Forge QA Startseite
EN Kostenlos testen

Jeder Testlauf prüft Ihren Shop auch auf Spuren eines Hackerangriffs.

Während Ihre Tests durch den Shop klicken, achtet Forge QA auf die typischen Anzeichen einer gehackten Seite: Besucher, die auf einen gefälschten Shop umgeleitet werden, ein Skript, das Kartendaten kopiert, Code, der dort nichts zu suchen hat. Die Ergebnisse finden Sie im eigenen Tab „Security“, direkt neben den Testergebnissen.

  • In jedem Tarif enthalten. Ohne Zusatzmodul und ohne Aufpreis.
  • Ihr Test schlägt dadurch nie fehl. Eine Sicherheitswarnung wird nie mit „bestanden“ oder „fehlgeschlagen“ vermischt.
  • Keine Einrichtung nötig. Der Check läuft bei den Tests mit, die Sie schon haben.
Kostenlos testen Beispiel ansehen

Warum ein Testtool die Sicherheit prüft

Auch ein gehackter Shop besteht seine Tests.

Shops werden oft unbemerkt gehackt. Wird eine Theme-Datei, eine App oder ein Skript eines anderen Anbieters manipuliert, läuft der Shop ganz normal weiter. Produkte laden, der Warenkorb füllt sich, der Checkout öffnet sich. Gleichzeitig landen manche Besucher auf einer gefälschten Kopie des Shops, oder versteckter Code kopiert heimlich ihre Kartendaten.

Ein Uptime-Monitor sieht nur, dass die Seite lädt. Ein normaler Test sieht einen funktionierenden Checkout. Forge QA lässt Ihre bestehenden Tests genauer hinsehen: Jeder Testlauf prüft zusätzlich die Skripte, die die Seite lädt, und die Websites, die sie kontaktiert.

Das sehen Sie nach einem Testlauf

Ihre Testergebnisse stehen im eigenen Tab „Test results“: Schritte, Screenshots, Video und Logs. Die Sicherheitsergebnisse stehen im separaten Tab „Security“, der die Zahl der Befunde anzeigt. So wird ein „bestanden“ oder „fehlgeschlagen“ nie mit einer Sicherheitswarnung vermischt.

Jeder Befund nennt, was passiert ist, wie ernst es ist und welche Webadresse beteiligt war. Der Tab zeigt außerdem, wie viele Skripte geprüft wurden, ob Skripte von anderen Websites seit dem letzten Testlauf neu sind oder sich geändert haben, und die zweite Meinung der KI, falls sie nötig war.

Beispiel-Testlauf mit erfundenen Webadressen.

Worauf der Check achtet

Feste Regeln prüfen jede Seite, die Ihre Tests besuchen. Dieselbe Seite liefert immer dasselbe Ergebnis.

  • Besucher, die auf andere Websites umgeleitet werden, etwa auf eine gefälschte Kopie Ihres Shops.
  • Skripte, die Kartendaten abgreifen: Sie lesen die Kartenfelder aus und schicken die Daten weg.
  • Formulare, die Passwörter oder Kartendaten an eine andere Website senden statt an Ihre.
  • Versteckter Code, der sich selbst entpackt und ausführt.
  • Krypto-Miner, die die Seite bremsen und auf den Geräten Ihrer Besucher laufen.
  • Versteckte Frames, die eine andere Website in Ihre Seite laden.
  • Neue oder geänderte Skripte von anderen Websites seit dem letzten Testlauf, auch wenn sonst alles unauffällig ist.

Die KI als zweite Meinung. Finden die Regeln nichts, ist aber ein Skript von einer anderen Website seit dem letzten Testlauf neu oder geändert, sieht sich die KI dieses Skript an und schätzt ein, ob es schädlich wirkt. Sie bekommt nur die Adresse des Skripts und kurze Ausschnitte daraus zu sehen und lässt Ihren Test nie fehlschlagen.

Technische Details Alle Regeln, ihr Schweregrad und was gespeichert wird. Für Entwickler.

Deterministische Regeln, ausgeführt im Browser-Container während des Tests. Dasselbe Skript liefert jedes Mal dasselbe Ergebnis.

  • Hoch

    Weiterleitungen auf fremde Domains

    Die Seite versucht, Besucher auf eine Domain zu schicken, die nicht zu den freigegebenen Zielen der Website gehört. So leiten gekaperte Shops Kunden auf gefälschte Shops um.

