CMS erkennen

So liest du das Ergebnis

Ein CMS (Content-Management-System) ist die Software, mit der eine Website gepflegt wird, etwa WordPress oder TYPO3. Shops laufen auf Shopsystemen wie Shopify oder Shopware, viele kleine Websites auf Baukästen wie Wix oder Jimdo. Die meisten dieser Systeme hinterlassen Spuren: im Quelltext, etwa typische Ordner für Dateien, und in den Zusatzangaben, die der Server unsichtbar mit jeder Seite mitschickt (Kopfzeilen oder HTTP-Header), etwa Namen von Cookies.

Der Check zeigt zu jedem Treffer, welche Merkmale er gefunden hat, und ordnet sie in drei Stufen. Erkannt heißt: mindestens ein eindeutiges Merkmal, etwa die Generator-Angabe „WordPress 6.8“ (eine unsichtbare Zeile im Quelltext, in der sich das System selbst nennt), oder zwei starke. Wahrscheinlich heißt: ein starkes Merkmal, aber kein eindeutiges. Hinweis heißt: nur ein schwaches Merkmal, das auch anders zustande kommen kann, etwa ein einzelnes Bild von einem fremden Server. Hinweise reichen nie für eine Aussage.

Wörter im sichtbaren Text zählen nie. „WordPress“ oder „Shopify“ stehen auch auf Websites, die darüber schreiben oder Leistungen dafür anbieten. Links auf andere Websites zählen ebenfalls nicht. Dateien von fremden Servern zählen nur, wenn der Server zu einem bestimmten System gehört, etwa die Server von Wix oder Squarespace. Sind es nur eingebundene Bilder oder Videos, reicht das höchstens für einen Hinweis, denn solche Dateien können auch auf anderen Websites eingebunden sein.

Ist eine Version öffentlich sichtbar, nennt der Check sie mit ihrer Quelle. Eine Bewertung wie „veraltet“ oder „unsicher“ gibt er bewusst nicht ab, denn eine sichtbare Versionsnummer allein sagt das nicht verlässlich. Wie lange eine Version Sicherheitsupdates bekommt, steht beim Hersteller oder in der Zusammenstellung von endoflife.date, zum Beispiel für WordPress, Joomla, TYPO3, Drupal, Shopware und Magento.

Welche Systeme der Check kennt

Der Check kennt über 40 Content-Management-Systeme, Shopsysteme und Baukästen, darunter viele, die vor allem in Deutschland verbreitet sind, etwa Contao, JTL-Shop, Gambio, plentyShop, IONOS MyWebsite und den Homepage-Baukasten von STRATO. Dazu kommen Page-Builder für WordPress, Frameworks und Hosting-Dienste.

WordPress-Theme und Plugins herausfinden

Bei WordPress liegt das Design in einem Theme. Seine Dateien liegen im Ordner /wp-content/themes/, und der Ordnername steht in den Adressen der Stylesheets. Der Check liest außerdem den Anfang der Datei style.css des Themes. Dort stehen Name, Version und Autor, so wie WordPress sie selbst liest (die ersten 8 KB der Datei). Steht dort „Template“, ist es ein Child-Theme: eine kleine Anpassung, die auf einem anderen Theme aufbaut. Dann nennt der Check beide.

Page-Builder (Werkzeuge, mit denen man Seiten per Maus zusammenstellt) wie Elementor, Divi oder WPBakery erkennt der Check an ihren Ordnern, Klassen und Generator-Angaben. Plugins (Erweiterungen) zeigen sich nur, wenn sie auf der geprüften Seite Dateien laden, sich im Quelltext nennen oder sich an der Schnittstelle /wp-json/ melden, über die Programme Daten der Website abfragen. Dort fragt der Check nur die Liste der Namen ab. Viele Plugins arbeiten unsichtbar im Hintergrund; eine vollständige Liste gibt es von außen nicht.

Selbst nachsehen geht so: Seite im Browser öffnen, Quelltext anzeigen (unter Windows meist mit Strg+U, am Mac mit Cmd+Option+U, in Safari erst nach Einschalten des Entwicklermenüs) und nach „themes/“ suchen. Der Teil danach ist der Ordnername des Themes.

Shopify-Theme herausfinden

Shopify schreibt die Angaben zum Theme in den Quelltext jedes Shops (Shopify.theme). Der Check zeigt daraus drei Dinge: den Namen im Shop, den der Händler selbst vergibt und oft ändert, das Basis-Theme mit Version, auf dem die Gestaltung beruht, und ob das Theme aus dem Shopify Theme Store stammt. Für die Suche nach einem ähnlichen Theme ist das Basis-Theme die bessere Angabe. Fehlt es, ist das Theme oft selbst gebaut oder stark angepasst.

Shops, die Shopify nur im Hintergrund nutzen und die Seite mit einem eigenen Framework bauen (Headless, etwa mit Hydrogen), zeigen kein Theme. Dann erkennt der Check eher das Framework.

Wozu du das System kennen solltest

Vor einem Auftrag: Wer deine Website pflegen, umbauen oder neu aufsetzen soll, muss das System kennen. Für WordPress, Shopify oder TYPO3 gibt es jeweils eigene Fachleute. Steht das System schon in deiner Projektbeschreibung, können passende Dienstleister besser einschätzen, ob sie helfen können.

Vor einem Relaunch: Das System bestimmt, was sich mitnehmen lässt. Bei Baukästen ist das oft wenig: Laut Wix muss eine Wix-Website auf den Servern von Wix laufen; ein Umzug zu einem anderen Anbieter ist nicht vorgesehen. Texte und Bilder lassen sich in der Regel von Hand übernehmen, Aufbau und Gestaltung werden beim Wechsel meist neu gebaut.

