Oberflächen-Scan

Was der Website-Scan zeigen kann und was nicht

Der kostenlose Website-Scan untersucht eine öffentliche URL. Er findet sichtbare Lizenzsignale und offensichtliche Lücken, dokumentiert aber nicht, was Sie ausliefern.

Zuletzt aktualisiert: 2. Juli 2026

Der Scan untersucht eine öffentliche URL auf sichtbare Hinweise zu Open-Source-Lizenzen: Links zu /license, /legal und /open-source, typische Seiten mit Angaben zu Drittanbieterlizenzen und gelegentlich Skript-Tags auf der Startseite. Er ist ein schneller Plausibilitätscheck, kein Nachweis für die Einhaltung von Lizenzpflichten.

Wir bieten den Scan an, weil er Lücken zeigt, bevor ein Kunde Ihre Unterlagen prüft. Das eigentliche Produkt ist der gepflegte Nachweis: ein Bestand der ausgelieferten Komponenten, geprüfte Lizenzen, vollständige Lizenztexte und Kontrollen vor der Veröffentlichung. Nicht nur das, was ein Scan Ihrer öffentlichen Website heute finden kann.

Was kann dieser Scan erkennen?

Der Scan beantwortet eine klar begrenzte Frage: Sind auf dieser öffentlichen URL eindeutige Angaben zu Drittanbieterlizenzen zu finden, oder fehlen sie? Er hilft Teams, fehlende Links, Weiterleitungen zur Startseite und leere Lizenzseiten zu finden.

Bei SaaS-Anbietern ist die Website oft die erste Anlaufstelle für Käufer, bevor sie nach der eigentlichen Lizenzseite des ausgelieferten Produkts fragen.

HTTP-Antworten auf gängigen Lizenz- und Hinweispfaden (/license, /legal, /oss usw.).
Ob die Seiten glaubwürdige Lizenzangaben oder Hinweise zu Drittanbieterlizenzen enthalten und nicht nur leere Seiten sind.
Einige im HTML der Startseite sichtbare Drittanbieter-Skript-URLs.
Offensichtliche Weiterleitungen, die Lizenzpfade auf themenfremde Seiten umleiten.
Fehlende Links: keine Lizenzangaben im Footer, kein Hinweis auf Open Source und keine URL zur Lizenzdokumentation in der Sitemap.

Was kann dieser Scan nicht erkennen?

Der Scan kann nicht sehen, was nicht auf der öffentlichen Seite liegt. Angaben zu den Lizenzen eines Produkts befinden sich in den Build-Dateien, zum Beispiel in Lockfiles, SBOMs und Release-Paketen. Ein Scan ohne Befund bedeutet nicht, dass Ihre mobile App, Ihr Desktop-Installer oder Ihr API-Backend dokumentiert ist.

Der Scan liest keine transitiven npm-Abhängigkeiten, prüft keine SPDX-Kennungen, bestätigt nicht den vollständigen Lizenztext jeder Komponente und weiß nicht, ob ein Mensch die Veröffentlichung freigegeben hat. Diese Lücke ist groß: Laut Black Ducks OSSRA-Bericht von 2025 verursachten transitive Abhängigkeiten fast 30 % der gefundenen Lizenzkonflikte. Keiner davon ist auf einer Startseite sichtbar. Der Scan kann Angaben zu Drittanbieterlizenzen für das ausgelieferte Produkt nicht ersetzen.

Abhängigkeiten, die in iOS-, Android-, Desktop- oder eingebetteten Produkten gebündelt sind, nicht im öffentlichen Web.
Transitive Pakete, die nie in browserseitigem JavaScript geladen werden.
Ob gelistete Lizenzen mit dem übereinstimmen, was im geprüften Produkt tatsächlich ausgeliefert wird.
Prüfung und Freigabe der Veröffentlichung: Kontrollschritte, Genehmigungen und Audit-Trail.
Copyleft-Pflichten: Quellcodeangebote, zugehöriger Quellcode und Pflichten, die durch die Weitergabe ausgelöst werden.
Schriftarten, SDKs und Icons, die auf der gescannten URL nicht referenziert sind.
Interne Komponenten oder physisch getrennte Auslieferungsmodelle.

Oberflächen-Scan

Wie unterscheidet sich der Scan von einer Lizenzseite?

Der Scan gibt einen ersten Überblick und findet sichtbare Lücken auf einer öffentlichen URL. Eine Lizenzseite ist der laufend gepflegte Nachweis: ein geprüfter Bestand, vollständige Lizenztexte, Namensnennungen, eine stabile URL für die Beschaffung und Exporte, die den Veröffentlichungen folgen.

Für den Oberflächen-Scan genügt ein Footer-Link zu einer kurzen Seite mit Lizenzangaben. Eine gründliche Due-Diligence-Prüfung verlangt dagegen eine Lizenzdokumentation für jedes Produkt, die bei Änderungen an den Abhängigkeiten aktualisiert wird.

Reichweite: Oberflächen-ScanHTML und verlinkte Pfade einer einzelnen öffentlichen URL; Compliance-SeiteProduktbezogen, an den ausgelieferten Bestand gebunden
Geschwindigkeit: Oberflächen-ScanSekunden, keine Anmeldung; Compliance-SeiteÜber Releases hinweg gepflegt
Prüfung: Oberflächen-ScanKeine Kontrollschritte oder Prüfung der Lizenztexte; Compliance-SeiteMenschliche Prüfung vor Veröffentlichung, vollständiger Lizenztext
Rolle: Oberflächen-ScanEin Plausibilitätscheck, der sichtbare Lücken findet; Compliance-SeiteDer Nachweis, den Beschaffung und Auditoren akzeptieren

Was Sie nach dem Scan tun sollten

Wenn der Scan Lücken findet, nutzen Sie diese als Ausgangspunkt. Erstellen Sie aus Lockfiles oder SBOMs einen Bestand dessen, was Sie tatsächlich ausliefern. Prüfen Sie die Lizenzen. Veröffentlichen Sie gepflegte Angaben in dem Format, das der Kunde verlangt.

Wenn der Scan nichts findet, sollten Sie dennoch prüfen, ob die sichtbare Seite das vertraglich vereinbarte Produkt abdeckt. Lizenzangaben im Footer der Marketing-Website und die Lizenzseite des Produkts sind oft zwei verschiedene Dinge. Beide können nötig sein, aber nur die Produktseite erfüllt eine Anfrage nach Angaben zu Drittanbieterlizenzen im ausgelieferten Produkt.

Weiterführende Lektüre

Nächster Schritt

Wenn Sie vom Lesen zur Umsetzung übergehen möchten:

Kostenlosen Oberflächen-Scan durchführen