Website prüfen: 19 Punkte, die Sie selbst testen können

Die meisten Betreiber sehen ihre Website jeden Tag und wissen trotzdem nicht, wie es um sie steht. Was Besucher sehen, ist die Oberfläche. Was ein Abmahner, ein Angreifer oder Google prüft, liegt darunter: welche Server die Seite kontaktiert, was der Server antwortet, was im Quelltext steht.

Dieser Beitrag geht die 19 Punkte durch, die wir bei jeder Seite ansehen. Zu jedem Punkt steht, wie Sie ihn von Hand prüfen, mit welchem kostenlosen Schnelltest es schneller geht und wo die Prüfung von außen endet.

Website prüfen in einer Minute: der schnelle Weg

Wenn Sie zuerst einen Überblick wollen, lassen Sie die Seite automatisch durchlaufen. So geht es mit unserem Website-Check:

1. Adresse eingeben, zum Beispiel ihre-website.de. Eine Anmeldung gibt es nicht.
2. Zusehen, wie die 19 Prüfungen laufen. Die meisten Ergebnisse stehen nach wenigen Sekunden da. Am längsten braucht die Tempo-Messung von Google, bis zu 40 Sekunden.
3. Note ablesen. WordPress-Seiten bekommen eine Note von 1 bis 5. Andere Systeme bekommen eine Bestandsaufnahme ohne Note.
4. Baustellen aufklappen. Jeder Befund nennt, was gefunden wurde und was zu tun ist. Den Bericht können Sie als PDF speichern oder die Liste als Text kopieren, etwa für Ihren Betreuer.

Die Note zählt handfeste Mängel, keine Punkte:

Note	Befund	Was das heißt
1	keine Mängel	Alles, was sich von außen prüfen lässt, ist in Ordnung.
2	1 Mangel	Eine Baustelle, meist in einer Stunde erledigt.
3	2 bis 3 Mängel	Typisch: Google Fonts, eine Einbettung, fehlendes DMARC.
4	4 bis 6 Mängel	Mehrere Bereiche betroffen, gesammelt angehen.
5	7 und mehr	Die Seite wurde länger nicht gepflegt.

Der Check liest nur, was öffentlich erreichbar ist, und speichert weder Adresse noch Ergebnis. Er ersetzt die Handprüfung nicht ganz: Was er nicht sehen kann, steht weiter unten.

Was eine Website-Prüfung abdecken muss

„Website prüfen“ meint je nach Werkzeug etwas anderes. Die einen messen nur die Ladezeit, die anderen nur Suchmaschinen-Technik. Für eine Firmenseite in Deutschland gehören fünf Bereiche dazu:

Bereich	Die Frage dahinter	Was passiert, wenn es fehlt
Abmahnrisiko	Was kann ein Dritter von außen nachweisen?	Abmahnschreiben, Schadensersatzforderung
Sicherheit	Ist die Seite aktuell und unverändert?	Hack, Warnseite im Browser, Spam-Versand
Tempo und Technik	Wie schnell lädt die Seite am Handy?	Besucher springen ab, bevor sie etwas lesen
Pflichten 2026	Barrierefreiheit, KI-Kennzeichnung, Shop-Angaben	Beschwerden, Abmahnung durch Mitbewerber
Sichtbarkeit und Mail	Finden Google und KI-Assistenten die Seite, kommen Mails an?	Keine Anfragen, obwohl die Seite läuft

Die Reihenfolge ist Absicht. Sie entspricht dem, was am schnellsten Geld kostet.

Vorbereitung: zwei Handgriffe, die Sie immer brauchen

Fast jede Prüfung in diesem Beitrag nutzt eines von zwei Fenstern Ihres Browsers. Beide sind eingebaut, Sie müssen nichts installieren.

Der Netzwerk-Tab. Er zeigt jede Verbindung, die Ihre Seite beim Laden aufbaut.

