Du haftest für jedes Skript auf deiner Seite. Auch für die, die du nicht geschrieben hast.
Das TSR-Audit (Third-Party Script Risk Audit) analysiert den Code, der tatsächlich bei deinen Besuchern ankommt – auf Supply-Chain-Risiken, abgekündigte Bibliotheken, bekannte Schwachstellen und Richtlinienverstöße. Ergebnis in ein bis zwei Werktagen.
--Tage
--Stunden
--Minuten
--Sekunden
Noch -- Tage, bis die neue EU-Produkthaftungsrichtlinie gilt: Software zählt dann ausdrücklich als Produkt.
Das Risiko sitzt in fremdem Code
Eine durchschnittliche Shop-Seite lädt Skripte aus einem Dutzend Quellen: Tag-Manager, Tracking-Pixel, A/B-Testing, Chat-Widgets, Zahlungsanbieter, Affiliate-Mastertags, CDN-Bibliotheken. Jedes davon kann sich jederzeit ändern – serverseitig, ohne Ankündigung, ohne dass bei dir jemand etwas anfasst. Was in deinem CMS konfiguriert ist, sagt nichts darüber aus, was heute ausgeliefert wird.
Supply-Chain-Angriffe Ein übernommenes NPM-Paket, ein aufgekauftes Plugin, eine manipulierte CDN-Ressource: Ein kompromittierter Baustein genügt, um Schadcode an alle Besucher auszuliefern. Bei polyfill.io traf das im Juni 2024 über 100.000 Webseiten. Der NPM-Wurm „Shai-Hulud" erwischte im September 2025 Pakete mit zusammen 2,6 Milliarden Downloads pro Woche, im März 2026 folgte Axios mit über 100 Millionen wöchentlichen Downloads.
Abgekündigte Bibliotheken (End-of-Life) AngularJS 1.x erhält seit 2022 keine Sicherheitsupdates mehr – bekannte Lücken bleiben dauerhaft offen. Wer EOL-Code ausliefert, unterschreitet den Stand der Technik und merkt es nicht, weil nichts kaputt aussieht.
Veraltete Versionen mit bekannten Lücken jQuery: 12 registrierte CVEs, im Einsatz auf 84 % aller Webseiten, von der US-Behörde CISA im Katalog aktiv ausgenutzter Schwachstellen geführt. Lodash: 10 CVEs, die schwerste mit CVSS 9.1. Alle öffentlich einsehbar – auch für Angreifer, die gezielt nach ihnen suchen.
Skimmer, die aussehen wie Tracking Magecart-Gruppen verstecken Kreditkarten-Skimmer in CSS-Dateien und SVG-Grafiken oder tarnen sie als Google Tag Manager. 2025 wurden über 23 Millionen Online-Transaktionen kompromittiert. Für Betreiber und Kunden gleichermaßen unsichtbar.
Der Tag-Manager-Blindflug Jeder mit GTM-Zugang kann Skripte einschleusen, ohne dass du es siehst. CSP und CORS schützen gegen eingeschleusten Code – nicht gegen freigegebenen Code, der durch ein Update oder eine Kompromittierung verändert wird.
Verstöße gegen Googles Spam-Richtlinien Seit dem 15. Juni 2026 wertet Google die manipulative Nutzung der History API als schwerwiegenden Verstoß. Betroffen sein können Tracking-Pixel, A/B-Tools, Werbe-Bibliotheken und SPA-Router. Nicht jeder Zugriff ist ein Verstoß – aber das erkennt man nicht im minifizierten Code eines fremden Skripts.
Was auf dem Spiel steht
Ein einziges kompromittiertes oder verstoßendes Skript reicht aus.
Datenabfluss Kreditkarten- und Kundendaten, abgegriffen direkt im Checkout. Ab Kenntnis des Vorfalls läuft die Meldefrist nach Art. 33 DSGVO: 72 Stunden.
DSGVO-Bußgeld Bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes bei Verstößen gegen Art. 25 und 32. Bis 20 Mio. € oder 4 % bei Verstößen gegen die Grundsätze aus Art. 5.
Produkthaftung Ab dem 9. Dezember 2026 gilt Software ausdrücklich als Produkt. Unzureichende Cybersicherheit und ausbleibende Sicherheitsupdates können einen Produktfehler begründen.
Sichtbarkeit Herabstufung im Ranking bis zur vollständigen Deindexierung aus der Google-Suche – und parallel die Sperrung von Google Ads.
Zeitverlust Ein Reconsideration Request bei Google kann Wochen dauern. Die forensische Aufarbeitung nach einem Skimmer-Fund ebenso. In dieser Zeit läuft dein Geschäft nicht.
Vertrauen Ein Datenvorfall im Checkout ist genau der Vorfall, von dem Kunden anderen erzählen. Und der in der Presse landet.
Stufe 1: Der TSR-Scan Einmalige Analyse, Ergebnis in ein bis zwei Werktagen
Skript-Inventar: Wir erfassen jedes Skript, das tatsächlich ausgeliefert wird – und zwar pro Seiten-Typ (Startseite, Produktseite, Kategorieseite, Warenkorb, Checkout), weil jedes Template andere Skripte lädt.
Schwachstellen & EOL: Abgleich aller eingesetzten Open-Source-Bibliotheken gegen bekannte Schwachstellen (CVEs), abgekündigte Versionen und verwaiste Projekte – gemeinsam mit OTTRIA.
Supply-Chain-Analyse: Woher kommt der Code, welche Abhängigkeiten lädt er nach, und wer kontrolliert eigentlich die Infrastruktur, über die er zu deinen Besuchern gelangt.