Für Dienstleister: Vor einem Angebot siehst du, womit ein Kunde arbeitet und welche Erweiterungen im Spiel sind. Das ersetzt keinen Zugang zum System, hilft aber, den Aufwand einzuschätzen.

Grenzen und Vorgehen

Er prüft genau eine Seite, am besten die Startseite. Er liest das HTML, das der Server ausliefert, und führt kein JavaScript aus. Baut eine Seite ihren Inhalt erst im Browser auf, fehlen viele Spuren; das sagt der Check dann dazu. Seiten hinter einer Anmeldung erreicht er nicht. Schutzdienste, die automatische Abrufe mit einer Sperrseite beantworten, umgeht er nicht; dann meldet er die Sperre.

Manche Websites verbergen ihr System, etwa ohne Generator-Angabe, mit umbenannten Ordnern oder mit zusammengefassten Dateien. Eine Studie, vorgestellt auf der USENIX Security 2024, hat verbreitete Erkennungswerkzeuge an echten Websites geprüft. Wappalyzer erkannte WordPress dort in rund zwei Dritteln der Fälle, im Labor in allen. Als Gründe nennen die Forscher unter anderem Anpassungen der einzelnen Websites, veränderte oder zusammengefasste Dateien und verschobene Ordner. Deshalb zeigt dieser Check zu jedem Treffer die Merkmale und sagt ehrlich, wenn er nichts gefunden hat.

Sicherheitslücken sucht der Check nicht, und er prüft keine Erweiterungen auf bekannte Schwachstellen.

So prüft der Check

Unser Server ruft die eingegebene Seite ab und folgt bis zu fünf Weiterleitungen. Von derselben Website holt er die robots.txt und, wenn die Seite nach WordPress aussieht, die Übersicht der Schnittstelle /wp-json/ (nur die Namen der Schnittstellen) und den Anfang der style.css von höchstens zwei Themes. Sperrt die robots.txt diese Dateien für automatische Abrufe, lässt er sie weg. Die Regeln haben wir selbst aufgestellt: aus Quellcode und Dokumentation der Systeme und, bei Baukästen ohne offenen Quellcode, aus Stichproben an echten Websites. Die Quellen stehen unten.

Stand: 24. Oktober 2026 · Nächste Prüfung der Regeln und Texte: April 2027

Häufige Fragen

Warum erkennt der Check das System einer Website nicht?

Meist aus einem von drei Gründen: Die Website verbirgt ihre Spuren, sie baut ihren Inhalt erst im Browser auf, oder sie ist eine Eigenentwicklung. Seltener blockiert ein Schutzdienst den Abruf. Im Ergebnis steht, woran es liegen kann und wie du selbst im Quelltext nachsehen kannst.

Wie zuverlässig ist das Ergebnis?

So zuverlässig wie die Merkmale, die der Check zeigt. „Erkannt“ beruht auf mindestens einem eindeutigen Merkmal, etwa einer Generator-Angabe, oder auf zwei starken. „Wahrscheinlich“ ist eine begründete Vermutung aus einem starken Merkmal. Im Zweifel hilft ein Blick in den Quelltext oder eine Nachfrage beim Betreiber.

Kann ich auch fremde Websites prüfen?

Ja, jede öffentlich erreichbare Website, etwa um zu sehen, womit ein Mitbewerber oder ein Vorbild arbeitet. Der Check ruft dafür nur ab, was jeder Browser auch sehen würde, und umgeht keine Sperren.

Zeigt der Check, ob eine Website sicher ist?

Nein. Er zeigt, womit eine Website gebaut ist, nicht, ob sie Sicherheitslücken hat. Er sucht keine Schwachstellen und bewertet keine Versionen. Ob eine Versionslinie noch Sicherheitsupdates bekommt, steht beim Hersteller oder in der Übersicht von endoflife.date (Links oben unter „So liest du das Ergebnis“).

Ich betreibe eine Website und sehe die Kennung „KontaktpfadCmsCheck“. Was ist das?

Unter dieser Kennung ruft unser Server nur auf Anfrage einer Person einzelne Adressen ab, dazu die robots.txt und bei WordPress die Übersicht der Schnittstelle und den Anfang der style.css des Themes. Er durchsucht keine Website. Sperrt die robots.txt diese zusätzlichen Dateien für alle oder für „KontaktpfadCmsCheck“, ruft er sie nicht ab. Fragen dazu beantworten wir unter info@kontaktpfad.de.

Was passiert mit der eingegebenen Adresse?

Unser Server ruft die Seite und die genannten Dateien ab und folgt dabei Weiterleitungen, auch auf andere Domains. Die Websites sehen dabei eine Anfrage von Kontaktpfad über Cloudflare, nicht deine IP-Adresse. Vorher fragt der Server beim DNS-Dienst von Cloudflare, ob es den Namen gibt und ob er auf ein öffentliches Netz zeigt. Das Ergebnis liegt bis zu 30 Minuten im Zwischenspeicher; prüft in dieser Zeit jemand dieselbe Adresse, sieht er dasselbe Ergebnis. Einem Konto ordnen wir es nicht zu. Gegen Missbrauch zählen wir kurzzeitig, wie viele Prüfungen von einem Anschluss kommen. Dafür nutzen wir einen Kurzwert der IP-Adresse, der mit einem geheimen Schlüssel gebildet wird und täglich wechselt. Details stehen in der Datenschutzerklärung.

Übernimmst du das Ergebnis in eine Projektbeschreibung, legt der Check es im Sitzungsspeicher dieses Browser-Tabs ab, ohne die Adresse der Website. Verarbeitet wird es erst, wenn du im Formular selbst weitergehst.