1. Öffnen Sie ein privates Fenster (Strg + Umschalt + N in Chrome und Edge, Strg + Umschalt + P in Firefox). So sind Sie nicht angemeldet und haben dem Cookie-Banner noch nicht zugestimmt.
2. Drücken Sie F12 und wählen Sie oben den Reiter Netzwerk.
3. Rufen Sie Ihre Seite auf. Klicken Sie den Cookie-Banner nicht an.
4. In der Liste steht jetzt jede geladene Datei mit ihrer Herkunft. Über das Filterfeld suchen Sie nach einzelnen Adressen.

Der Quelltext. Mit Strg + U sehen Sie, was der Server ausliefert. Mit Strg + F suchen Sie darin nach einem Begriff.

Am Mac ersetzen Sie Strg durch die Befehlstaste, der Netzwerk-Tab öffnet sich mit Befehl + Wahl + I.

Bereich 1: Abmahnrisiko prüfen

Hier geht es um alles, was ein Fremder ohne Zugang nachweisen kann. Genau so gehen Abmahner vor: Seite aufrufen, Netzwerk-Tab ansehen, Bildschirmfoto machen.

1. Google Fonts

Warum: Lädt die Seite Schriften direkt von Google, geht die IP-Adresse jedes Besuchers ohne Einwilligung dorthin. Das Landgericht München I hat dafür am 20. Januar 2022 Schadensersatz zugesprochen (Az. 3 O 17493/20).

So prüfen Sie: Netzwerk-Tab, Filter fonts.g. Erscheinen Zeilen mit fonts.googleapis.com oder fonts.gstatic.com, lädt die Seite extern.

Schnelltest: Google-Fonts-Checker. Beheben: Google Fonts lokal einbinden.

2. Einbettungen: YouTube, Google Maps, reCAPTCHA

Warum: Jede Einbettung baut eine Verbindung zu einem fremden Server auf, bevor der Besucher zugestimmt hat. Rechtlich ist das dieselbe Lage wie bei den Schriften, nur mit mehr Daten.

So prüfen Sie: Netzwerk-Tab, nacheinander nach youtube, ytimg, maps, recaptcha und vimeo filtern. Prüfen Sie auch die Kontaktseite, dort sitzen Karte und Formularschutz am häufigsten.

Schnelltest: Embed-Checker. Hintergrund: Google Maps, YouTube und reCAPTCHA, für Videos YouTube datenschutzkonform einbinden.

3. Tracker

Warum: Analytics, Meta-Pixel und Tag Manager brauchen eine Einwilligung. Feuern sie vor dem Klick auf „Akzeptieren“, fehlt die Rechtsgrundlage.

So prüfen Sie: Netzwerk-Tab, ohne den Banner anzuklicken. Filtern Sie nach google-analytics, googletagmanager, facebook und hotjar. Klicken Sie danach auf „Ablehnen“ und laden Sie neu: Es darf weiterhin nichts davon erscheinen.

Schnelltest: Tracker-Check. Hintergrund: Analytics und Meta-Pixel, zum Banner selbst Cookie-Banner-Abmahnung.

4. Impressum

Warum: Ein fehlendes oder lückenhaftes Impressum ist der klassische Wettbewerbsverstoß. Die Pflichtangaben stehen in § 5 DDG.

So prüfen Sie: Ist das Impressum von jeder Seite aus erreichbar, auch am Handy? Stehen dort Name und Anschrift, die Vertretungsberechtigten, die Rechtsform, Register und Registernummer, die Umsatzsteuer-ID (falls vorhanden) und zwei Kontaktwege, davon einer die E-Mail-Adresse? Steht als Rechtsgrundlage noch „TMG“ oder ein Verweis auf die abgeschaltete EU-Streitschlichtungsplattform, ist der Text veraltet.

Schnelltest: Impressum-Check. Hintergrund: Impressum-Abmahnung.

5. Datenschutzerklärung

Warum: Der häufigste Fehler ist nicht die fehlende Erklärung, sondern die veraltete. Die Seite lädt inzwischen einen Dienst, der im Text nicht vorkommt.

