Nachweisen, nicht nur haben
Die EU-Sicherheitsregulierung verlangt zunehmend dasselbe: kein Richtliniendokument, sondern eine Aufzeichnung, dass die Maßnahme über einen Zeitraum tatsächlich wirksam war. Diese Leitfäden gehen die Artikel durch, die das fordern, was ein Prüfer verlangt und welche Nachweise von außen beobachtbar sind.
Verfasst vom SkyQon-Engineering-Team · Zuletzt geprüft am 6. August 2026
Ein Problem beheben
Eine Seite pro technischem Problem: was ausfällt, die Rechnung dahinter, die Lösung Schritt für Schritt und am Ende eine kostenlose Prüfung Ihrer eigenen Domain.
- Zu viele DNS-Abfragen in SPF — Warum SPF nach 10 Abfragen scheitert, wie sich die includes der Anbieter summieren und wie Sie wieder unter das Limit kommen. Mit einer kostenlosen SPF-Lookup-Prüfung.
- CAA-Eintrag blockiert die Zertifikatserneuerung — Welchen CAA-Eintrag eine CA liest, die vier üblichen Ursachen einer abgelehnten Erneuerung und die Lösung.
- MTA-STS hängt im Testmodus fest — Was Sie vor dem Wechsel auf enforce prüfen sollten und die Änderung der id, die die meisten vergessen.
- DNSSEC mit SHA-1-Algorithmen — Warum die Algorithmen 5 und 7 Ihre Zone seit RFC 9905 nicht mehr schützen und wie Sie sicher wechseln.
- 47-Tage-Zertifikate: Ihr Erneuerungsaufwand — Die Termine aus SC-081v3, ein Erneuerungsrechner und was Sie zuerst automatisieren sollten.
NIS2
- NIS2 Artikel 21(2): Was als Nachweis zählt — Alle zehn Risikomanagementmaßnahmen, was ein Prüfer zu jeder sehen will und die ehrliche Trennung zwischen dem, was eine Außenüberwachung nachweisen kann, und dem, was Ihre eigene Aufgabe bleibt.
Außerdem gibt es für jede Maßnahme, die eine sichtbare Spur hinterlässt, eine eigene Seite, jeweils mit einer kostenlosen Prüfung Ihrer eigenen Domain:
DORA
- DORA: Was als technischer Nachweis zählt — Die Artikel, die von außen beobachtbare Spuren hinterlassen (Artikel 9 und die RTS zur Verschlüsselung, das Bestandsverzeichnis nach Artikel 8, Tests nach den Artikeln 24 und 25) sowie das Informationsregister und die Konzentrationspflichten, die IKT-Anbieter über ihre Kunden erreichen.
Cyber Resilience Act
- Der Cyber Resilience Act: Ihr Produkt, nicht Ihr Bestand — Was der CRA regelt, warum die Meldepflicht des Artikels 14 am 11. September 2026 beginnt und bereits vermarktete Produkte erfasst, und die ehrliche Grenze zwischen Produktkonformität und dem, was ein externer Monitor sehen kann.
- Eine SBOM für Ihren Stack erstellen — Das kostenlose Werkzeug und der Befehl für Python, JavaScript, Java, Go, Rust, .NET, C und C++, Container und Yocto, und vier Prüfungen, bevor Sie dem Ergebnis trauen.
- Der CRA-Weg für Hersteller — Die kostenlose Prüfung von Anwendungsbereich und Klasse, der Melde-Selbstcheck und das 24-Stunden-Meldekit, eine Lückenbewertung zum Festpreis und ein Umsetzungssprint, in der Reihenfolge, in der die Fragen kommen.
Kleiner anfangen
Wenn Sie eher eine Definition als eine Durchsprache suchen: Das Glossar behandelt jedes einzelne Vertrauenssignal (SPF, DMARC, DNSSEC, CAA, Certificate Transparency, QWAC und die übrigen), eine Seite je Begriff. Die Ressourcenseiten erklären, wie Sie jeden Befund in Ihrem eigenen Bericht lesen und beheben.