Das Grundprinzip

Jede der drei Kategorien – TLS und Zertifikat, Security-Header sowie E-Mail – beginnt mit 100 Punkten. Festgestellte Schwächen führen zu Abzügen. Kritische Befunde begrenzen zusätzlich die maximal erreichbare Punktzahl: Ein abgelaufenes Zertifikat auf 39 Punkte (F), ein selbstsigniertes Zertifikat auf 69 Punkte (C) und die Unterstützung von TLS 1.0 oder 1.1 auf 79 Punkte (B). Damit kann eine gute Cipher-Konfiguration ein nicht vertrauenswürdiges Zertifikat nicht ausgleichen. Die Buchstabennote wird direkt aus der erreichten Punktzahl abgeleitet.

Befunde werden abhängig vom Schweregrad als kritisch oder als Warnung eingestuft und im Bericht rot beziehungsweise gelb dargestellt. Diese Einstufung hilft bei der Priorisierung unabhängig vom numerischen Punktabzug.

Die Gesamtpunktzahl ist ein gewichteter Durchschnitt der drei Kategorien; TLS wird am stärksten gewichtet, danach folgen Header und E-Mail. Nicht zutreffende oder im Formular deaktivierte Kategorien werden nicht berücksichtigt. Eine Domain ohne eigenen Mailbetrieb wird daher nicht wegen fehlender SPF- oder DMARC-Einträge abgewertet.

TLS & Zertifikat

• Ein abgelaufenes Zertifikat, oder eines, das den gescannten Hostnamen nicht abdeckt, deckelt den Score bei 39 (F).
• Ein selbstsigniertes Zertifikat, oder eine Kette, der gängige Trust Stores nicht vertrauen, deckelt bei 69 (C).
• Wenn der Server weiterhin TLS 1.0 oder TLS 1.1 akzeptiert, deckelt das bei 79 (B).
• Unterstützt der Server weder TLS 1.2 noch TLS 1.3, ist die Bewertung auf 39 Punkte (F) begrenzt.
• Jede Cipher Suite in unserem Katalog wird einzeln geprüft - ein echter TLS-1.2-Handshake, festgelegt auf genau diese eine Suite, dieselbe Technik, die openssl s_client -cipher verwendet - und als secure, weak oder forward-secrecy-los/broken eingestuft. Jede akzeptierte insecure Suite (RC4, 3DES, NULL) deckelt den Score bei 54 (D); jede akzeptierte weak Suite zieht nur Punkte ab.
• Weitere Abzüge: ein Zertifikat, das innerhalb von 14 Tagen abläuft, ein RSA-Schlüssel unter 2048 Bit, ein veralteter Zertifikat-Signaturalgorithmus, ein nach dem 15. März 2026 ausgestelltes Zertifikat mit mehr als 200 Tagen Gültigkeit, fehlendes TLS 1.2 oder TLS 1.3, eine ausgehandelte Cipher ohne Forward Secrecy, CBC-/statische-RSA-Cipher, HSTS unter 157680000 Sekunden und fehlendes OCSP-Stapling (außer Let's Encrypt).

Bekannte Einschränkung: Secure-Renegotiation-Richtlinien, Renegotiation-Rate-Limits, die vollständige Kurven-Prioritätenliste des Servers, Client-Handshake-Simulationen und die Produkt-Firmware lassen sich an einem externen Endpunkt nicht zuverlässig beweisen und werden daher nicht bewertet.

Security-Header

Abzüge für ein fehlendes Content-Security-Policy, Strict-Transport-Security, X-Content-Type-Options: nosniff, Clickjacking-Schutz (X-Frame-Options oder eine CSP-frame-ancestors-Direktive), Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy und Cross-Origin-Resource-Policy - plus ein kleinerer Abzug für einen Server- oder X-Powered-By-Header, der Software-/Versionsdetails preisgibt, sowie für jedes Cookie ohne Secure- oder HttpOnly-Flag.

E-Mail

• Jeder von der Domain veröffentlichte MX-Eintrag wird aufgelistet. Die ersten nach Priorität werden vollständig geprüft; die übrigen werden nur namentlich angezeigt. Hat der gescannte Name selbst keinen MX-Eintrag, antwortet aber auf einem Mail-Port (Sie haben z. B. mail.example.com direkt gescannt), wird dieser Host separat geprüft - nur zur Information, nicht bewertet.
• Auf jedem geprüften Mailserver öffnen wir einen vollständigen TLS-Handshake auf jedem TLS-fähigen Mail-Port - STARTTLS auf 25, 587, 143 und 110, implizites TLS auf 465, 993 und 995 - und lesen das dort gebundene Zertifikat aus, sodass Sie genau sehen, was wo eingesetzt ist. Ein Port, der nicht lauscht oder kein STARTTLS anbietet, wird pro Port klar ausgewiesen.
• Nur eingehendes SMTP auf Port 25 fließt in die Bewertung ein - das ist der Port, über den ein sendender Mailserver tatsächlich an die Domain zustellt, und genau das braucht die Frage "ist eingehende Mail geschützt". Die Submission- und Abrufports werden nur zur Information angezeigt und beeinflussen den Score nicht.
• Mindestens ein erreichbarer Mailserver ohne STARTTLS-Unterstützung auf Port 25 begrenzt die Note auf C.
• Kein SPF-Eintrag oder kein DMARC-Eintrag begrenzt die Note jeweils auf B und zieht Punkte ab; eine DMARC-Policy von "none" (nur Monitoring, nicht erzwungen) zieht zusätzlich Punkte ab.
• Ist Port 25 von unserem Scanner aus nicht erreichbar, wird das klar ausgewiesen statt als Fehler des Ziels bewertet - Cloud-Anbieter blockieren ausgehenden Port 25 standardmäßig häufig, auch unserer, ein nicht erreichbares Ergebnis liegt also oft an uns, nicht an Ihnen.

Veröffentlichung und Datenschutz

Berichte werden standardmäßig unter einer dauerhaften öffentlichen URL veröffentlicht. Wenn Sie im Formular die öffentliche Veröffentlichung deaktivieren, erhalten Sie stattdessen einen nicht gelisteten privaten Link. Der Bericht wird dann weder in Listen aufgenommen noch indexiert.

Domaininhaber können Scans vollständig unterbinden, indem sie einen TXT-Eintrag namens _aethercert-scan-optout veröffentlichen. Eine Domain mit Opt-out wird nicht kontaktiert und es werden keine Scan-Daten gespeichert, auch nicht in einem privaten Bericht. Scan-Versuche zeigen lediglich an, dass die Domain widersprochen hat.