So prüfen Sie: Schreiben Sie aus dem Netzwerk-Tab jede fremde Adresse auf, die Ihre Seite kontaktiert. Suchen Sie jeden Dienst im Text Ihrer Erklärung. Was fehlt, muss hinein. Was dort steht, aber nicht mehr genutzt wird, kommt heraus.

Schnelltest: Datenschutz-Abgleich. Hintergrund: Datenschutzerklärung. Die vollständige Liste mit Formularen, Newsletter und Bildrechten steht im 20-Punkte-Abmahncheck.

Bereich 2: Sicherheit prüfen

6. WordPress-Version

Warum: Sicherheitslücken alter Versionen sind öffentlich dokumentiert, und automatisierte Angriffe suchen gezielt danach.

So prüfen Sie: Im Dashboard unter Aktualisierungen steht die installierte Version neben der aktuellen. Dort sehen Sie auch, welche Plugins und Themes ein Update brauchen. Vor dem Aktualisieren gehört eine Sicherung gezogen.

Schnelltest: WordPress-Alters-Check.

7. Zeichen von Schadcode

Warum: Die meisten Infektionen wollen unbemerkt bleiben. Die Seite sieht für Sie normal aus.

So prüfen Sie: Suchen Sie bei Google nach site:ihre-website.de. Stehen in den Ergebnissen Seiten, die Sie nie angelegt haben, etwa mit Pharma-Begriffen oder fremden Schriftzeichen, ist das ein starkes Warnzeichen. Sehen Sie im Dashboard unter Benutzer nach, ob es einen Administrator gibt, den Sie nicht kennen.

Schnelltest: Malware-Scanner. Wichtig: Kein Fund ist keine Entwarnung. Was bei einem Verdacht zu tun ist, steht in WordPress gehackt?.

8. Getarnte Weiterleitungen

Warum: Gehackte Seiten zeigen dem Betreiber oft die normale Seite und leiten nur Handy-Nutzer oder Besucher aus der Google-Suche um. Deshalb bemerkt der Betreiber es als Letzter.

So prüfen Sie: Nehmen Sie Ihr Handy, schalten Sie das WLAN aus, suchen Sie Ihre Firma bei Google und tippen Sie auf das Ergebnis. Landen Sie auf einer fremden Seite, ist Ihre Seite kompromittiert.

Schnelltest: Der Weiterleitungs-Check ruft die Seite als Desktop-Browser, als Smartphone, als Googlebot und als Besucher aus der Suche ab und vergleicht, wo jeder landet.

9. Sicherheits-Header

Warum: Diese Kopfzeilen der Server-Antwort kosten nichts und schließen ganze Klassen von Angriffen aus, etwa das Einbetten Ihrer Seite in eine fremde.

So prüfen Sie: Netzwerk-Tab, den obersten Eintrag anklicken (Ihre Seite selbst), Reiter Header, Abschnitt Antwortheader. Suchen Sie nach strict-transport-security, x-content-type-options, x-frame-options oder content-security-policy, referrer-policy und permissions-policy.

Schnelltest: Security-Header-Check. Vorsicht: Eine falsch gesetzte Content-Security-Policy legt die Seite lahm. Die anderen Header sind harmlos zu setzen.

10. SSL-Zertifikat

Warum: Läuft das Zertifikat ab, zeigt jeder Browser eine ganzseitige Warnung. Das passiert meist, wenn die automatische Verlängerung beim Hoster still ausgefallen ist.

So prüfen Sie: Klicken Sie in der Adresszeile auf das Symbol links neben der Adresse und öffnen Sie die Angaben zur Verbindung und zum Zertifikat. Dort steht das Ablaufdatum. Liegt es weniger als 14 Tage entfernt, fragen Sie beim Hoster nach.

Schnelltest: SSL-Check.

Bereich 3: Tempo und Technik prüfen

11. Ladezeit (PageSpeed)

Warum: Google nennt als Ziel, dass der größte sichtbare Inhalt (LCP) nach höchstens 2,5 Sekunden steht und die Layout-Verschiebung (CLS) höchstens 0,1 beträgt.