  • Hoch

    Card-Skimmer-Muster

    Ein Drittanbieter-Skript liest Kartenfelder aus, kodiert die Daten und sendet sie nach außen: das Magecart-Muster. Skripte bekannter Zahlungsanbieter und von Shopify sind ausgenommen.

  • Hoch

    Formulare mit fremdem Ziel

    Ein Formular mit Passwort- oder Kartenfeldern sendet an eine andere Website statt an Ihre.

  • Hoch

    Verdeckte Code-Ausführung

    Ein Skript dekodiert einen String und führt ihn mit eval oder Function aus – ein gängiger Weg, eingeschleusten Code zu verstecken.

  • Hoch

    Krypto-Miner

    Bekannter Mining-Code für den Browser, der die Seite verlangsamt und auf den Geräten Ihrer Besucher läuft.

  • Mittel

    Versteckte Drittanbieter-Frames

    Ein unsichtbares iframe lädt einen anderen Origin, oft für Tracking oder eingeschleuste Inhalte.

  • Mittel

    Eingeschleustes Markup

    Ein Skript schreibt dekodiertes oder nicht escaptes Markup mit document.write in die Seite.

  • Mittel

    Skripte von reinen IP-Adressen

    Ein Skript wird von einer IP-Adresse statt von einem Domainnamen ausgeliefert.

  • Niedrig

    Nicht freigegebene Requests

    Die Seite hat einen Origin angefragt, der nicht zu den freigegebenen Abhängigkeiten der Website gehört. Einen Blick wert, oft harmlos.

  • Niedrig

    Verschleierter Code

    Stark obfuskierter Code (lange Folgen von Hex-Escapes), denn legitime Bundles sehen selten so aus.

Skript-Inventar

Jeder Testlauf erfasst bis zu 60 Skripte, die seine Seiten geladen haben, mit einem SHA-256-Hash pro Skript. Finden die Regeln nichts, vergleicht Forge QA die Hashes mit dem vorherigen Testlauf desselben Tests und erkennt so neue oder geänderte Drittanbieter-Skripte. Ein neues Drittanbieter-Skript im Checkout verdient einen Blick, auch wenn sonst nichts auffällt.

KI-Review

Regeln sind berechenbar und günstig, deshalb laufen sie immer zuerst. Finden sie nichts, ist aber ein Drittanbieter-Skript neu oder geändert, prüft die KI die riskanten Stellen dieses Skripts und beurteilt, ob es schädlich wirkt.

Das Modell sieht die URL des Skripts und kurze Ausschnitte rund um Aufrufe wie eval, atob, sendBeacon oder fetch, nicht das ganze Bundle. Die Ausschnitte dienen nur diesem Review; der Testlauf speichert URLs und Hashes. Das Urteil (unauffällig, verdächtig oder schädlich) erscheint mit seiner Begründung bei den Sicherheitsbefunden des Testlaufs und lässt Ihren Test nie fehlschlagen. Pro Testlauf prüft die KI bis zu acht Skripte, pro Workspace höchstens 30-mal am Tag. Ihre KI-Aktionen verbraucht das Review nicht.

Was der Check nicht leistet

Uns ist lieber, Sie kennen die Grenzen, als dass Sie ihm blind vertrauen.

  • Kein Penetrationstest und keine Prüfung Ihres Servers auf Schwachstellen.
  • Er sieht nur die Seiten, die Ihre Tests besuchen, und nur in den Browsern, in denen sie laufen.
  • Er blockiert nichts in Ihrem Live-Shop. Er informiert Sie, und Sie entscheiden.
  • Ein unauffälliges Ergebnis ist keine Garantie. Der Check ist ein zusätzliches Paar Augen bei jedem Testlauf.

In anderen Testtools nicht gefunden

Im Oktober 2026 haben wir die öffentlichen Websites und Dokumentationen von Reflect, Ghost Inspector, BugBug und mabl nach etwas Ähnlichem durchsucht: Skripte erkennen, die Kartendaten abgreifen, Drittanbieter-Skripte prüfen, Seiten auf Anzeichen eines Hackerangriffs scannen. Wir haben nichts Vergleichbares gefunden.

Alle Vergleiche ansehen

Ihr nächster Testlauf prüft auch die Sicherheit.

In der 7-tägigen Testphase und in jedem Tarif enthalten.

Kostenlos testen Alle Funktionen