwicklungs-, Test- und Diagnosewerkzeuge sind von der Produktion getrennt und können nicht öffentlich aktiviert werden.Dossierreferenz: K08-08

C9-08 - Geschäftslogik und Schutz vor Missbrauch

Wir testen, ob wichtige Website-Prozesse auch bei unerwarteter, automatisierter oder missbräuchlicher Nutzung sicher bleiben.

• C9-08.001 Wichtige Benutzerabläufe erzwingen die vorgesehene Reihenfolge, Bedingungen und zulässigen Statusübergänge.Dossierreferenz: K09-01
• C9-08.002 Preise, Rabatte, Mengen, Rechte und andere geschäftliche Werte werden vom Server validiert.Dossierreferenz: K09-02
• C9-08.003 Zahlungen, Bestellungen, Reservierungen und ähnliche Aktionen werden nicht unbeabsichtigt doppelt oder in falscher Reihenfolge verarbeitet.Dossierreferenz: K09-03
• C9-08.004 Grenzen für Anfragen, Konten, Bestände, Nutzung oder Vorteile lassen sich nicht leicht umgehen.Dossierreferenz: K09-04
• C9-08.005 Einladungen, Freigaben, Stornierungen und Kontoänderungen prüfen jeweils die aktuellen Berechtigungen und den Status.Dossierreferenz: K09-05
• C9-08.006 Formulare und öffentliche Funktionen sind angemessen vor Spam, massenhaftem Missbrauch und automatisiertem Betrug geschützt.Dossierreferenz: K09-06
• C9-08.007 Gleichzeitige Anfragen und wiederholte Nachrichten verursachen keine doppelten Vorteile oder inkonsistenten Daten.Dossierreferenz: K09-07
• C9-08.008 Ergebnisse von Zahlungsanbietern, Identitätsdiensten und anderen externen Parteien werden unabhängig und serverseitig bestätigt.Dossierreferenz: K09-08

C9-09 - Erkennung, Vorfälle und Wiederherstellung

Wir bewerten nutzbare Protokolle, Vorfallbearbeitung, Backups und nachweisbare Wiederherstellung.

• C9-09.001 Anmeldungen, Verwaltungsaktionen, Rechteänderungen, Aktionen mit sensiblen Daten und Sicherheitsereignisse werden nachvollziehbar protokolliert.Dossierreferenz: K10-01
• C9-09.002 Protokolle enthalten keine Passwörter, Token oder mehr personenbezogene Daten, als für Sicherheit und Nachverfolgung erforderlich sind.Dossierreferenz: K10-02
• C9-09.003 Zugriff, Integrität, Aufbewahrungsfrist und Zeitangaben der Protokolle unterstützen verlässliche Untersuchungen.Dossierreferenz: K10-03
• C9-09.005 Backups werden automatisch, verschlüsselt, ausreichend getrennt und nach einem festen Aufbewahrungsplan erstellt.Dossierreferenz: K10-05
• C9-09.006 Die Wiederherstellung aus einem Backup wurde kürzlich getestet und erfüllt die vereinbarten Wiederherstellungsziele für Website und Daten.Dossierreferenz: K10-06
• C9-09.007 Ein Vorfallplan legt Meldewege, Verantwortlichkeiten, Beweissicherung und sichere Notfallmaßnahmen fest.Dossierreferenz: K10-07
• C9-09.008 Der Prozess für Datenschutzverletzungen unterstützt die rechtzeitige Bewertung, Dokumentation und erforderliche Meldung oder Kommunikation nach der DSGVO.Dossierreferenz: K10-08
• C9-09.009 Neue Versionen können kontrolliert veröffentlicht, überwacht und bei Bedarf sicher zurückgesetzt werden.Dossierreferenz: K10-09
• C9-09.010 Nach einem Vorfall oder einer wichtigen Änderung werden Ursachen, Korrekturen und erneute Tests nachweislich nachverfolgt.Dossierreferenz: K10-10

Vom Signal zum Beweis

Untersuchung, Behebung und Entscheidung haben jeweils ihre eigene Aufgabe

Automatisierte Prüfungen

Wiederholbare Prüfungen von Konfiguration, Code, Abhängigkeiten und erreichbaren Funktionen liefern Hinweise. Ein Scanergebnis ist noch kein bestätigter Befund.