So prüfen Sie: Öffnen Sie pagespeed.web.dev, geben Sie Ihre Adresse ein und sehen Sie die Auswertung für Mobil an, nicht für Desktop. Messen Sie dreimal, die Werte schwanken.

Schnelltest: PageSpeed-Test. Verstehen und verbessern: Core Web Vitals in WordPress.

12. Seitengewicht

Warum: Das ist die Erklärung zur PageSpeed-Zahl. Eine Seite mit vierzig Skripten kann nicht schnell sein, egal wie gut der Server ist.

So prüfen Sie: Im Netzwerk-Tab steht unten in der Statuszeile, wie viele Anfragen die Seite auslöst und wie viele Megabyte übertragen wurden. Sortieren Sie die Liste nach Größe: Oben stehen fast immer Bilder, die größer hochgeladen wurden, als sie angezeigt werden.

Schnelltest: Seitengewicht-Check.

13. Theme und Page-Builder

Warum: Kein Mangel, sondern eine Bestandsaufnahme. Sie zeigt, wie pflegbar die Seite ist.

So prüfen Sie: Im Dashboard unter Design → Themes steht das aktive Theme. Heißt es wie ein gekauftes Theme ohne den Zusatz „Child“, gehen eigene Anpassungen beim nächsten Update verloren. Wurde das Theme seit über einem Jahr nicht aktualisiert, ist ein Wechsel absehbar.

Schnelltest: Theme-Detector. Weiterlesen: Theme-Anpassungen updatesicher.

Bereich 4: Pflichten 2026 prüfen

14. Barrierefreiheit

Warum: Das Barrierefreiheitsstärkungsgesetz gilt seit dem 28. Juni 2025 für viele Online-Shops und Dienstleistungen im Verbrauchergeschäft.

So prüfen Sie: Legen Sie die Maus weg und bedienen Sie Ihre Seite nur mit der Tabulatortaste. Kommen Sie in das Menü, durch das Formular und bis zum Absenden? Sehen Sie jederzeit, welches Element gerade ausgewählt ist? Haben Ihre Bilder Alternativtexte, die sagen, was zu sehen ist?

Schnelltest: Barrierefreiheits-Check. Er findet nur einen Teil der Hürden. Wer betroffen ist und was verlangt wird, steht in Barrierefreiheit ist Pflicht.

15. KI-Kennzeichnung

Warum: Seit dem 2. August 2026 muss erkennbar sein, wenn Besucher mit einer KI sprechen.

So prüfen Sie: Gibt es auf Ihrer Seite ein Chatfenster? Öffnen Sie es. Steht dort klar, dass eine KI antwortet, bevor jemand etwas schreibt?

Schnelltest: KI-Chatbot-Check. Er zeigt, ob ein Widget vorhanden ist, nicht, ob es richtig beschriftet ist. Hintergrund: KI-Kennzeichnungspflicht.

16. Pflichtangaben im Shop

Warum: Die Produktsicherheitsverordnung (GPSR) gilt seit dem 13. Dezember 2024 und verlangt Herstellerangaben direkt am Produkt. Fehlende Angaben im Shop finden Mitbewerber besonders leicht.

So prüfen Sie: Öffnen Sie eine Produktseite wie ein Kunde. Stehen dort der Grundpreis (bei Ware nach Gewicht, Volumen oder Länge), ein Hinweis auf die Versandkosten und Name, Anschrift und elektronische Kontaktadresse des Herstellers?

Schnelltest: Shop-Pflichtangaben-Check. Hintergrund: GPSR-Informationspflicht.

Bereich 5: Sichtbarkeit und Mail prüfen

17. SEO-Grundlagen

Warum: Das sind die Voraussetzungen, damit Google die Seite richtig versteht. Sie entscheiden nicht über Platz eins, aber ihr Fehlen kostet Sichtbarkeit.

