FAQ

Ja — solange Sie Ihre eigene Domain testen. Der passive Gratis-Scan liest nur öffentlich verfügbare Informationen. Aktive Tests laufen erst, nachdem Sie den Besitz Ihrer Domain nachgewiesen haben. Gegen fremde Domains lässt sich Sondar baulich nicht scharf schalten.

Sie legen eine kleine Datei mit einem von Sondar erzeugten Token unter /.well-known/attest-authorization.txt auf Ihrer Domain ab. Da nur der Betreiber Inhalte im Web-Root ablegen kann, ist damit belegt, dass die Domain Ihnen gehört. Der Nachweis wird zu Beginn jedes aktiven Scans erneut geprüft.

Im Agency-Paket ja — sofern Sie dazu beauftragt sind und je Ziel der Besitznachweis erbracht wird. Sie sichern bei der Registrierung zu, nur eigene oder ausdrücklich beauftragte Systeme prüfen zu lassen. Die Einzelheiten stehen in Ziffer 4 und 5 der AGB.

Die Anwendung und die Server-Logs liegen bei hosttech in der Schweiz, die Datenbank mit Ihren Zielen und Befunden bei Supabase in einer Region innerhalb Europas — beides Standorte mit angemessenem Datenschutzniveau nach DSG und DSGVO. E-Mails versenden wir über unser Postfach bei Hetzner in Deutschland. Jeder Lauf ist über ein manipulationssicheres Audit-Log nachvollziehbar. Von uns aus geben wir Ziele, Scan-Inhalte und Befunde nicht an Dritte weiter; für die Messung unserer Werbung erfährt Meta nur, dass ein Scan gestartet oder abgeschlossen wurde, ohne Domain oder Ergebnis. Details in der Datenschutzerklärung.

Nein. Sondar ist nicht-destruktiv: Es gibt kein Flood- oder Lastprimitiv, Anfragen sind gedrosselt und aktive Tests nutzen nur klar markierte, harmlose Test-Payloads. Ihre Website läuft während des Scans normal weiter.

Eine passive Oberflächenprüfung: Security-Header, TLS, DNS/SPF/DMARC, Cookie-Attribute und exponierte Dateien. Sie erhalten sofort eine Momentaufnahme, ohne Login und ohne Eingriff in Ihre Seite. Tiefe, aktive Tests folgen nach dem Besitznachweis. Eine Übersicht aller Module steht auf der Seite Funktionen.

Passive Checks werten nur aus, was Ihr Server ohnehin öffentlich ausliefert — technisch wie ein Browser-Aufruf. Aktive Tests senden gezielt präparierte, harmlose Marker (etwa für XSS oder Open Redirect) und prüfen die Reaktion. Deshalb laufen sie nur nach Besitznachweis.

Ein Scan ist eine Momentaufnahme zu einem bestimmten Zeitpunkt. Er zeigt gefundene Schwachstellen und wie Sie sie beheben — er kann aber nicht beweisen, dass keine weiteren existieren. Deshalb versprechen wir keine „garantierte" Sicherheit, sondern regelmässige, wiederholbare Prüfungen.

Ja, in den Paketen Basic, Pro und Agency. Sie legen einen Zeitplan an: einen einzelnen Termin oder eine Wiederholung — in Basic wöchentlich oder monatlich, in Pro und Agency auch täglich. Der Scan startet ab der gewählten Uhrzeit (Schweizer Zeit); bei viel Betrieb kann er etwas später beginnen. Danach verschickt Sondar einen Sammelreport über alle Ziele des Zeitplans an bis zu fünf Adressen, einen Einzelreport je Ziel an dessen eigene Adresse oder beides. Adressen ausserhalb Ihrer Organisation bestätigen den Empfang zuerst über einen Link, und jede Adresse kann sich jederzeit abmelden. Die E-Mail kommt von Sondar und enthält eine Zusammenfassung ohne Befund-Details sowie je Ziel einen Download-Link zum PDF, 14 Tage gültig. Jeder geplante Scan zählt zum Scan-Kontingent Ihres Pakets; aktive Tests laufen wie immer nur mit Besitznachweis. Details in Ziffer 3.5 der AGB.

Nein. Die Anbieterin ist zurzeit nicht mehrwertsteuerpflichtig, deshalb wird auf die Entgelte keine MwSt erhoben. Tritt die Steuerpflicht ein, kommt sie ab diesem Zeitpunkt hinzu.

Ja, jederzeit über Ihr Kundenkonto auf das Ende der laufenden Abrechnungsperiode. Bis dahin bleibt der gebuchte Umfang nutzbar; bereits bezahlte Entgelte für die laufende Periode werden nicht anteilig erstattet.

Kündigen Sie ein bezahltes Paket, wechselt Ihr Konto am Ende der Abrechnungsperiode ins Free-Paket; Konto, Ziele und Befunde bleiben dabei erhalten. Erst nach Vertragsende, wenn das Vertragsverhältnis insgesamt endet, löscht die Anbieterin Konto-, Ziel- und Befunddaten sowie Berichte. Exportieren Sie benötigte Berichte vorher — die Löschung ist endgültig. Vorbehalten bleiben gesetzliche Aufbewahrungspflichten sowie Audit-Protokolle und Rechnungsdaten im vorgeschriebenen Umfang. Sie können die Löschung auch während des Vertrags jederzeit verlangen; das Verfahren steht in der Datenschutzerklärung.