Gezielte Untersuchung

Mit geeigneten Werkzeugen, Testkonten und sicheren Testdaten untersuchen wir unter anderem Rechte, Konten, Geschäftslogik und Missbrauchsszenarien.

Kontextbezogene Bewertung

Code, Architektur, Datenflüsse und Arbeitsprozesse bestimmen die Testszenarien für jeden Kontrollpunkt. Fehlender Zugang bleibt eine Einschränkung und gilt nie automatisch als nicht anwendbar.

Vereinbarte Behebung

Wir beheben Probleme im Rahmen des vereinbarten Auftrags oder unterstützen Ihren Entwickler. Arbeiten außerhalb des Auftrags werden vorab besprochen.

Erneute Prüfung

Jede umgesetzte Korrektur wird erneut getestet. Wir dokumentieren die Nachweise und gegebenenfalls verbleibende Einschränkungen und prüfen wichtige Benutzerabläufe.

Zertifizierungsentscheidung

Charter Nine bestätigt, dass die Untersuchung und die erforderliche Behebung abgeschlossen sind und der erneute Test erfolgreich war. Nur wenn die geltenden Anforderungen erfüllt und bestätigte Befunde behoben sind, kann die Domain C9 Verified erhalten.

Feste Anwendung

Ein fester Standard für jede Website

Vollständige Basis

Die Basiskontrollen für Angriffsfläche, Code, Konfiguration, Abhängigkeiten, Datenschutz, Protokollierung und Wiederherstellung werden bei jeder Website durchgeführt.

Automatische Funktionsmodule

Konten, Rollen, Formulare, Uploads, Zahlungen, APIs, externe Dienste und andere vorhandene Funktionen machen ihre festen zusätzlichen Kontrollen automatisch verpflichtend.

Nachvollziehbares Ergebnis

Wir bewerten die zutreffenden Anforderungen und kommunizieren Feststellungen und Einschränkungen. Charter Nine bestätigt den Abschluss der Untersuchung, notwendige Korrekturen und den bestandenen Retest. Fehlender Zugang wird nicht als nicht zutreffend gezählt.

Zulassungsbeschluss

Die vier Säulen einer positiven Zertifikatsentscheidung

• Vollständige BewertungAlle 83 Kontrollpunkte haben ein nachvollziehbares Ergebnis gemäß denselben festen Entscheidungsregeln.
• Behebung bestätigter BefundeDie vereinbarte Behebung von Sicherheits- und Datenschutzbefunden wurde durchgeführt und das Ergebnis vor der Ausstellung des Zertifikats durch einen erfolgreichen Nachtest untermauert.
• Technischer RetestJede Korrektur wurde erneut geprüft, und die wichtigen Benutzerabläufe funktionieren nach der Behebung wie vorgesehen.
• Überprüfbare EntscheidungDomain, Kontrolltermin, Rahmenversion, Gültigkeitsdauer und der Ausstellungsbeschluss werden zusammen im Zertifikatsdossier festgehalten.

Öffentliche Statusregeln

Der Status folgt dem aktuellen Nachweis

Gültig

Der letzte Retest ist bestanden und die Bestätigung gilt bis zum angegebenen Ablaufdatum.

Behebung erforderlich

Ein neuer nichtkritischer Befund wurde bestätigt. Die festgelegte Frist für Behebung und erneute Prüfung beträgt höchstens 30 Kalendertage und endet spätestens am Ablaufdatum. Das gehostete Abzeichen bleibt währenddessen verborgen. Ohne rechtzeitige erfolgreiche erneute Prüfung wird das Zertifikat ausgesetzt oder läuft ab.

Ausgesetzt

Eine kritische oder andere Situation, die die Anzeige des Abzeichens verhindert, erfordert sofortiges Handeln. Das Abzeichen darf nicht als gültig dargestellt werden.

Abgelaufen

Das Ablaufdatum ist erreicht, ohne dass eine rechtzeitige erfolgreiche Nachkontrolle stattgefunden hat.

Zurückgezogen

Die Bedingungen wurden nicht eingehalten, die Behebung wurde verweigert oder das Nutzungsrecht wurde beendet.

Überprüfbarer Inhalt

Was das Zertifikat konkret umfasst

• Die genau untersuchte Domain und der Prüfungsumfang.
• Das Datum des letzten erfolgreichen Retests.
• Die angewandte Version dieses Kontrollrahmens.
• Der aktuelle Status und die Gültigkeitsdauer.
• Die Ausstellung durch Charter Nine.