So prüfen Sie: Im Quelltext (Strg + U) nach <title> suchen: Steht dort ein aussagekräftiger Titel oder nur „Startseite“? Nach noindex suchen: Steht das Wort im Kopf der Seite, erscheint sie bei Google gar nicht. Rufen Sie ihre-website.de/wp-sitemap.xml auf, WordPress erzeugt die Sitemap seit Version 5.5 selbst.

Schnelltest: SEO-Check. Weiterlesen: Das SEO-Fundament für WordPress.

18. KI-Sichtbarkeit

Warum: Wer die Crawler von ChatGPT oder Perplexity aussperrt, kommt in deren Antworten nicht vor. Manche Sicherheits-Plugins tun das, ohne dass der Betreiber es weiß.

So prüfen Sie: Rufen Sie ihre-website.de/robots.txt auf. Steht dort Disallow: / unter GPTBot, ClaudeBot oder PerplexityBot, ist die Sperre aktiv.

Schnelltest: KI-Sichtbarkeits-Check. Einordnung: Was eine llms.txt bringt und was nicht, steht in llms.txt in WordPress.

19. Mail-Zustellbarkeit

Warum: Ohne die DNS-Einträge SPF, DKIM und DMARC können Empfänger nicht prüfen, ob eine Mail wirklich von Ihnen kommt. Bestellbestätigungen und Formular-Mails landen dann im Spam.

So prüfen Sie: Tragen Sie in Ihr eigenes Kontaktformular eine Gmail-Adresse ein und senden Sie es ab, wenn das Formular dem Absender eine Bestätigung schickt. Sonst schicken Sie eine Mail von Ihrer Firmenadresse dorthin. Öffnen Sie die Mail in Gmail, wählen Sie im Menü mit den drei Punkten Original anzeigen. Oben stehen SPF, DKIM und DMARC, jeweils mit PASS oder FAIL.

Schnelltest: Mail-Check. Beheben: WordPress-Mails landen im Spam.

In welcher Reihenfolge Sie Befunde beheben

Wer mehrere Baustellen findet, fängt nicht beim Auffälligsten an, sondern beim Teuersten:

1. Sicherheit zuerst. Eine veraltete oder kompromittierte Seite macht jede andere Verbesserung wertlos. Bei Zeichen von Schadcode: nichts löschen, erst den Zustand sichern.
2. Dann Abmahnrisiko. Google Fonts, Einbettungen und Tracker lassen sich von außen nachweisen. Solange sie laden, kann jeder Besuch ein Anlass sein.
3. Dann Tempo. Erst wenn die Seite sicher und sauber ist, lohnt die Arbeit an der Ladezeit.
4. Zuletzt Pflichten und Sichtbarkeit, sofern keine Frist drängt.

Schreiben Sie auf, was Sie wann geprüft und geändert haben. Ein Blatt mit Datum reicht. Kommt doch einmal ein Schreiben, zeigt es Ihre Sorgfalt.

Was Sie von außen nicht prüfen können

Jede Prüfung von außen hat Grenzen, die Handprüfung im Browser genauso wie ein automatisches Werkzeug. Verlassen Sie sich nicht auf ein gutes Ergebnis, ohne sie zu kennen:

• Unterseiten. Wer nur die Startseite ansieht, übersieht das Kontaktformular mit reCAPTCHA oder die Anfahrtsseite mit der Karte. Prüfen Sie jeden Seitentyp einmal: Startseite, Kontakt, eine Leistungsseite, einen Blogbeitrag, im Shop Produkt und Kasse.
• Was nach der Einwilligung passiert. Automatische Werkzeuge klicken keinen Cookie-Banner. Ob nach „Ablehnen“ wirklich nichts lädt, sehen Sie nur selbst im Netzwerk-Tab.
• Was per Skript nachgeladen wird. Der Quelltext zeigt nur, was der Server ausliefert. Der Netzwerk-Tab zeigt mehr, deshalb ist er die zuverlässigere Quelle.
• Alles hinter dem Login. Hintertüren in Dateien, fremde Administratoren, veraltete Plugins ohne sichtbare Spur, die Datenbank.
• Bedienbarkeit. Ob ein Screenreader die Seite versteht, prüft kein automatisches Werkzeug zuverlässig.
• Die rechtliche Bewertung. Die Technik zeigt, was die Seite tut. Ob das in Ihrem Fall ein Verstoß ist, beurteilt eine Anwältin oder ein Anwalt.