Hacking-Indikatoren: Skripte von unbekannten oder verdächtigen Domains, versteckte und minimal dimensionierte iframes, Muster eingeschleusten Codes und JavaScript-Redirects.
Richtlinien-Check: Jeder History-API-Zugriff wird identifiziert, klassifiziert und bewertet – passive Beobachtung (etwa Google Tag Manager, Facebook Pixel oder Clarity) wird von aktiver Manipulation unterschieden. Dazu die Prüfung auf Zurück-Button-Hijacking.
Manuelle Auswertung: Kein automatischer Tool-Report. Jeder Scan wird von uns ausgewertet – mit Risikobewertung und konkreten Handlungsempfehlungen, auf Wunsch in einem halbstündigen Ergebnis-Meeting.
Rollentrennung: Wir liefern den Befund und die Empfehlung. Die Umsetzung liegt bei dir oder deiner Agentur – wir ändern nichts an fremden Systemen, weil wir dort weder Zugriff haben noch haben wollen.
Preis: 1.299 € für eine Webseite mit bis zu fünf Seiten-Typen. Ab 5 Webseiten 999 €, ab 10 Webseiten 799 € pro Webseite. Alle Preise zzgl. MwSt.
Stufe 2: Das TSR-Monitoring Weil ein Skript, das heute sauber ist, morgen kompromittiert sein kann
Regelmäßige Scans: Automatisierte Wiederholung der vollständigen Prüfung in konfigurierbaren Intervallen.
Änderungs-Erkennung: Neue, veränderte oder entfernte Skripte seit dem letzten Scan – inklusive neu hinzugekommener Drittanbieter-Domains, die vorher nicht da waren.
Supply-Chain-Überwachung: Neue CVEs, frische Kompromittierungen und verwaiste Projekte in genau den Bibliotheken, die du einsetzt. Analyse in Kooperation mit OTTRIA.
Alarm-System: Benachrichtigung bei neuen Verstößen oder veränderter Risikolage – bevor Google es findet oder ein Angreifer es nutzt.
SSL-Überwachung: Warnung vor ablaufenden Zertifikaten, bevor Browser-Warnungen deine Besucher abschrecken.
Dokumentation: Jeder Scan ist dokumentiert und datiert. Genau das, was du im Prüfungs- oder Haftungsfall vorlegen musst.
Preis: 149 € pro Monat für eine Webseite, 119 € pro Webseite ab 5, 89 € pro Webseite ab 10. Mindestlaufzeit 6 Monate; 5 % Rabatt bei 6-Monats-, 10 % bei 12-Monats-Vertrag. Alle Preise zzgl. MwSt.
Was sich rechtlich gerade ändert
Neue EU-Produkthaftungsrichtlinie – ab 9. Dezember 2026 Die Richtlinie (EU) 2024/2853 ersetzt die Produkthaftung von 1985 und ist bis zum 9. Dezember 2026 in nationales Recht umzusetzen. Software gilt darin ausdrücklich als Produkt. Ein Produkt kann fehlerhaft sein, wenn es nicht die erwartbare Cybersicherheit bietet oder nötige Sicherheitsupdates ausbleiben. Auch die Vernichtung oder Beschädigung von Daten ist künftig ein ersatzfähiger Schaden, und die Beweislast wurde zugunsten Geschädigter erleichtert. Wer Software an Nutzer ausliefert, sollte belegen können, dass er sie kennt und pflegt.
DSGVO Art. 25 und Art. 32 Art. 32 Abs. 1 verlangt den „Stand der Technik" und die dauerhafte Belastbarkeit der eingesetzten Systeme. Art. 25 fordert Datenschutz durch Technikgestaltung – bereits bei der Auswahl der technischen Mittel. Veraltete und abgekündigte Bibliotheken unterschreiten den Stand der Technik per Definition.
Bußgeldminderung nach Art. 83 Abs. 2 DSGVO Bei der Bemessung eines Bußgelds berücksichtigen die Aufsichtsbehörden die getroffenen technischen und organisatorischen Maßnahmen (lit. d). Ein dokumentierter, datierter TSR-Scan ist der Nachweis, dass eingesetzte Bibliotheken systematisch geprüft und überwacht werden – statt nur guten Willens.
Für Agenturen und Netzwerke: Art. 28 DSGVO Auftragsverarbeiter müssen „hinreichende Garantien" für geeignete technische Maßnahmen bieten. Wer im Kundenauftrag Software einsetzt oder empfiehlt, hat mit einem dokumentierten Scan die Verantwortungsfrage geklärt. Das TSR-Audit ist auch als White-Label-Leistung verfügbar.
Partnerschaft mit OTTRIA Die Bibliotheks- und Lieferketten-Analyse führen wir gemeinsam mit OTTRIA (Open Source Trust, Threat & Risk Intelligence Alliance) durch, dem europäischen Spezialisten für Open-Source-Sicherheitsanalysen und Software-Lieferketten. Eine vergleichbare Kombination aus Richtlinien-Monitoring und Supply-Chain-Überwachung für Webseiten gibt es in Europa derzeit nicht.
Hinweis Das TSR-Audit ist eine technische Prüfung, keine Rechtsberatung. Wir liefern den dokumentierten Befund – die rechtliche Bewertung triffst du mit deinem Justiziar.
Du kannst nicht absichern, was du nicht kennst. Finde in ein bis zwei Werktagen heraus, welcher Code auf deiner Seite läuft.