Wie oft Sie Ihre Website prüfen sollten

Anlass	Was prüfen
Neues Theme, neues Plugin, neuer Cookie-Banner	Bereich 1 komplett, dazu Tempo
Umzug zu einem anderen Hoster	SSL, Sicherheits-Header, Mail-Zustellbarkeit
Großes WordPress-Update	Sicherheit, danach ein Blick auf die Startseite am Handy
Neuer Chatbot, neues Shop-Sortiment	Bereich 4
Ohne Anlass	einmal im Quartal alles

Viele Befunde entstehen nicht durch eigene Änderungen. Ein Plugin-Update lädt still eine Schrift nach, der Hoster ändert eine Einstellung, ein Zertifikat verlängert sich nicht. Darum genügt eine einmalige Prüfung nicht.

Selbst beheben oder abgeben?

Ehrlich gesagt: Das Prüfen schaffen Sie allein. Die 19 Punkte oben brauchen einen Browser und etwa eine Stunde, der automatische Durchlauf eine Minute.

Auch vieles vom Beheben geht ohne Entwickler: das Impressum korrigieren, die Datenschutzerklärung ergänzen, Updates einspielen, Alternativtexte pflegen, unbenutzte Plugins entfernen, die DNS-Einträge für Mails setzen.

Schwieriger wird es an vier Stellen:

• Schriften und Einbettungen, die ein Plugin oder ein Page-Builder nachlädt. Der Schalter im Theme reicht dann nicht, die Quelle muss gefunden werden.
• Ein Cookie-Banner, der Skripte wirklich blockiert, statt nur ein Fenster zu zeigen.
• Die Content-Security-Policy, die bei einem Fehler die Seite lahmlegt.
• Jeder Verdacht auf Schadcode. Wer hier löscht, bevor gesichert ist, vernichtet die Spuren zum Einfallstor.

Für diese Fälle gibt es den Abmahnsicher-Komplettcheck für 349 € zum Festpreis: Ein Entwickler prüft mit Zugang alle Seitentypen, auch das Verhalten vor und nach der Einwilligung, behebt die technischen Funde gleich mit und übergibt einen schriftlichen Bericht. Wer die Seite danach nicht mehr selbst im Blick behalten will, bekommt Updates, Backups und Überwachung mit einem Wartungspaket ab 39 € im Monat.

Wir liefern Technik und Dokumentation, keine Rechtsberatung.

Belege (abgerufen am 05.10.2026)

Aussage	Quelle	Stand
Schadensersatz wegen extern geladener Google Fonts	Landgericht München I, Urteil vom 20.01.2022, Az. 3 O 17493/20	20.01.2022
Pflichtangaben im Impressum	§ 5 DDG	geltende Fassung
Barrierefreiheitsstärkungsgesetz, Anwendung ab 28.06.2025	BFSG	geltende Fassung
Herstellerangaben im Fernabsatz, Anwendung ab 13.12.2024	Verordnung (EU) 2023/988, Art. 19 und Art. 52	10.05.2023
Transparenzpflicht für KI-Systeme, Anwendung ab 02.08.2026	Verordnung (EU) 2024/1689, Art. 50 und Art. 113	13.06.2024
Zielwerte LCP höchstens 2,5 Sekunden und CLS höchstens 0,1	web.dev: Web Vitals	laufend gepflegt
Sitemap im WordPress-Kern seit Version 5.5	make.wordpress.org	22.07.2020
Fakeshop-Finder	Verbraucherzentrale	laufend gepflegt